El registro sin número de Signal sustituye la verificación telefónica por pruebas de conocimiento cero
El registro sin número de Signal ha pasado de ser una petición histórica de los usuarios a convertirse en código funcional para Android, pese a años de verificación telefónica obligatoria. Cambios recientes añaden la creación de cuentas sin número, inicio de sesión, gestión de pagos, recuperación y pruebas integrales. El código también utiliza una credencial de conocimiento cero, que permite demostrar autorización sin revelar el registro de compra subyacente durante el registro.
Esta combinación es importante porque eliminar los números de teléfono plantea un difícil problema de abuso. Un número de teléfono nunca ha garantizado una identidad real, pero obtener números impone fricción a quienes crean cuentas desechables. Signal parece estar preparada para sustituir esa barrera imperfecta por una credencial de pago, separando al mismo tiempo el pago de la cuenta resultante.
Esto es más que otro ajuste de privacidad. Signal introdujo los nombres de usuario en 2024, pero los usuarios aún necesitaban números de teléfono para registrarse. Servicios como SimpleX han convertido la comunicación sin identificadores en un elemento central de sus diseños. Signal está probando ahora si un mensajero cifrado convencional puede eliminar los números de teléfono sin convertir las compras en un mecanismo de seguimiento duradero.
El registro sin número de Signal ya es visible en el código de Android
Signal no ha anunciado un lanzamiento público, pero su repositorio de Android muestra un flujo coordinado de registro sin número, no un experimento aislado.
El 2 de septiembre de 2026, los desarrolladores de Signal incorporaron el trabajo de registro de “cuenta sin número” al repositorio público de Android. El cambio modificó 49 archivos, añadió 871 líneas y eliminó 359. Su alcance abarcó pantallas de registro, estado de la cuenta, solicitudes de red, recuperación, pruebas y creación de nombres de usuario.
Los cambios de código permiten al sistema de registro tratar un número de teléfono como opcional. También permiten a la aplicación reconocer una cuenta cuyo dispositivo principal no tiene un identificador de número de teléfono, conocido internamente como PNI. Esa distinción va más allá de la primera pantalla de registro.
La aplicación de Signal asumía anteriormente que las cuentas principales tenían números de teléfono E.164, el formato internacional utilizado para representar números telefónicos. La compatibilidad con cuentas sin número obliga al cliente a revisar esas suposiciones allí donde el registro, la restauración, el descubrimiento de contactos o el estado de la cuenta dependan de un número.
El mismo grupo de cambios del 2 de septiembre oculta ajustes que no se aplican a las cuentas sin número. Entre ellos se incluyen los controles de detectabilidad del número de teléfono y algunos recordatorios de PIN. Otros cambios añaden una configuración especial de código de país sin número y compatibilidad de inicio de sesión para una cuenta sin número existente.
Un cambio independiente introdujo una nueva credencial de la biblioteca criptográfica zkgroup de Signal. Esta biblioteca admite credenciales que preservan la privacidad y operaciones de grupo. El cliente de registro puede presentar dicha credencial al crear una cuenta sin proporcionar un número de teléfono.
Signal continuó ese trabajo el 9 de septiembre con la gestión de pagos y más correcciones para cuentas sin número. Las incorporaciones cubren la incorporación de copias de seguridad, restauración de cuentas, descubrimiento de contactos, sincronización multidispositivo y errores de bloqueo de registro. Signal también añadió 619 líneas de “pruebas de registro” que cubren flujos sin número.
Esa amplitud es significativa. Un prototipo podría detenerse tras mostrar una nueva pantalla de registro. En cambio, estos cambios abordan las dependencias menos visibles que a menudo impiden que una modificación de un sistema de identidad llegue a los usuarios.
La función sigue restringida a compilaciones internas, según el repositorio. Los usuarios públicos de Android no deberían interpretar el código incorporado como disponibilidad inmediata. Signal no ha publicado una fecha de lanzamiento, una lista de países compatibles, una política de pagos ni documentación final para usuarios.
Por tanto, la evidencia respalda una conclusión limitada. Signal está implementando y probando activamente cuentas sin número, incluidos sus mecanismos de pago y privacidad. Aún no establece cuándo el registro sin número de Signal se convertirá en una función general.
