Verificación de edad, EUDI Wallet y espuni — Preguntas frecuentes

El Artículo 28 de la DSA exige a las plataformas en línea accesibles a menores implantar medidas apropiadas y proporcionadas para garantizar un alto nivel de privacidad, seguridad y protección de los niños. No nombra una tecnología concreta, pero para las plataformas que ofrecen bienes o contenidos con restricción de edad, la verificación de edad es una de las medidas que los reguladores esperan. Las multas pueden llegar hasta el 6% de la facturación anual global.

Cualquier plataforma que ofrezca acceso a productos o contenidos con restricción de edad a usuarios de la UE — esto incluye la venta en línea de alcohol y tabaco, el juego, el contenido para adultos y las plataformas cuyos propios términos exigen que los usuarios sean mayores de 18 años. No se limita a los sitios de contenido para adultos: el comercio electrónico, los videojuegos con loot boxes y las plataformas generales bajo la DSA pueden entrar en el ámbito de aplicación.

El EU Age Verification Blueprint es la especificación técnica de la Comisión Europea para la verificación de edad respetuosa con la privacidad, publicada en ageverification.dev. Define cómo una plataforma puede verificar la edad de un usuario mediante credenciales basadas en el EUDI Wallet sin conocer su identidad, su fecha de nacimiento ni ningún identificador persistente.

No. Bajo el EU Age Verification Blueprint, la plataforma recibe solo una respuesta de sí/no sobre si el usuario supera un umbral de edad solicitado. No recibe el nombre, la fecha de nacimiento, el número de documento ni ningún identificador persistente. Esto está diseñado explícitamente para cumplir el Artículo 28(3) de la DSA, que establece que las plataformas no están obligadas a tratar datos personales adicionales únicamente para determinar si un usuario es menor de edad.

Bajo la Digital Services Act, las multas pueden llegar hasta el 6% de la facturación anual mundial total de un proveedor. La aplicación es activa: la Comisión Europea ha abierto procedimientos contra grandes plataformas por la protección de menores.

No necesariamente — puede mejorarla. En el mercado británico, un caso de estudio reportó una reducción del 50% en cancelaciones de pedidos con productos restringidos por edad tras añadir verificación, con la mayoría de clientes verificados sin fricción. La verificación de edad que preserva la privacidad devuelve un simple sí/no, así que puede funcionar con mínima interrupción en la experiencia de compra. (Fuente: UK Government Digital Identity Sectoral Analysis Report 2026, DSIT — mercado del Reino Unido bajo la Online Safety Act.)

La verificación de edad es uno de los segmentos de más rápido crecimiento del sector de identidad digital. En el Reino Unido, la proporción de proveedores que ofrecen age assurance pasó del 23% al 31% en un solo año, y la verificación de edad como caso de uso se duplicó, impulsada por la Online Safety Act. En la UE, el Artículo 28 del DSA y el despliegue del EUDI Wallet apuntan a una demanda comparable. (Fuente: UK Government Digital Identity Sectoral Analysis Report 2026, DSIT.)

El Age Verification Use Case Manual de la Comisión Europea sitúa el coste actual de la verificación de edad tradicional entre 1 y 5 euros por transacción. La verificación basada en cartera cambia esa economía de raíz: como la comprobación es una validación de firma criptográfica y no un proceso manual o documental, el coste marginal por verificación baja a céntimos. El pricing por uso de espuni refleja esto.

La Comisión Europea estima que millones de personas usarán la verificación de edad a través de las carteras EUDI para acceder a servicios online, comprar productos con restricción de edad y entrar en locales con límite de edad. Solo el sector del juego online cuenta con 23 millones de jugadores habituales en la UE. Con la aplicación del Artículo 28 del DSA activa y las carteras nacionales desplegándose a lo largo de 2026, la verificación basada en cartera está posicionada para convertirse en el mecanismo por defecto en toda la UE.

