# STIR/SHAKEN y la autenticación mediante identificador de llamadas en 2026: cómo se detendrán las llamadas fraudulentas

> La suplantación de identidad del número de teléfono es la base de la mayoría de los fraudes telefónicos. STIR/SHAKEN firma criptográficamente el número de la persona que llama para que la red receptora pueda confiar en él. A continuación, se describe cómo funciona este sistema en 2026, sus niveles de certificación y sus limitaciones.

- URL canónica: https://www.broadnet.me/es/blog/stir-shaken-caller-id-authentication-2026
- Idioma: es
- Última actualización: 2026-10-20
- Editor: BroadNet (https://www.broadnet.me)

- Publicado: 2026-07-06
- Autor: BroadNet Regulatory Affairs

STIR/SHAKEN es un conjunto de estándares de la IETF y ATIS que firman criptográficamente el número de origen de la llamada, de modo que el operador receptor pueda verificar que no ha sido suplantado. En 2026, su uso se generalizó en las redes norteamericanas y se está extendiendo internacionalmente, pero autentica el número, no la intención de quien llama.

## El problema: el identificador de llamadas nunca se autenticó.

Durante la mayor parte de la historia de la telefonía, el número que se mostraba a la persona que llamaba simplemente era confirmado por el emisor y se confiaba plenamente en todo el proceso. No había ninguna verificación de que la persona que llamaba tuviera derecho a usar ese número. Esta laguna es lo que facilita la suplantación de identidad del número de teléfono y lo que permite las llamadas automáticas fraudulentas, las estafas de suplantación de identidad y el fraude de suplantación de identidad de vecinos. STIR/SHAKEN la subsana añadiendo una firma criptográfica verificable al establecimiento de la llamada.

## Cómo funciona STIR/SHAKEN

STIR (Secure Telephone Identity Revisited) es el mecanismo subyacente del IETF. El RFC 8224 define cómo se transmite una cabecera Identity firmada en SIP; el RFC 8225 define PASSporT, el token firmado que afirma el número de llamada; y el RFC 8226 define el marco de certificados que vincula la autoridad de firma con un proveedor de servicios. SHAKEN (Signature-based Handling of Asserted information using toKENs) es el perfil del Foro ATIS/SIP que especifica cómo los operadores implementan STIR en sus redes mediante una jerarquía de gobernanza y certificados.

1. El proveedor de origen autentica la llamada y crea un PASSporT que confirma el número de la persona que llama, firmado con su clave privada.
2. La firma se inserta en el encabezado de identidad SIP y se transmite con la llamada.
3. Las redes intermedias transmiten la llamada firmada hacia el destino.
4. El proveedor de destino recupera el certificado público del firmante, verifica la firma y confirma que el número de llamada no ha sido manipulado; a continuación, aplica su propio tratamiento de visualización o de spam.

## Los tres niveles de certificación

STIR/SHAKEN no garantiza la fiabilidad de la persona que llama; simplemente registra el grado de confianza que tiene el proveedor de origen en que dicha persona pueda utilizar el número. Esta confianza se expresa como un nivel de certificación en el PASSporT.

| Atestación | Nombre | Lo que afirma el proveedor de origen |
|---|---|---|
| A | Certificación completa | Cliente conocido y con derecho confirmado a utilizar el número de teléfono de llamada. |
| B | Atestación parcial | Cliente conocido, pero no se pudo confirmar el número. |
| do | Certificación de pasarela | Llamada recibida desde otra red/pasarela; origen no verificable. |

## Lo que hace y lo que no hace

El marco es potente pero limitado. Comprender su alcance evita depender excesivamente de él.

- Verifica que el número de teléfono mostrado no haya sido falsificado durante la transmisión y registra la declaración del remitente.
- Esto proporciona a los operadores de telecomunicaciones y a los motores de análisis una señal fiable para alimentar el etiquetado y el bloqueo de spam.
- Esto no prueba la intención de quien llama; una llamada totalmente verificada desde un número real aún puede ser una estafa.
- Por sí solo, no etiqueta ni bloquea las llamadas; esa es una decisión analítica y política independiente que se basa en la firma digital.
- Funciona de forma nativa únicamente en rutas de llamadas IP (SIP); las llamadas que atraviesan segmentos TDM heredados pueden perder la firma.