Esta distinción es especialmente importante para los usuarios existentes. El código visible crea y restaura cuentas sin número, pero no promete claramente que los usuarios ya registrados puedan eliminar un número vinculado. Un participante de la comunidad preguntó si una cuenta existente podía desvincularse, y otro colaborador señaló que los cambios disponibles no establecían esa opción.
En consecuencia, la primera versión podría admitir nuevas cuentas sin número sin convertir las cuentas antiguas. También podría limitar la función por plataforma, región o cohorte de pruebas. Hasta que Signal publique su diseño, estas preguntas siguen abiertas.
Por qué Signal necesita un sustituto para la verificación telefónica
Eliminar el número de teléfono también elimina un recurso escaso que Signal ha utilizado para ralentizar el registro automatizado y el abuso de cuentas desechables.
Los números de teléfono desempeñan varias funciones dentro de los sistemas de mensajería. Ayudan a los usuarios a encontrar contactos, proporcionan un canal de recuperación conocido y crean un identificador de cuenta que la gente ya entiende. También introducen un coste cuando un atacante necesita cientos o miles de registros.
Ninguna de esas ventajas hace que un número de teléfono sea privado o seguro por defecto. Los números suelen estar vinculados a identidades legales, registros de facturación, empleadores e historiales de ubicación. Las personas pueden perderlos por reasignación, cancelación de cuenta o ataques de intercambio de SIM.
Signal redujo la exposición interpersonal cuando introdujo los nombres de usuario y nuevos controles de privacidad en 2024. Su “diseño de nombres de usuario” oficial permite iniciar conversaciones sin compartir los números. Se requieren nombres de usuario exactos, y Signal no ofrece un directorio público con función de búsqueda.
Sin embargo, los nombres de usuario modificaron el descubrimiento, no el registro. La documentación de soporte actual de Signal todavía indica que el servicio utiliza un número de teléfono existente. Un número debe recibir un mensaje SMS o una llamada telefónica durante la creación convencional de una cuenta.
Esa brecha ha frustrado durante años a los usuarios centrados en la privacidad. Un periodista podría querer publicar un nombre de usuario de Signal sin exponer un número personal. Un organizador podría necesitar una identidad separada sin comprar otra línea móvil. El propietario de una tableta podría no tener ningún número disponible.
El riesgo aumenta para quienes tienen registros telefónicos accesibles para empleadores, empresas de telecomunicaciones o gobiernos. El cifrado de extremo a extremo protege el contenido de los mensajes durante el tránsito. No elimina todos los registros externos creados al adquirir y mantener un número de teléfono.
Sin embargo, eliminar simplemente el requisito del número haría que crear cuentas fuera barato y repetible. Los spammers podrían alternar entre nombres de usuario tras ser bloqueados. Los operadores de fraude podrían reconstruir inventarios de cuentas, mientras que los sistemas automatizados podrían saturar las solicitudes de mensajes o la infraestructura.
Signal ya limita lo que pueden hacer los remitentes no solicitados, pero el cifrado del contenido restringe la moderación del lado del servidor. El servicio no puede inspeccionar cada conversación y clasificar texto abusivo como puede hacerlo una plataforma sin cifrar. Por tanto, la fricción en el registro tiene mayor peso.
Un participante de la comunidad identificó otro problema de conversión. Si los usuarios pudieran registrarse con un número y desvincularlo inmediatamente, un número podría generar muchas cuentas gratuitas. Un periodo de espera ralentizaría ese ciclo, pero los atacantes decididos podrían esperar o distribuir su actividad.
Un requisito de pago proporciona un recurso escaso diferente. Exige que cada persona registrada obtenga una compra válida en lugar de un número de teléfono válido. El cargo puede disuadir la creación masiva sin obligar a Signal a conservar una identidad vinculada al teléfono.
Este enfoque desplaza la presión en lugar de eliminarla. Los sistemas de pago crean sus propios registros, restricciones geográficas y barreras de acceso. Quien no disponga de un método de pago compatible podría encontrar el registro sin número menos accesible que la verificación por SMS.
