Cómo evitar certificados falsos de tu institución: código único, QR y registro público

En este artículo

1. ¿Cómo se falsifican los certificados de una institución?
2. Capa 1: un código único y aleatorio en cada certificado
3. Capa 2: un registro único de certificados emitidos
4. Capa 3: un QR que abra tu propio dominio
5. Capa 4: un verificador público que muestre lo justo
6. Capa 5: estados claros (válido, vencido, anulado)
7. Capa 6: enseña a verificar a quien recibe tus certificados
8. ¿Y el diseño? Ayuda, pero no basta
9. ¿Y la firma digital? Una capa adicional, no obligatoria
10. ¿Cómo saber si un certificado es falso? (para empresas y áreas de RR. HH.)
11. ¿Qué hacer si aparece un certificado falso con tu nombre?
12. Errores que facilitan la falsificación
13. En resumen
14. Preguntas frecuentes

Basta abrir un PDF en un editor para cambiar un nombre, y basta copiar el diseño de un certificado para fabricar uno nuevo con el logo de cualquier institución. En rubros donde el certificado es requisito para trabajar, como seguridad y salud en el trabajo, salud o ingeniería, eso convierte a los certificados de los institutos serios en un blanco fácil. Y cada certificado falso que circula con tu nombre le resta valor a los verdaderos.

La buena noticia es que evitarlo no depende de diseños complicados ni de hologramas, sino de cómo emites y registras cada certificado. En esta guía verás cómo se falsifican los certificados de una institución, las capas de protección que sí funcionan y qué hacer si aparece uno falso. Es lo que aplicamos en CONIT en los certificados automáticos y verificadores que configuramos para institutos y centros de capacitación.

¿Cómo se falsifican los certificados de una institución?

Casi todos los certificados falsos caen en uno de estos casos, y cada uno se detiene de forma distinta:

El patrón es claro: el diseño no protege nada. Lo que protege es que exista un registro de lo que emitiste y que cualquiera pueda consultarlo.

Capa 1: un código único y aleatorio en cada certificado

El código es la pieza más importante. Debe cumplir tres condiciones:

• Único: un código por certificado, nunca repetido.
• Aleatorio: sin secuencia que se pueda adivinar. Con códigos como CERT-2026-0145, cualquiera prueba 0146 y encuentra un certificado real.
• Legible: de 8 a 12 caracteres, mezclando letras y números, y sin caracteres que se confunden al dictarlos.

Para dimensionar: un código de 10 caracteres elegidos entre 32 letras y números tiene más de mil billones de combinaciones posibles (32 elevado a 10 son unos 1.1 × 10¹⁵). Nadie va a adivinar uno por casualidad. Puedes agregarle un prefijo con el año o el área (SST26-…), siempre que la parte aleatoria siga ahí.

Capa 2: un registro único de certificados emitidos

Cada certificado debe quedar guardado en el momento en que se emite, con su código, el titular, el curso, las horas, las fechas y su estado. Ese registro es la única fuente de verdad.

Si los certificados se emiten desde el aula virtual cuando el alumno aprueba, el registro se arma solo. Si además emites certificados de eventos o cursos presenciales, cárgalos en el mismo registro. Lo que abre la puerta a problemas son los certificados hechos a mano «por esta vez» que nunca se registran: cuando alguien los verifica, aparecen como inexistentes y siembran dudas sobre todos los demás.

Cómo emitirlos automáticamente desde Moodle está en certificados automáticos en Moodle.

Capa 3: un QR que abra tu propio dominio

El QR del certificado debe llevar a una dirección de tu dominio, con https y con el código incluido (por ejemplo, tuinstituto.pe/verificar?codigo=K7Q2M9XA). Así:

• Quien lo escanea ve el resultado al instante.
• Si alguien pone un QR que lleva a otro dominio, se nota.

Evita los acortadores y los servicios de QR de terceros: si un día dejan de funcionar, todos tus certificados quedan sin verificación. El detalle técnico está en cómo hacer certificados con código QR verificables.

Capa 4: un verificador público que muestre lo justo

El verificador es el «registro público»: la página donde cualquiera consulta un código y ve si el certificado existe. Debe mostrar el estado, el titular, el curso, las horas, las fechas y el código. No debe mostrar el DNI completo, el correo ni el teléfono, ni listar alumnos al escribir unas letras: un verificador que expone datos personales resuelve un problema creando otro.

Todo sobre qué mostrar y qué ocultar está en cómo poner un verificador de certificados en tu web.

Capa 5: estados claros (válido, vencido, anulado)

Un certificado no es eterno en todos los rubros. En capacitaciones de seguridad, por ejemplo, muchos tienen vigencia limitada. Y a veces hay que anular uno emitido por error. Por eso el registro debe guardar el estado de cada certificado:

• Válido: emitido y vigente.
• Vencido: emitido, pero su vigencia terminó (si tu curso la tiene).
• Anulado: emitido por error o retirado. Nunca se borra; se marca.

Las plataformas especializadas de certificados ya trabajan así; por ejemplo, el verificador de certifika.pe, una plataforma independiente del mismo dueño de CONIT, muestra si un certificado está válido, vencido o revocado.

Lo que hacemos en CONIT

En las aulas Moodle que administramos, cada certificado se emite al aprobar con un código único, y ese código se valida en un verificador en la web de la institución que muestra solo lo necesario. Mira el validador de CES GROUP o el de Centrum Veritas, y conoce nuestros sistemas a medida.

Capa 6: enseña a verificar a quien recibe tus certificados

El mejor sistema no sirve si nadie lo usa. Haz que verificar sea obvio:

• Pon «Verificar certificado» en el menú o el pie de toda tu web.
• Escribe la dirección del verificador en el propio certificado, debajo del QR.
• Explícalo a las empresas que te compran capacitación: «todos nuestros certificados se comprueban en tuinstituto.pe/verificar».
• Dilo en la ficha de cada curso: que el certificado tiene código verificable también es un argumento de venta.