Ya lo está, en parte. AltID de Dinamarca lanzó en producción en junio de 2026 como el primer emisor de credenciales de verificación de edad en la Trusted List de producción de la UE. La Comisión Europea anunció la app de verificación de edad de la UE como técnicamente lista en abril de 2026, con distribución en los estados miembros piloto durante el verano de 2026 e integración nativa en las carteras nacionales prevista para finales de 2026. Siete estados miembros front-runner — Dinamarca, Francia, España, Italia, Grecia, Chipre e Irlanda — están integrando la verificación de edad en sus carteras nacionales.

La plataforma (actuando como verificador o relying party) envía una petición de presentación al EUDI Wallet del usuario solicitando un atributo de edad concreto, por ejemplo age_over_18. El wallet, con el consentimiento del usuario, devuelve una presentación firmada que contiene solo ese booleano. El verificador comprueba la firma del emisor contra una lista de confianza pública — no hace falta contactar con el emisor.

OpenID for Verifiable Presentations (OID4VP) es el protocolo de la OpenID Foundation utilizado para solicitar y recibir credenciales a través de internet. Para la verificación de edad, la UE define un Age Verification Profile (AVP) específico sobre OID4VP que simplifica el flujo para el caso de uso de edad. Se apoya en OAuth 2.0 y normalmente entrega la presentación mediante un código QR o un enlace en el mismo dispositivo.

HAIP (High Assurance Interoperability Profile) cubre todos los tipos de credencial, exige que el verificador se registre y se autentique con un certificado, y obliga a respuestas cifradas. AVP (Age Verification Profile) se limita a la prueba de edad, no requiere registro del relying party y autentica al verificador por URI. Para la verificación de edad, AVP es el camino con menos fricción.

Usa el formato mdoc (documento móvil) de la norma ISO/IEC 18013-5, codificado en CBOR, el mismo formato que se emplea para los permisos de conducir móviles. Los atributos de edad se presentan mediante divulgación selectiva, de modo que solo se comparte el atributo solicitado — por ejemplo age_over_18 — y el resto de la credencial permanece oculto.

Puedes hacer cualquiera de las dos cosas. Construirlo internamente sobre componentes de código abierto como EUDIPLO es posible, pero conlleva un coste de mantenimiento continuo a medida que evolucionan las especificaciones y cada estado miembro publica su propio wallet. Un servicio gestionado se encarga del protocolo, la gestión de la lista de confianza y la compatibilidad de wallets, de forma que la integración sigue siendo una sola API en lugar de un compromiso de ingeniería permanente.

EUDIPLO es un middleware de código abierto de la OpenWallet Foundation (con licencia Apache 2.0) que implementa los protocolos de emisión y verificación del EUDI Wallet. Proporciona el motor de protocolo para interactuar con los EUDI Wallets, pero un despliegue en producción todavía necesita integración, gestión de la lista de confianza, pruebas de wallets y mantenimiento continuo a su alrededor.

Una Trusted List (lista de confianza) es un registro firmado de emisores de credenciales autorizados, publicado por la UE. Un verificador la usa para confirmar que una credencial de edad presentada fue emitida por una autoridad reconocida. La UE publica una Age Verification Trusted List específica para los entornos de prueba y de producción.

AltID es el wallet de identidad digital de Dinamarca, lanzado en junio de 2026 por la Agencia Danesa para la Administración Digital. Es el primer emisor de credenciales de verificación de edad en la Trusted List de producción de la UE. Emite dos credenciales: una prueba de identidad (PID) y una prueba de edad.

No. En contra de lo que dijeron algunos medios, AltID no se lanzó con pruebas de conocimiento cero. Consigue la no-vinculabilidad mediante credenciales de un solo uso emitidas en lotes — cada presentación consume una credencial distinta, de modo que dos verificadores nunca ven la misma. Se espera ZKP más adelante, una vez que la Comisión finalice la especificación.