Los operadores de tiendas también pueden saber que se realizó una compra. Google Play, los intermediarios financieros u otro proveedor de pagos podrían asociar esa transacción con una cuenta existente. La cuestión central de privacidad es si Signal puede canjear la compra sin saber qué cuenta de mensajería eventual la adquirió.
Ahí es donde la credencial de conocimiento cero entra en el diseño. Su objetivo es separar dos afirmaciones que, de otro modo, llegarían juntas: existe una compra válida y esta cuenta concreta de Signal la realizó.
Cómo la credencial de conocimiento cero rompe el vínculo con el pago
El mecanismo propuesto permite a Signal verificar la elegibilidad y evitar a la vez un registro reutilizable que una directamente el pago con la cuenta nueva.
Una prueba de conocimiento cero permite a una parte demostrar que una afirmación es verdadera sin revelar el secreto que hay detrás de ella. Aquí, la afirmación relevante no es el nombre del usuario ni su identidad financiera. Es que la persona registrada posee una credencial de recibo autorizada.
El código visible de Android crea una solicitud de recibo aleatorizada y la envía a través de un endpoint de registro relacionado con pagos. Tras verificarse la compra, el cliente recibe una respuesta de credencial. A continuación, el cliente comprueba esa respuesta y construye una presentación de credencial para el registro de la cuenta.
Este proceso utiliza conceptos de credenciales ciegas. Una credencial ciega permite a un emisor autorizar un valor oculto sin conocer ese valor en una forma que pueda reconocer posteriormente. El usuario puede demostrar más tarde que la posee, limitando al mismo tiempo la posibilidad de vincular la emisión y el canje.
En términos prácticos, el servicio de pagos de Signal puede validar un token de compra y emitir un recibo criptográfico. Posteriormente, el servicio de registro puede verificar la presentación de ese recibo. Un protocolo correctamente diseñado impide que el servidor relacione la presentación con el registro de emisión anterior.
El código de septiembre hace visible esa separación mediante varios objetos distintos. Entre ellos se incluyen un número de serie de recibo, contexto de solicitud, respuesta de credencial, credencial y presentación de credencial. La aleatoriedad interviene cuando el cliente crea el contexto de solicitud.
La implementación de pagos también trata la compra como una categoría de producto reutilizable, en lugar de una suscripción. El “flujo de pago” visible permite comprar repetidamente el mismo artículo de pago único. Comprueba si existe una compra sin consumir antes de iniciar otro cargo.
Tras un canje satisfactorio, la aplicación puede consumir el token de compra. Esto hace que el artículo de la tienda pueda volver a comprarse, a la vez que evita que el mismo token autorice registros repetidos. Este detalle conecta el objetivo antispam con el diseño de la credencial.
Por tanto, el sistema necesita dos protecciones a la vez. La credencial debe ser suficientemente no vinculable para proteger a las personas registradas, mientras que las reglas de canje deben impedir el uso duplicado. Una debilidad en cualquiera de los dos lados socavaría la función.
Si los registros de pago y registro se vincularan directamente, el registro sin número simplemente sustituiría un identificador de telecomunicaciones por un identificador financiero. Eso podría ofrecer comodidad, pero no proporcionaría la mejora de privacidad que sugiere la función.
Si la credencial pudiera copiarse o reproducirse, los atacantes podrían comprar una vez y crear muchas cuentas. Signal perdería entonces la resistencia al abuso que motivó el pago. Los números de serie de los recibos, los pasos de verificación y el proceso de consumo del código parecen diseñados para evitar ese resultado.
Signal ya aplica ideas criptográficas relacionadas en otros ámbitos. Su sistema de grupos privados utiliza credenciales anónimas para que los servidores puedan aplicar operaciones de grupo sin conocer la pertenencia al grupo durante el funcionamiento normal. Las insignias de donación también usan credenciales de recibo para separar los pagos de las insignias de perfil.
Este historial reduce la novedad de la implementación, pero no elimina el riesgo de despliegue. Reutilizar un primitivo ya revisado es más seguro que inventar uno nuevo. El registro sigue introduciendo nuevos endpoints, transiciones de estado, dependencias de tiendas y casos de fallo.
