El RCS ganó cifrado de extremo a extremo. La especificación no dice hasta dónde llega.

Qué se anunció, y qué quedó fuera del anuncio

La GSMA anunció que el RCS pasa a tener cifrado de extremo a extremo usando MLS, el Messaging Layer Security estandarizado en el IETF. Es un cambio importante para un canal que nació como sucesor del SMS y que, hasta ahora, no tenía nada parecido. El mismo texto del anuncio también trata mejoras para el mensaje de negocio, y las dos cosas aparecen una al lado de la otra, en un solo documento, sin una línea que separe una de otra.

Lo que el anuncio no hace es trazar esa línea. No dice que el tráfico A2P — el de campaña, el de notificación transaccional, el código de verificación que llega cuando alguien entra en su cuenta — esté dentro del alcance del cifrado. Y tampoco dice que esté fuera. La entrada del IETF de abril de 2025, publicada por el organismo que estandariza MLS, tampoco delimita ese alcance: trata de la adopción del protocolo, no del recorte de qué mensajes cubre dentro del RCS.

Conviene decirlo con claridad: nada de esto es una acusación de omisión. Una especificación en fase de implantación rara vez delimita todo en el texto de anuncio, y el RCS está exactamente en esa fase. Anunciar la dirección antes de cerrar cada borde es como han funcionado siempre los estándares de telecomunicaciones, y probablemente como tienen que funcionar — la alternativa sería no anunciar nada hasta que todo estuviera cerrado, y entonces nadie podría prepararse.

La afirmación de este texto es más estrecha que eso. Hay gente que necesita la respuesta hoy, antes de que el borde se cierre, porque alguien le entregó una hoja de cálculo con una celda esperando un sí o un no. Es para esa persona que vale la pena escribir esto.

Qué es MLS, y por qué entra en esta conversación

MLS es un protocolo de cifrado para mensajería en grupo, estandarizado en el IETF. El problema que resuelve es concreto y difícil: mantener una conversación cifrada de extremo a extremo mientras el grupo cambia de tamaño — gente que entra, gente que sale, un dispositivo nuevo que se añade — sin que cada cambio cueste una renegociación con todo el mundo. Son años de trabajo hecho a la vista, y que el RCS lo elija es una señal de seriedad, no de marketing.

El detalle que importa aquí es qué define un protocolo así y qué no define. Define cómo se acuerdan las claves entre los participantes y cómo evoluciona el estado del grupo de forma segura. No define, por sí solo, quién cuenta como participante de qué conversación dentro de un sistema concreto. Esa es una decisión de arquitectura de quien implementa, y es la que responde la pregunta del cuestionario.

Por eso "el RCS usa MLS" y "tu mensaje de negocio va cifrado de extremo a extremo" son dos afirmaciones distintas, y la primera no implica la segunda. La distancia entre ambas no es retórica: es exactamente el espacio donde la especificación anunciada todavía no ha puesto una frase, y es el espacio que este texto describe en lugar de rellenar con una suposición.

A2P no es una categoría de marketing, es un camino distinto

A2P significa application-to-person: el mensaje que sale de un sistema, no de una persona escribiendo. El código de verificación, el aviso de entrega, la confirmación de cita. Nace en una aplicación, se entrega a una plataforma, y la plataforma lo pone en el canal. Esa es la definición del término, no una interpretación — si lo escribiera una persona sería P2P y la conversación sería otra.

Esa diferencia de origen ya basta para explicar por qué la pregunta es razonable. Una conversación entre dos personas tiene dos extremos evidentes, y "de extremo a extremo" resulta intuitivo. Un mensaje que nace en un sistema, pasa por un proveedor y llega a un teléfono tiene más de dos candidatos a extremo — y cuál de ellos cuenta es precisamente lo que una especificación tiene que decir para que la pregunta tenga respuesta.

