El Manual Técnico de la Solución Tecnológica para Instituciones Diversas se publicó en el Diario Oficial de la Federación el 23 de enero de 2026. Es la especificación que hay que cumplir, y es más exigente de lo que aparenta.
El artículo 22 de los Lineamientos obliga a diferenciarlas, y el Manual las detalla. La tercera no termina nunca por sí sola.
Al recibir el reporte se localizan los datos más recientes que la institución tenga de esa CURP, para completar la ficha de búsqueda: nombre, domicilio, teléfono, correo, fotos y huellas.
Se notifica una sola vez, y sólo si hay algo que aportar.
Se recorre el histórico institucional desde la fecha de desaparición hasta hoy, con un tope de doce años fijado por el artículo 22 de los Lineamientos.
Cada coincidencia se notifica por separado, y al terminar se reporta el cierre de la fase aunque no se haya encontrado nada.
El reporte entra a monitoreo permanente: cada vez que aparece un registro nuevo o modificado que coincide con esa CURP, se notifica en automático.
No termina hasta que la PUI da de baja el reporte. Es la fase que un archivo subido a mano no puede cumplir.
Cuatro los desarrolla la institución y los invoca la PUI. Los otros cuatro los expone la PUI y los invoca la institución.
Entre los requisitos del API institucional, el Manual pide un «mecanismo de resincronización para solventar posibles tiempos de inactividad de los sistemas».
Hace falta porque el flujo normal va en un solo sentido y sin reintento garantizado: la
PUI llama a /activar-reporte una vez. Si el
servicio estaba fuera de línea en ese momento —un despliegue, un reinicio, una caída de
red— ese
reporte no vuelve a anunciarse. La institución nunca se entera, y deja de buscar a una
persona que sí estaba reportada.
La única forma de cerrar esa ventana es consultar GET
/reportes periódicamente y reconciliar. Nosotros lo corremos por calendario y
también cada vez que el servicio arranca, que es justo cuando más falta hace.
El Manual remite a OWASP API Security Top 10, OWASP ASVS, NIST SP 800-53 y NIST SP 800-115, y exige entre otras cosas:
Antes de autorizar la conexión, RENAPO exige los reportes de tres análisis sobre la URL Base y los endpoints de la institución:
El criterio de cumplimiento es exigente: los reportes deben evidenciar que la ruta base y los endpoints están 100% libres de vulnerabilidades críticas, altas, medias y bajas. Nada de «aceptamos riesgo medio». Y hay que sostenerlo en el tiempo, porque cada dependencia que publique un CVE vuelve a abrir el tema.
Es la parte que más se subestima al decidir construirlo internamente: no se trata de escribir cuatro endpoints, es mantener una superficie auditada indefinidamente.
Las fotos y las huellas se convierten a Base64 y se cifran con AES-256-GCM. Las huellas van con las etiquetas del Anexo 4 del propio Manual, y la calidad mínima que se pide es de 500 ppi en escala de grises de 8 bits.
Indíquenos a qué sector pertenece su institución y cómo resguarda su padrón. Le señalamos la modalidad que corresponde y su costo, sin compromiso.