El código fuente visible tampoco puede demostrar qué conservan los servidores de producción. La criptografía del lado del cliente puede limitar lo que revela un protocolo válido. Los investigadores aún necesitan la implementación final del servidor, la especificación del protocolo, la política de retención y el comportamiento del despliegue para evaluar la afirmación completa.
El trabajo anterior de Signal sobre el “descubrimiento privado” ilustra la misma filosofía. Sus clientes deberían evitar confiar a los servidores grafos sociales en texto plano siempre que sea posible. El registro sin número extiende ese principio a la creación de cuentas.
El mecanismo también protege una relación específica, no todas las formas de metadatos. Una tienda aún puede saber que alguien compró un artículo relacionado con Signal. Signal aún puede observar solicitudes de red, tiempos, información del dispositivo y la actividad posterior de la cuenta dentro de su arquitectura de servicio habitual.
Por ello, los usuarios deberían interpretar “conocimiento cero” con precisión. Describe lo que una prueba oculta dentro de un protocolo definido. No significa que todos los participantes no sepan nada sobre cada evento.
Para un usuario de alto riesgo, el momento sigue siendo especialmente relevante. Comprar una credencial y canjearla segundos después podría permitir correlaciones entre sistemas separados. La separación de redes, el procesamiento por lotes, el canje diferido u otras decisiones operativas podrían reducir esa exposición.
Signal no ha explicado si el flujo de trabajo final introduce tales medidas. Tampoco ha indicado qué metadatos de pago reciben o conservan sus servidores. Esas omisiones importan más que la etiqueta tranquilizadora asociada a la criptografía.
El registro sin teléfono cambia la posición competitiva de Signal
Signal está pasando de ocultar los números de teléfono dentro de las conversaciones a eliminarlos de la creación de cuentas, un ámbito en el que varios rivales centrados en la privacidad ya se diferencian.
WhatsApp sigue centrando el registro de cuentas en los números de teléfono, aunque también utiliza el Signal Protocol para el cifrado de mensajes. Telegram usa de manera similar los números durante el registro estándar y ofrece nombres de usuario para el descubrimiento. Estos diseños mantienen una fácil coincidencia de contactos, pero heredan los costes de privacidad de la identidad basada en teléfonos.
Históricamente, Signal ocupaba una posición similar. Su cifrado de mensajes recibió valoraciones sólidas, pero los críticos podían señalar la verificación telefónica obligatoria como un vínculo de identidad fundamental. Los nombres de usuario redujeron la exposición entre contactos sin eliminar ese vínculo durante el registro.
El registro sin número de Signal reduciría la brecha con los servicios diseñados en torno a identificadores alternativos. SimpleX, por ejemplo, afirma que su red no asigna a los usuarios un identificador global. Los contactos se conectan mediante enlaces de invitación y direcciones por pares, en lugar de un número de teléfono o nombre de usuario universal.
Session utiliza identificadores de cuenta en lugar de números de teléfono y distribuye el enrutamiento de mensajes a través de una red descentralizada. Matrix permite cuentas en servidores operados de forma independiente, normalmente con nombres de usuario vinculados a un servidor de origen elegido. Cada vía plantea distintas compensaciones en descubrimiento, moderación, metadatos y usabilidad.
Signal no está adoptando las arquitecturas de esos sistemas. Sigue siendo un servicio operado de forma centralizada, con una relación entre cliente y servidor estrechamente controlada. El trabajo sin número modifica su credencial de registro, no su enfoque respecto a la federación o la gobernanza de infraestructura.
Ese enfoque tiene sentido para las prioridades declaradas de Signal. La operación centralizada le permite actualizar protocolos, desplegar controles contra abusos y coordinar el comportamiento de los clientes. También concentra la confianza en la implementación y las políticas de Signal, incluso cuando el cifrado minimiza los datos disponibles.