El MINEDU hace lo mismo con los certificados de estudios escolares: cada uno trae un código virtual y un QR, y el propio ministerio explica que, si los datos del sistema no coinciden con los del documento, este «ha podido ser adulterado» (MINEDU).

¿Y el diseño? Ayuda, pero no basta

Hay elementos de diseño que dificultan una falsificación casual: un fondo con patrón fino o marca de agua con tu logo, el código repetido en dos lugares del certificado, una tipografía propia y el nombre del titular en un tamaño que no se puede reemplazar sin notar el corte. Úsalos, pero no confíes en ellos. Cualquiera con un editor de imágenes y tiempo puede imitarlos.

Lo mismo pasa con «bloquear» el PDF con contraseña de edición: evita cambios accidentales, pero no detiene a quien quiere falsificar. La única protección que no se puede copiar es la consulta a tu registro. Por eso el orden de prioridades es: primero el código y el verificador, después el diseño.

¿Y la firma digital? Una capa adicional, no obligatoria

Si quieres ir más allá, puedes firmar digitalmente los PDF con un certificado digital de una entidad acreditada por el INDECOPI. La firma digital, regulada por la Ley 27269, hace evidente cualquier modificación del documento después de firmado. Para certificados de cursos libres no es necesaria: el código y el verificador cubren lo esencial. Las diferencias están en certificado digital de curso vs firma digital.

¿Cómo saber si un certificado es falso? (para empresas y áreas de RR. HH.)

Si recibes un certificado y quieres comprobarlo:

1. Busca el código o el QR en el documento.
2. Entra a la web oficial de la institución escribiendo tú la dirección, no desde un enlace que te enviaron, y busca su verificador.
3. Compara el nombre, el curso, las horas, las fechas y el estado con el documento.
4. Si no hay verificador, escribe al correo oficial de la institución (el que figura en su web) y pide confirmación por escrito.
5. Desconfía de certificados sin código, con datos que no coinciden o con avales de instituciones que no mencionan ese curso en su web.

¿Qué hacer si aparece un certificado falso con tu nombre?

1. Guarda la evidencia: copia del documento, cómo llegó a ti y quién lo presentó.
2. Confirma en tu registro que no fue emitido (o que fue alterado).
3. Responde por escrito a quien te consultó: «Este documento no figura como emitido por nuestra institución».
4. No lo publiques en redes con el nombre de la persona: puede traerte problemas legales y no resuelve nada.
5. Consulta con un abogado si corresponde denunciar. El artículo 427 del Código Penal sanciona a quien hace un documento falso o adultera uno verdadero que pueda servir para probar un hecho, y a quien lo usa como si fuera legítimo; el Tribunal Constitucional, citando a la Corte Suprema, ha recordado que para este delito basta un perjuicio potencial (sentencia del TC).
6. Revisa tus procesos: si el falso usó un código correlativo o un diseño viejo, es momento de cambiar el formato.

Errores que facilitan la falsificación

1. Códigos correlativos o basados en el DNI del alumno.
2. Certificados sin código ni QR.
3. Certificados hechos a mano que no entran al registro.
4. Un verificador escondido que nadie conoce.
5. Un QR que abre la portada de la web en vez del resultado.
6. Plantillas antiguas que siguen circulando sin código.
7. Avales sin convenio que la institución aliada no puede confirmar.

En resumen

• El diseño de un certificado se copia en minutos; lo que no se puede copiar es tu registro de certificados emitidos.
• Cada certificado necesita un código único y aleatorio, y un QR que abra tu propio dominio.
• El verificador público confirma titular, curso, fechas y estado, sin exponer datos personales.
• Marca los certificados vencidos o anulados en lugar de borrarlos.
• Enseña a las empresas a verificar entrando por tu web oficial.
• Si aparece un falso, documéntalo, responde por escrito y consulta con un abogado.

Preguntas frecuentes

¿Cómo saber si un certificado es falso?

Busca el código o el QR del certificado y compruébalo en el verificador de la institución que lo emitió, entrando por su web oficial y no por un enlace que te hayan enviado. Compara el nombre, el curso, las horas y las fechas. Si la institución no tiene verificador, escríbele a su correo oficial y pide la confirmación por escrito.

¿Falsificar un certificado de curso es delito en Perú?

El artículo 427 del Código Penal sanciona a quien hace un documento falso o adultera uno verdadero que pueda servir para probar un hecho, y también a quien usa un documento falso como si fuera legítimo. Cómo se aplica en cada caso lo determinan la fiscalía y los jueces; ante un caso concreto, consulta con un abogado.

¿Un QR hace imposible falsificar un certificado?

No por sí solo. Un falsificador puede copiar un QR o poner uno que lleve a una página falsa. Lo que protege es que el QR abra tu propio dominio y que el verificador consulte tu registro de certificados emitidos. Por eso conviene enseñar a las empresas a verificar entrando por tu web oficial.

¿Qué hago si encuentro un certificado falso con el nombre de mi institución?

Guarda una copia del documento y de cómo llegó a ti, confirma en tus registros que no fue emitido, responde por escrito a quien te consultó que el documento no figura como emitido por tu institución y consulta con un abogado si corresponde denunciar. No publiques el nombre de la persona en redes sociales.

¿Debo anular un certificado emitido por error?

Sí, pero no lo borres del registro: márcalo como anulado. Así, si alguien presenta la versión anterior, el verificador mostrará que ya no es válido. Emite el nuevo con un código distinto y avisa al alumno.