Lo que no vamos a hacer es completar la frase. Circula una explicación según la cual el tráfico A2P quedaría fuera del alcance por el procesamiento en el operador, para filtro antifraude y retención regulatoria. Es plausible, puede ser correcta, y viene de blogs de proveedores. Escribirla aquí como hecho sería publicar el texto de otra empresa con nuestra marca debajo, y afirmar como establecido algo que ninguna especificación ha publicado.

Por qué un hueco de especificación se vuelve un problema operativo

El cuestionario de seguridad de un cliente corporativo pregunta si los mensajes están cifrados de extremo a extremo, y espera un sí o un no. Quien responde lo firma. La respuesta acaba como anexo de contrato, y a partir de ahí deja de ser una opinión técnica: es una declaración que alguien puede reclamar.

Responder que sí apoyándose en el anuncio afirma más de lo que la fuente sostiene. El anuncio habla del RCS como canal; el cuestionario pregunta por el tráfico de ese cliente en ese canal. Son preguntas distintas, y usar la respuesta de una para rellenar la otra es el tipo de atajo que nadie nota hasta el día en que alguien lo nota.

Responder que no afirma algo que ninguna especificación ha publicado, y tiene el coste inverso: le entregas al cliente una limitación que quizá no existe, y pierdes la conversación por un motivo que inventaste tú. Las dos respuestas cómodas son, hoy, indefendibles desde la fuente — y lo único que las separa es cuál da más trabajo después.

Queda la tercera, que es la honesta: decir lo que dice la fuente primaria, y decir dónde se detiene. En una auditoría, una respuesta que cita su fuente y marca su propio límite vale más que una respuesta redonda sin respaldo, porque la primera sobrevive a que alguien abra el enlace y la segunda no.

Cómo responder sin inventar

La respuesta que usamos tiene tres partes, y ninguna exige saber lo que aún no se ha publicado. La primera es el hecho: el RCS adopta cifrado de extremo a extremo mediante MLS, según el anuncio de la GSMA. La segunda es el límite: las fuentes primarias consultadas no delimitan si el tráfico A2P entra en el alcance de ese cifrado. La tercera es la fecha de la consulta, porque una ausencia tiene fecha de caducidad y quien lee necesita saber de cuándo es.

Suele bastar, y cuando no basta, lo que quiere la persona del otro lado no es la palabra "sí": es entender el riesgo. Ahí la conversación cambia de tema y mejora, porque pasa a ser sobre lo que de verdad protege ese flujo — quién tiene acceso al contenido en cada tramo, qué se retiene y durante cuánto tiempo, qué queda registrado, quién puede consultarlo. Esas preguntas tienen respuesta hoy, y son las que importan para la decisión que el cliente tiene que tomar.

Hay un efecto colateral que vale la pena nombrar: decir "la especificación no lo responde" cuesta una reunión más y compra una confianza que dura más que el contrato. Quien ya ha sido pillado afirmando de más conoce el precio de la otra opción, y no se cobra el día en que se hace la afirmación.

Qué nos haría reescribir esta página

Afirmar que una fuente no dice algo parece frágil, y es lo contrario: cualquiera lo comprueba en dos minutos abriendo los dos documentos. Una ausencia verificable es falsable, y eso es justamente lo que la convierte en una afirmación fuerte en lugar de una evasiva. Señala dónde mirar y acepta ser derribada.

Así que queda registrado qué cambia esta página: una publicación de la GSMA, o del organismo que estandariza MLS, que delimite el alcance del tráfico A2P dentro del cifrado del RCS. No un blog de proveedor, no un comentario en una conferencia, no lo que un ingeniero le contó a otro. Un documento público, citable por cualquiera que tenga que responder la misma pregunta. El día que aparezca, este texto cambia, y el cambio queda a la vista.

Por último, conviene separar dos conversaciones que suelen fundirse en una. El RCS trae el Brand Agent verificado, que ataca la suplantación de remitente — el problema más caro del SMS, y el que más dinero le quita a la gente corriente. Es un avance real y merece decirse. Pero alcance del cifrado y autenticidad del remitente son asuntos distintos, y avanzar en el segundo no responde la pregunta del primero. Tratarlos como uno solo es como empieza la confusión.