La credencial de prueba de edad de AltID contiene nueve umbrales: age_over_13, 15, 16, 18, 21, 23, 25, 27 y 67. El verificador solicita uno y el usuario divulga solo ese — una plataforma que comprueba age_over_18 nunca averigua si el usuario también es mayor de 21.

No. Para las peticiones de prueba de edad, AltID no exige registro en su Registro de Relying Parties — el verificador se autentica por URI bajo el Age Verification Profile. El registro solo se requiere para solicitar la credencial de identidad (PID), no para la prueba de edad.

AltID usa OID4VP siguiendo el EU Age Verification Profile para la verificación de edad en línea. En su lanzamiento no admite la Digital Credentials API del navegador. También ofrece un mecanismo offline propio de "QR firmado" para escenarios presenciales (de proximidad).

Bajo el Marco de Arquitectura y Referencia del EUDI Wallet, no se contacta con la autoridad emisora cuando presentas una credencial, así que no averigua cuándo ni dónde se usa la credencial. El requisito WIAM_12a exige además que el proveedor del wallet no pueda acceder al contenido del wallet. El panel de privacidad que registra tus presentaciones reside en tu dispositivo y es para tu propia auditoría.

El régimen de registro se aplica a los relying parties — las empresas y servicios que quieren solicitar tus atributos. Se registran en su estado miembro y declaran qué datos pretenden solicitar y bajo qué base legal. Los ciudadanos no se registran para usar su wallet.

En la capa de credencial, sí: diseños como los lotes de credenciales de un solo uso garantizan que dos verificadores no puedan correlacionar presentaciones a través de un identificador compartido. Esto por sí solo no aborda la correlación en la capa de red (por ejemplo, la dirección IP en flujos remotos), que es un problema aparte que el diseño de la credencial por sí solo no resuelve.

La EU Age Verification Solution está diseñada en torno a las pruebas de conocimiento cero, y el portal oficial presenta el ZKP como su mecanismo central de privacidad. En la práctica, el primer emisor de producción — AltID en Dinamarca — lanzó sin ZKP, logrando la no-vinculabilidad mediante lotes de credenciales de un solo uso. Ambos enfoques cumplen los requisitos de privacidad de la especificación. La verificación basada en ZKP llegará a medida que maduren la especificación y las implementaciones nacionales.

No. espuni procesa una verificación de edad y devuelve un resultado booleano más un identificador de sesión opaco y una marca de tiempo. No almacena identificadores del usuario final ni atributos personales. La plataforma vincula el resultado con su propio usuario en su propio sistema, bajo su propia base legal.

espuni es una plataforma de verificación de edad como servicio (Age Verification-as-a-Service) para plataformas en línea que necesitan cumplir las obligaciones del Artículo 28 de la DSA. Ofrece verificación de edad basada en el EUDI Wallet a través de una sola API, construida sobre el middleware de código abierto EUDIPLO y alineada con el EU Age Verification Blueprint.

espuni usa un precio sencillo basado en el uso, con un plan gratuito para empezar. La facturación se basa en las verificaciones completadas; las sesiones abandonadas o expiradas sin respuesta del wallet no se facturan. El precio de producción escala con el volumen — contacta para un presupuesto.

espuni está construido sobre el EU Age Verification Blueprint y OID4VP, por lo que funciona con cualquier EUDI Wallet conforme al blueprint. La compatibilidad con AltID (el wallet de producción de Dinamarca) está verificada a nivel de especificación mediante el Age Verification Profile.

No. espuni es un servicio comercial independiente construido sobre estándares abiertos y el middleware de código abierto EUDIPLO. No está afiliado ni respaldado por la Comisión Europea ni por ningún gobierno. Toda la información que publica se basa en fuentes públicas.

Como espuni está construido sobre el middleware de código abierto EUDIPLO (Apache 2.0), el cliente no queda atrapado en un proveedor: si espuni desapareciera, el motor de verificación subyacente sigue disponible y desplegable. Esto es una reducción deliberada del riesgo de concentración de proveedor frente a los proveedores totalmente propietarios.