> La autenticación de identificador de llamadas es una señal de confianza, no un veredicto. Combínela con análisis de comportamiento: nuestra respuesta sobre [prevención de fraude en telecomunicaciones](https://www.broadnet.me/answers/telecom-fraud-prevention) explica cómo la atestación alimenta la puntuación, y las referencias de BroadNet sobre [voz programable](https://www.broadnet.me/answers/programmable-voice) y [API de voz / troncales SIP](https://www.broadnet.me/answers/voice-api-sip-trunking) explican dónde reside la firma en el flujo de la llamada.

## Panorama mundial en 2026

La autenticación de identificador de llamadas comenzó como una normativa norteamericana: la FCC exigió STIR/SHAKEN en las redes IP de Estados Unidos, y la CRTC de Canadá la adoptó. Este modelo se está extendiendo. Francia y otros mercados han implementado sus propios sistemas de autenticación de identificador de llamadas o verificación de números, y las organizaciones del sector trabajan para lograr la interoperabilidad transfronteriza. La dirección es clara, pero la cobertura es desigual: una llamada firmada en un país puede entrar en una red que no puede verificarla, razón por la cual el análisis y la reputación siguen desempeñando un papel fundamental junto con la criptografía. Para conocer la ubicación técnica de la firma, consulte nuestras referencias sobre [encabezados SIP](https://www.broadnet.me/reference/sip-headers) y la [descripción general del protocolo SIP](https://www.broadnet.me/reference/sip-protocol-overview).

## Preguntas frecuentes

### ¿El sistema STIR/SHAKEN bloquea todas las llamadas automáticas?

No. STIR/SHAKEN verifica que un número de llamada no haya sido suplantado y registra la certificación del proveedor de origen, pero no evalúa la intención. Un número legítimo y completamente certificado aún puede realizar llamadas no deseadas o fraudulentas. Su valor reside en proporcionar una señal confiable que los sistemas de análisis de spam y bloqueo utilizan para tomar mejores decisiones de etiquetado y filtrado; es un insumo para la aplicación de la ley, no la aplicación en sí misma.

### ¿Qué significan los niveles de certificación A, B y C?

Indican el grado de confianza que el proveedor de origen tiene en la llamada. El nivel A (completo) significa un cliente conocido con derecho confirmado a usar el número; el nivel B (parcial) significa un cliente conocido cuyo número no se pudo confirmar; el nivel C (pasarela) significa que la llamada se realizó desde otra red y no se puede verificar su origen. Los operadores de destino consideran estos niveles al decidir cómo tratar y mostrar una llamada.

### ¿Se utiliza la expresión «revolver/agitar» fuera de los Estados Unidos?

Comenzó en Norteamérica bajo la FCC y la CRTC de Canadá, y la autenticación mediante identificación de llamadas se está extendiendo internacionalmente, con mercados como Francia que han implementado sus propios sistemas. La cobertura aún es desigual y la verificación transfronteriza está en desarrollo, por lo que este marco se entiende mejor como una tendencia global en crecimiento, más que como un estándar universalmente implementado en 2026.

### ¿Funciona STIR/SHAKEN en redes que no son IP (TDM)?

No de forma nativa. La firma se incluye en el encabezado de identidad SIP, por lo que depende de la ruta de la llamada IP. Cuando una llamada atraviesa un segmento TDM antiguo, la firma puede perderse y la certificación, perderse. Superar esta brecha para las llamadas que atraviesan infraestructuras antiguas —mediante mecanismos fuera de banda— es un área de trabajo activa en materia de estándares.

## Referencias

- IETF — RFC 8224, Gestión de identidad autenticada en SIP: [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc8224)
- IETF — RFC 8225, PASSporT: Token de aserción personal: [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc8225)
- IETF — RFC 8226, Credenciales de identidad telefónica seguras (certificados): [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc8226)
- ATIS — Estándares SHAKEN y autenticación de llamadas: [atis.org](https://www.atis.org/)
- FCC — Autenticación de llamadas / STIR/SHAKEN: [fcc.gov](https://www.fcc.gov/call-authentication)