¿Constancia CURP Falsa? Cómo Revisar el QR y los Datos en 2 Pasos

Recursos humanos, escuelas, financieras y despachos piden la constancia de la CURP todos los días, casi siempre como un PDF que llega por correo o por WhatsApp. Y casi siempre la revisión consiste en abrirla y ver que "se ve bien".

El problema es que verse bien no prueba nada. El diseño de la constancia es público, cualquiera lo puede reproducir, y editar un nombre en un PDF toma minutos. Lo que sí se puede revisar es lo único que un falsificador no controla: a dónde lleva el código QR y qué devuelve el sitio oficial cuando lo sigues.

Dónde está la autenticidad de la constancia

La constancia que se descarga de gob.mx no lleva sello digital ni firma electrónica. No hay una cadena criptográfica que validar, como en un CFDI. Su mecanismo de autenticidad es el código QR, que no contiene los datos de la persona: es una dirección que apunta a consultas.curp.gob.mx, el sitio oficial que vuelve a imprimir esa constancia.

Eso define la revisión: comprobar que el QR lleve al sitio oficial, y comprobar que lo que el sitio oficial devuelve coincida con el documento que te entregaron. Son dos pasos, y el primero sin el segundo deja pasar el caso más común.

Paso 1: a dónde lleva el QR

Un documento alterado puede conservar el diseño de la constancia y cambiar el QR por uno que apunte a un sitio parecido, que muestre lo que el falsificador quiera. Si alguien escanea ese QR con el celular y ve una "constancia" en pantalla, parece confirmado.

La revisión es estricta:

La dirección tiene que llevar exactamente a consultas.curp.gob.mx. Un dominio parecido (otra terminación, una letra de más, un subdominio de otro sitio) no cuenta.
Tiene que ser por https.
Si el QR contiene cualquier otra cosa (texto, un enlace acortado, otro sitio) la constancia no es la que emite el gobierno, o fue modificada.

Este paso atrapa el QR sustituido. Lo que no atrapa es el documento con el QR original intacto y los datos impresos editados: el QR lleva al sitio correcto, pero al registro de otra persona.

Paso 2: comparar contra la reimpresión oficial

Para ese caso hay que seguir el QR y comparar. El sitio oficial devuelve la constancia de ese registro tal como la emite hoy, y se contrasta con el documento recibido:

Nombre
CURP
Entidad de registro

La fecha de la carta no se compara: la reimpresión lleva la fecha del día en que se pide, así que nunca coincide con la del documento original, y eso no dice nada.

Dos límites importantes de este paso:

Necesita el PDF. Con una foto o una captura de pantalla solo se puede leer el QR, no hay texto que comparar con seguridad. Si la constancia importa, pide el PDF descargado de gob.mx.
Una respuesta incompleta no es una acusación. Si el sitio oficial no responde, devuelve un documento a medias o devuelve un tipo de documento distinto, lo correcto es decir "no se pudo verificar", no "es falsa". Acusar de falsificación a una persona real por una conexión cortada es peor que no revisar.

Lo que una constancia auténtica no prueba

Una constancia auténtica prueba cómo se emitió. No prueba que la CURP siga vigente hoy.

Si después de descargarla la CURP se dio de baja (por duplicidad, por defunción, por resolución judicial), el PDF que la persona guardó en su teléfono no cambia. Sigue siendo un documento auténtico de un registro que ya no está vigente. El estatus actual solo consta en el registro de RENAPO, y se confirma consultándolo, no revisando el papel.

Si lo que necesitas es saber si la CURP existe y está activa, ese es otro paso: validar vs. verificar una CURP explica la diferencia. Y si quieres comprobar que la CURP corresponde a la persona que la entrega, está el cotejo contra nombre, fecha, sexo y entidad.

El QR es un dato personal: trátalo como tal

Un detalle que casi nadie considera: el enlace del QR permite volver a descargar la constancia de esa persona, con su nombre y su CURP, y no caduca: quien tenga el enlace puede usarlo cuando quiera.

En la práctica:

No reenvíes constancias ni el enlace del QR en grupos o canales abiertos.
No subas constancias a herramientas que no expliquen qué hacen con el archivo.
Si digitalizas expedientes, la constancia merece el mismo cuidado que una identificación oficial.

Un proceso de recepción que sí funciona

Para un área de recursos humanos o de onboarding que recibe constancias con regularidad:

Pide el PDF, no una foto ni una captura.
Revisa el origen del QR: dominio exacto y https.
Compara nombre, CURP y entidad contra la reimpresión oficial.
Si la decisión depende de la vigencia, verifica la CURP en el registro de RENAPO, no en el documento.
Trata "no se pudo verificar" como pendiente, no como rechazo: repite la revisión más tarde o pide el documento de nuevo.

Hicimos un verificador de constancias gratuito que hace los pasos 2 y 3, sin cuenta. El QR se lee en tu navegador; solo un PDF cuyo QR lleva al sitio oficial se envía a nuestro servidor para compararlo, y no se guarda ni se registra. Las fotos y los documentos cuyo QR lleva a otro sitio no salen de tu navegador.

Para el paso 4 dentro de tu propio sistema, la API valida, coteja y verifica la CURP en RENAPO en una sola llamada, a 1 token por respuesta.