Disparadores: no todos los motivos pesan igual
Un compromiso del almacén de templates es el caso obvio, pero no el más frecuente. En operación diaria aparecen tres disparadores que se mezclan: filtración o sospecha de acceso indebido a la base, cambio normativo que exige una función de transformación distinta, y migración de proveedor donde el esquema de sal o la derivación de clave no son compatibles.
El error habitual es tratar los tres igual. Una filtración exige revocación inmediata y selectiva, solo sobre los registros afectados. Un cambio normativo admite una rotación planificada por cohortes. Una migración de proveedor, en cambio, casi siempre obliga a un reenrolamiento completo porque el template viejo no se puede transformar al nuevo esquema sin la muestra original.
Conviene clasificar cada disparador por urgencia y por alcance antes de abrir la ventana de rotación. Mezclar urgencia alta con alcance total es lo que produce las cancelaciones masivas que después nadie sabe justificar ante el usuario.
Ventanas de rotación: cuándo ejecutar
La rotación no debería coincidir con picos de uso. En sistemas de control de acceso, eso significa evitar los lunes por la mañana y los cierres de mes. La ventana razonable suele ser madrugada de un día laborable con bajo tráfico, dejando el fin de semana como colchón para resolver incidencias de enrolamiento que no se detectaron en la prueba.
Para rotaciones planificadas funciona bien dividir la base en cohortes por antigüedad del template y rotar una por semana. Así el equipo de soporte absorbe el volumen de reenrolamientos sin saturarse y se puede medir la tasa de fallo por lote antes de continuar con el siguiente.
En rotaciones de emergencia la ventana se reduce a horas. Ahí lo que importa no es la elegancia del plan sino tener preparado el procedimiento de doble template temporal para no dejar a nadie fuera del sistema mientras se reenrola.
Doble template temporal: cómo evitar cortar el servicio
La estrategia consiste en mantener activo el template antiguo durante un periodo acotado, mientras el nuevo se genera y se valida. Durante esa fase el sistema acepta ambos, prioriza el nuevo cuando está disponible y registra cada verificación contra el template que la resolvió.
El periodo de convivencia no debería superar las dos o tres semanas. Más tiempo amplía la superficie de exposición del template viejo y complica la auditoría. Menos tiempo deja fuera a usuarios que tardan en pasar por el punto de enrolamiento.
Hay un detalle que se pasa por alto: el doble template duplica el coste de comparación en cada verificación. En instalaciones con hardware modesto eso se nota en la latencia, sobre todo si la base es grande. Vale la pena medirlo antes de decidir el tamaño de la cohorte.
Métricas del coste real de una cancelación masiva
El coste no es solo el tiempo de ingeniería. Hay que contar usuarios que no logran reenrolarse a la primera, incidencias en soporte, verificaciones rechazadas durante la transición y horas de atención dedicadas a explicar por qué la huella que funcionaba ayer hoy no sirve.
Métricas útiles: porcentaje de reenrolamientos exitosos en el primer intento, tasa de falsos rechazos durante la ventana de doble template, tiempo medio hasta completar el reenrolamiento por usuario y volumen de tickets por cohorte. Con esos cuatro números se puede estimar si la rotación fue razonable o si se subestimó el alcance.
También conviene registrar cuántos usuarios quedaron sin reenrolar al cerrar la ventana. Ese número suele ser el que revela problemas de accesibilidad o de comunicación previa, más que fallos técnicos del sistema biométrico.
Qué revisar antes de firmar la política
Una política de rotación que solo describe el procedimiento criptográfico está incompleta. Debe indicar quién autoriza la revocación, qué umbral de evidencia se exige para cada tipo de disparador, cuánto dura la convivencia de templates y cómo se comunica a los usuarios afectados.
También conviene dejar por escrito qué se hace con los templates revocados. No basta con marcarlos como inactivos: hay que definir si se eliminan, cuándo y con qué registro de auditoría. Un template revocado que sigue almacenado es un pasivo silencioso.
Si el tema de la transformación no invertible todavía no está claro, conviene empezar por cómo un escaneo se convierte en un hash irreversible. Y para el lado de la amenaza que motiva muchas rotaciones, el análisis de ataques de inversión de template completa el panorama. Dudas operativas concretas se atienden desde contacto.