El fichaje que puede defenderse ante un auditor

Qué firma cada fichado, y qué no

La firma es WebAuthn con el autenticador del propio teléfono. Al vincularse, el aparato crea una clave; el servidor se queda con la clave pública y con el identificador de la credencial. La plantilla de huella o de rostro nunca sale del teléfono y en la base de la empresa no hay imagen ni rasgo que proteger: hay una llave que alguien tuvo que desbloquear para firmar.

Eso cambia la conversación de cumplimiento. Tratar datos biométricos de trabajadores es delicado justamente porque la empresa pasa a guardar una parte del cuerpo de su personal. Aquí no: se guarda una credencial, y con ella se puede demostrar quién fichó, cuándo y desde qué aparato.

Cada fichado guarda además la vía con la que se hizo: biometría del dispositivo, código QR del gafete, PIN personal o registro manual de un supervisor con su motivo. Las alternativas no son un parche: están activas por omisión y se pueden apagar en el panel, porque un sistema que sólo admite biométrico no deja opción menos invasiva y esa es la objeción que tumba estos proyectos.

Por qué el reto lo da el servidor

Si el navegador inventara el reto, un fichaje “biométrico” sería un fetch falsificable desde la consola: cualquiera podría repetir la firma de otro o fabricarla. El centro emite un reto de un solo uso con caducidad de tres minutos, el autenticador lo firma, y el servidor verifica la firma contra la clave pública registrada, comprueba el origen, el tipo de operación, los flags de presencia y de verificación de usuario, y que el contador haya avanzado.

Ese verificador está aislado del resto del sistema y tiene su propia prueba con claves reales: 19 casos, entre ellos una aserción bien firmada que pasa y doce mutaciones que deben fallar (otro reto, otro origen, otra operación, sin verificación de usuario, sin presencia, rpIdHash ajeno, firma de otra llave, llave vacía, JSON roto, authenticatorData corto, clientData intercambiado y contador que no avanza). La salida MFkwEwYHKoZIzj0C… del DER generado se cotejó byte a byte contra un SPKI de OpenSSL.

Si la verificación llega tarde porque el teléfono estaba sin señal, el fichado se guarda igual y queda pendiente; si el centro la rechaza, la línea baja a dudosa y abre incidencia con el motivo escrito. Ninguna de las dos situaciones borra lo que la persona registró.

Geocercas que se dibujan, no que se teclean

El perímetro donde se puede fichar se traza en el mapa: un círculo para la caseta arrastrando el centro y el maneral del radio, un polígono para el patio de maniobras tocando los vértices. Los vértices viajan en la base y se comparten con el resto de los equipos, así que el capataz y Recursos Humanos ven la misma obra.

Cada fichado guarda latitud, longitud, precisión en metros, la geocerca que lo contuvo y a cuántos metros quedó del borde si no lo contuvo. Con esa información, la app puede decirle a quien ficha «estás a 240 m de la caseta» en lugar de negarle el registro, y puede abrir la incidencia correspondiente sin borrar nada.

El mapa es un lienzo propio con cartografía de OpenStreetMap debajo, servida por el propio portal con caché, para no abrir la política de contenido a un tercero ni depender de una llave de proveedor. Si las teselas no llegan, las geocercas y los fichados se siguen viendo.

Lo que Recursos Humanos administra

Reportes y base de horas

Los reportes se calculan con reglas explícitas y se pueden descargar en CSV con las mismas cifras que muestra la pantalla:

• Asistencia del día por sede y por equipo, ordenada por lo que requiere atención.
• Horas trabajadas frente a horas debidas, con pausas fichadas o, si no se ficharon, con la pausa del turno.
• Horas dobles y triples por semana según el artículo 68 de la LFT: hasta el tope configurado se pagan como dobles y lo que pasa de ahí, al triple. Se clasifican por semana porque la ley pone el límite ahí, no por día.
• Aviso de exceso diario: la prolongación máxima legal es de dos horas por día (artículo 67) y el reporte marca los días que lo rebasan.
• Minutos en la franja nocturna (20:00 a 06:00) para la prima correspondiente.
• Retardos, faltas, días sin salida, permisos y detalle de cada fichado con vía, ubicación, geocerca y veredicto.

No Timbra. La base de horas se exporta para que el área de nómina o el contador la use; el CFDI de nómina no entra en este producto y quien lo necesite lo conecta con su sistema de nómina.

Avisos

Dentro de la app: confirmación de cada fichado, respuesta a las solicitudes y avisos del tablero, con contador de no leídos. Hacia afuera, el proyecto puede usar la cola de avisos de Lumbre Espacios (correo con reintento, copia y baja) y WhatsApp donde esté configurado.

Aún no hay Web Push ni recordatorio en la pantalla bloqueada del teléfono: una PWA puede notificar con el servicio del navegador, pero ese canal todavía no está implementado en este producto. Se dice aquí en lugar de prometerlo en la portada.

Lo que un navegador no puede hacer, y por tanto Biometrik no finge hacer

Cómo acceder a la demo

La liga vence el 14 de diciembre de 2026 y admite 50 uniones. Los datos de la demo son ficticios y compartidos entre quienes entren: no meta información real de su personal. Si la liga se agota, pida una nueva escribiendo a soporte.

Instalación en su servidor

Biometrik se entrega como un portal PHP autocontenido: una sola aplicación, una sola base de datos, una sola sesión de administrador y la PWA servida dentro del propio dominio.

Si prefiere no administrar el servidor, puede usar la instalación de demostración como punto de partida y contratar la puesta en marcha; el precio y los planes se consultan en lumbre.lat.

Preguntas que hacen siempre

Ficha técnica