Por tanto, el cambio competitivo es más limitado que decir que “Signal se vuelve anónimo”. Una cuenta sin número aún puede tener un nombre de usuario, nombre de perfil, dispositivo, dirección de red, contactos y patrones de comportamiento. La privacidad depende de cómo interactúan esas señales con la identidad real del usuario.
Lo que cambia es el requisito predeterminado de presentar un punto de conexión telefónico antes de unirse. Eso importa porque los números de teléfono son identificadores especialmente duraderos e interoperables. Circulan entre sistemas de mensajería, banca, publicidad, empleo y administraciones públicas.
Una credencial de pago tiene propiedades diferentes. Puede imponer fricción económica sin convertirse en la dirección que usan los contactos. Si su separación criptográfica funciona, la compra puede autorizar el registro sin permanecer vinculada a la cuenta.
Ese diseño también modifica la competencia en usabilidad. Signal puede conservar nombres de usuario familiares y una experiencia de contactos pulida mientras ofrece una vía de acceso más privada. Los rivales basados en identificadores anónimos suelen pedir a los usuarios que entiendan enlaces de invitación, selección de servidores o modelos de recuperación poco familiares.
Sin embargo, el enfoque de Signal podría excluir a personas que no pueden usar la tienda o el sistema de pago compatible. Las herramientas de privacidad suelen servir a usuarios en entornos restringidos, incluidas regiones con tiendas de aplicaciones limitadas. Una opción dependiente de pagos necesita un acceso más amplio que una sola integración de facturación de Android.
Los commits exponen actualmente compatibilidad con la facturación de Google Play, mientras que las compilaciones que no usan Play pueden informar de que la compra no está disponible. Esto plantea preguntas inmediatas para los usuarios de tiendas alternativas de Android y paquetes de aplicaciones directos. Signal no ha anunciado su plan final multiplataforma.
La plataforma de Apple requeriría su propia implementación y revisión. Los dispositivos de escritorio no pueden crear cuentas principales bajo los mismos supuestos que los clientes móviles actuales. Un lanzamiento completo debe decidir qué combinaciones de dispositivos y pagos pueden originar una identidad sin número.
La comparación con la verificación telefónica también variará según la región. La entrega de SMS puede fallar en algunos países, mientras que los números prepago siguen siendo accesibles en otros. La facturación mediante tiendas puede funcionar bien para un usuario y volverse imposible para otro.
Signal tendrá que presentar el registro sin número como una opción con limitaciones definidas. Tratarlo como un sustituto universal de los números exageraría lo que admite el código actual. El diseño más sólido podría preservar varias vías de registro manteniendo claras sus propiedades de privacidad.
Las preguntas más difíciles comienzan después de que la prueba tiene éxito
Las credenciales de conocimiento cero pueden romper un vínculo, pero la recuperación, el control de abusos, el acceso a pagos y los metadatos determinan si el sistema completo merece confianza.
La recuperación de cuentas es el primer punto de presión. Un número de teléfono ofrece a los usuarios un canal externo para recuperar una identidad, aunque ese canal crea riesgos de intercambio de SIM. Una cuenta sin número debe depender de secretos, dispositivos, copias de seguridad u otras credenciales.
Los cambios de Android incluyen compatibilidad con gestores de contraseñas para el inicio de sesión sin número y un proceso de incorporación de copias de seguridad ajustado. También eliminan cierto comportamiento de PIN para las cuentas sin número. Estos detalles sugieren que Signal espera que el material de recuperación asuma más responsabilidad.
Ese cambio puede mejorar la seguridad para los usuarios cuidadosos. También puede provocar la pérdida permanente de una cuenta cuando las personas extravían una credencial o no guardan un secreto de recuperación. Signal debe explicar esa consecuencia antes del registro, no después de que desaparezca un dispositivo.
El código se refiere a un grupo de entropía de cuenta, un secreto de alta entropía utilizado en los flujos de trabajo de copias de seguridad y recuperación. Un gestor de contraseñas puede almacenar esa información de forma más fiable que la memoria humana. Sin embargo, los usuarios que no tienen un gestor de contraseñas necesitan una alternativa segura y comprensible.
