CoDi en México: cómo funcionan los cobros con QR y qué cuidar

En CoDi, la plataforma de cobro digital del Banco de México, el comercio genera un mensaje de cobro (en QR, por NFC o enviado al celular del cliente) y quien paga lo acepta en la app de su banco, lo que detona una transferencia inmediata. Como el pagador autoriza cada operación y CoDi no contempla contracargos, quien vende en línea debe asegurarse de que el QR y los datos que muestra su página sean exactamente los que emitió: un cobro alterado se paga al instante y a la cuenta equivocada.

Cómo funciona un cobro CoDi

CoDi fue desarrollado por el Banco de México (Banxico) y empezó a operar el 30 de septiembre de 2019. Funciona sobre el SPEI, el sistema de pagos interbancarios del país, las 24 horas, todos los días, y Banxico informa que sus operaciones no generan comisiones adicionales. Cuando pagador y cobrador tienen cuentas en bancos distintos, la transferencia viaja por el SPEI; si están en el mismo banco, es una transferencia interna.

De acuerdo con las guías oficiales de Banxico, un cobro tiene cuatro pasos:

1. El comercio genera un CoDi con los datos de la venta (monto y concepto del pago) desde la app de su banco, una aplicación de terceros o la app CoDi Banxico.
2. El cobro llega al cliente: con un QR, que puede ser fijo en el establecimiento o generado en cada operación; por NFC, acercando los celulares; o, en ventas a distancia, como notificación en el celular.
3. El cliente revisa los datos del cobro en la app de su banco (entre ellos el nombre de quien recibe el pago, el monto y el concepto) y autoriza con NIP, huella, rostro o token.
4. Ambas partes reciben una notificación que confirma que el dinero ya está disponible en la cuenta del vendedor.

Para el comercio, las ventajas son claras: el dinero llega en segundos y, como el comprador acepta de forma explícita cada operación, Banxico destaca que no hay contracargos.

Dónde queda expuesto el comercio en línea

La seguridad de CoDi está en la infraestructura y en la autorización del pagador. El punto débil está antes: en la pantalla donde se presenta el cobro. En una tienda en línea, el QR de CoDi aparece en una página que carga plugins, scripts de terceros e integraciones. Si alguno de esos componentes se ve comprometido, puede cambiar el QR legítimo por otro generado para la cuenta de un delincuente, con el mismo monto y un concepto creíble.

El cliente escanea, ve un monto que coincide con su carrito y autoriza. El paso 3 (revisar el nombre de quien recibe) es la única barrera, y depende de que el cliente note un nombre distinto justo cuando solo quiere terminar su compra. Una vez autorizada, la transferencia es inmediata, y la misma característica que protege al comercio de los contracargos deja al cliente sin una vía sencilla para recuperar su dinero. Para la tienda, el resultado es un pedido pagado que nunca llegó a su cuenta y un cliente convencido de que la culpa fue suya.

Confirma con tu banco, no con el cliente

Como ambas partes reciben la confirmación del banco, la regla para liberar pedidos es sencilla: solo da por pagado lo que aparece como abono en tu cuenta o en la notificación de tu institución. Los comprobantes que envía el cliente, las capturas de pantalla o los mensajes de “ya pagué” no sustituyen esa revisión, y un aumento de pedidos “pagados” que no aparecen en tu estado de cuenta es una señal de alerta de que algo podría estar cambiando el cobro en el camino.

¿Y DiMo?

Banxico también ofrece DiMo (Dinero Móvil), que permite recibir transferencias usando solo el número de celular vinculado a la cuenta. El vínculo se hace en la app del banco, con el consentimiento del titular, y cada número queda asociado a una sola cuenta por institución. Para quien vende en línea aplica el mismo cuidado que con CoDi: si la página muestra un número de celular para pagar, ese dato también tiene que ser exactamente el tuyo.

Lista de verificación para aceptar CoDi en tu tienda en línea

• Genera un cobro por pedido, con monto cerrado y un concepto que identifique la compra, en lugar de un QR fijo para todos.
• Muestra el nombre del beneficiario que el cliente verá en su app, para que pueda compararlo antes de autorizar.
• Pide al cliente que revise nombre, monto y concepto en la app de su banco antes de confirmar.
• Libera pedidos solo con la confirmación de tu institución, nunca con capturas de pantalla.
• Reduce los scripts de terceros en la página de pago y mantén actualizados tu plataforma y tus plugins.
• Verifica, en el navegador del cliente, que el QR y los datos mostrados sean los que emitiste, y bloquea cualquier diferencia antes de que se escanee.

Cómo protege Proteside el cobro CoDi

Proteside funciona en tu página de pago y verifica, en el navegador del comprador, que el QR de CoDi, el beneficiario y el monto mostrados sean exactamente los que emitió tu tienda, y bloquea cualquier cambio antes de que el cliente autorice en su app. Conoce la protección para pagos con CoDi y pruébala gratis durante 14 días.