El abuso es el segundo punto de presión. Un pago disuade el registro masivo solo cuando su coste y las reglas de canje afectan de manera significativa a los atacantes. Las operaciones fraudulentas pueden utilizar instrumentos de pago robados, cuentas de tienda comprometidas o esquemas de reembolso.
Signal también debe decidir cómo interactúan las prohibiciones con las credenciales nuevas. Si un actor bloqueado puede comprar inmediatamente otro registro, el sistema genera fricción sin detener la persistencia. Si Signal vincula demasiada información para aplicar prohibiciones, debilita la promesa de privacidad.
Esta tensión no puede resolverse únicamente mediante criptografía. Las pruebas de conocimiento cero pueden demostrar que se produjo una compra válida e impedir la repetición simple. No pueden decidir qué señales de abuso debería recopilar Signal ni con qué agresividad debería correlacionarlas el servicio.
La accesibilidad de los pagos genera una tercera preocupación. El trabajo visible de Android depende de Google Play para su vía de compra implementada. Los dispositivos sin facturación de Play devuelven un estado de no disponibilidad, según los comentarios del código. Esto incluye algunas configuraciones y canales de distribución de Android orientados a la privacidad.
Por tanto, una función destinada a reducir la dependencia de las empresas de telecomunicaciones podría aumentar la dependencia de los operadores de tiendas de aplicaciones. Google podría no conocer la cuenta final de Signal, pero sí puede saber que su cliente compró un artículo de registro de Signal.
La distinción es significativa, pero incompleta. Algunos usuarios buscan principalmente que su cuenta de Signal esté separada de un número de teléfono. Otros también quieren evitar crear un registro financiero o en una tienda que indique el uso de Signal.
Signal podría acabar admitiendo proveedores de pago alternativos o vales. También podría diseñar credenciales transferibles que permitan a una persona autorizar a otra. El repositorio actual no establece esas opciones, por lo que deberían seguir siendo posibilidades y no expectativas.
Los metadatos generan la cuarta preocupación. Una credencial que preserva la privacidad puede ser matemáticamente imposible de vincular, mientras los eventos operativos siguen estando correlacionados. La hora de emisión, la hora de canje, las direcciones de red, las huellas del dispositivo y los registros de errores pueden reducir el anonimato.
El cliente de Signal está diseñado para revelar menos datos a sus servidores, pero ninguna red desplegada opera sin metadatos. El estándar relevante no es la invisibilidad perfecta. Es si el sistema recopila únicamente lo que necesita y evita vinculaciones innecesarias.
La evaluación independiente requerirá una descripción del protocolo y un modelo de amenazas claro. Signal debería identificar qué partes supone que pueden cooperar. Esa lista incluye al operador de la tienda, el procesador de pagos, el emisor de credenciales, el servicio de registro y el observador de red.
Los investigadores también deberán evaluar si una organización controla varios roles. La separación criptográfica puede seguir siendo valiosa incluso bajo una operación compartida. Sus garantías dependen de una construcción correcta, la gestión de claves, el comportamiento de los registros y los límites del despliegue.
Un hilo de la comunidad ayudó a sacar a la luz el código, pero la discusión comunitaria no es un anuncio oficial de producto. Algunos participantes describen el diseño con confianza, mientras otros cuestionan la desvinculación y la privacidad de los pagos. Su debate identifica problemas válidos sin resolverlos.
El repositorio de Android aporta pruebas más sólidas de la implementación. Aun así, representa software en desarrollo. Las banderas de funciones, interfaces, pruebas y comentarios pueden cambiar antes del lanzamiento, mientras que el comportamiento del servidor puede diferir de las suposiciones extraídas del código cliente.
Signal merece reconocimiento por hacer inspeccionable un trabajo sustancial del cliente. Esa visibilidad permite a los desarrolladores identificar credenciales de recibo, límites de pago y estados de cuentas sin número. También permite el escrutinio antes de que el lenguaje de marketing defina la narrativa.
La conclusión responsable es condicional. El mecanismo parece diseñado para impedir un vínculo directo entre pago y cuenta al tiempo que aplica una autorización de un solo uso. Aún no se ha verificado de forma independiente si el servicio desplegado logra ese objetivo.
Qué observar antes de que Signal lance cuentas sin número
Tres señales mostrarán si esto se convierte en una función de privacidad creíble: disponibilidad pública, un modelo de amenazas documentado y acceso amplio al registro.
La primera señal será una beta pública o una versión estable. El código de Android actualmente limita el registro sin número de teléfono a compilaciones internas. Llevar esa restricción a la beta demostraría que Signal considera que el flujo puede usarse fuera de su entorno de desarrollo.
Una beta también revelaría la secuencia real de incorporación. Los usuarios podrían comprobar si el pago es obligatorio, si se puede omitir la creación de un nombre de usuario y qué material de recuperación debe guardarse. La disponibilidad en las tiendas y las restricciones por país pasarían a ser medibles.
Habrá que observar si las cuentas existentes pueden desvincular sus números. El soporte únicamente para cuentas nuevas resuelve el alta de futuros usuarios, pero deja a la población actual de Signal vinculada a identificadores telefónicos históricos. Un proceso de migración ampliaría considerablemente el impacto de la función.
Signal debe explicar qué significa la desvinculación. Eliminar un número de la interfaz no equivale a borrar todos los registros relacionados en el servidor. Los usuarios necesitan una definición precisa del estado de la cuenta y una política de retención.
La segunda señal será la publicación de un diseño técnico. Un documento útil debería describir la emisión de credenciales, el canje de compras, la prevención de reutilización, la recuperación y los metadatos relevantes. También debería indicar qué pueden observar los proveedores de pago y los servicios de Signal.
Una revisión formal de seguridad reforzaría el caso. La biblioteca zkgroup ya se ha usado dentro de Signal, pero el registro sin número crea una nueva composición de protocolos. Los revisores deberían examinar tanto las matemáticas como el flujo de aplicación que las rodea.
La cuestión más importante es la vinculabilidad. Signal debería definir si el emisor puede reconocer una credencial canjeada, si se pueden correlacionar múltiples presentaciones y qué información temporal sigue disponible. Los límites claros son más creíbles que las afirmaciones amplias de anonimato.
La tercera señal será la cobertura de plataformas y pagos. La facturación de Google Play aparece en la implementación actual de Android. Una función de privacidad no puede atender a toda la audiencia de Signal si las compilaciones directas de Android, los usuarios de iOS o las regiones no compatibles carecen de una vía de registro.
Las credenciales alternativas reducirían esa dependencia. Los códigos regalo, la distribución mediante organizaciones sin ánimo de lucro o mecanismos de pago neutrales respecto al proveedor podrían ayudar a los usuarios sin cuentas compatibles en las tiendas. Cualquier vía de este tipo debe preservar el canje único y la resistencia al abuso masivo.
Los desarrolladores también deberían vigilar los repositorios de servidores y las bibliotecas de protocolos. Los nuevos endpoints, tipos de credenciales y documentación pueden revelar qué garantías se aplican criptográficamente. Las interfaces de cliente por sí solas no pueden responder a todas las preguntas sobre retención.
Las organizaciones sensibles a la privacidad deberían esperar esos detalles antes de modificar sus pautas de incorporación. Periodistas, investigadores, organizadores y empresas necesitan comprender los riesgos de recuperación y pérdida de cuentas junto con la menor exposición del número de teléfono.
Los trabajadores del conocimiento que evalúan herramientas de privacidad pueden registrar estas hipótesis de diseño en una base de conocimiento personal. Esto permite realizar una comparación duradera cuando Signal publique documentación o modifique el despliegue.
El registro sin número de Signal aborda una contradicción real. El servicio busca un alta que recopile pocos datos, pero debe impedir que las cuentas desechables saturen una red cifrada. Una credencial de pago no vinculable es una respuesta coherente, pero los detalles de implementación determinarán si funciona.
El siguiente paso corresponde a Signal. Debería lanzar la función, documentar los metadatos observables y explicar la recuperación sin ocultar la incertidumbre tras terminología criptográfica. Cuando eso ocurra, los lectores deberían plantearse una pregunta práctica: ¿puede cada parte demostrar lo que necesita sin obtener una vía duradera de regreso a la persona?
