¿Cómo integrar firma electrónica y KYC por API en tu plataforma de crédito?

Respuesta rápida: Integrar firma electrónica y KYC por API significa conectar tu sistema de originación, core bancario o plataforma de crédito con los servicios de verificación de identidad y firma mediante llamadas REST que automatizan el flujo sin que el cliente salga de tu interfaz. Una integración estándar cubre cinco endpoints principales: captura y extracción OCR de identificación, verificación biométrica con prueba de vida, cotejo contra fuentes oficiales (INE, RENAPO, SAT) y listas de sanciones, generación y envío del documento para firma, y recuperación del expediente firmado con constancia NOM-151. El tiempo de integración típico va de una semana para un alcance básico hasta cuatro semanas para un flujo completo con webhooks, manejo de errores y pruebas en sandbox. Hay un dato regulatorio que todo equipo técnico debe conocer antes de definir la arquitectura: desde el 17 de julio de 2025 existe la Plataforma Única de Identidad (PUI) de SEGOB, y la CNBV ha confirmado que bancos, SOFOMes y demás entidades financieras deben interconectarse con ella.

¿Por qué integrar por API y no usar una interfaz lista?

Hay dos formas de incorporar KYC y firma electrónica en un proceso de originación:

Interfaz hosted (flujo externo): el cliente es redirigido a una interfaz del proveedor para completar el KYC o la firma, y luego regresa a tu plataforma. Es la opción más rápida de implementar, generalmente en días. La desventaja es que el cliente abandona tu interfaz, lo que aumenta el abandono y fragmenta la experiencia.

Integración por API (flujo embebido): el cliente completa todo el proceso dentro de tu propia interfaz o app. Tu sistema llama a los endpoints del proveedor en segundo plano, recibe los resultados y los incorpora al flujo sin redireccionamientos. Requiere más trabajo de implementación pero produce una experiencia fluida y sin interrupciones.

Para una financiera con volumen de originación significativo y una app o plataforma propia, la integración por API es la opción correcta. El abandono en el onboarding es el principal cuello de botella de conversión, y cada redirección a una interfaz externa multiplica ese abandono.

¿Cómo está estructurada la integración con DIGID?

La arquitectura de DIGID combina dos mecanismos distintos y complementarios que hacen cosas diferentes: el SDK maneja la experiencia del usuario durante la verificación de identidad, y la API REST maneja la orquestación del flujo en el backend. Una integración completa usa ambos.

SDK: el desarrollador lanza una vista autocontenida que gestiona todo el flujo KYC del lado del usuario (capturas, liveness, biometría) y devuelve un JSON al finalizar. Tu sistema no maneja capturas de imágenes ni lógica biométrica.

API REST: endpoints en https://digidmexico.com.mx/api/ws/ para todo lo que ocurre en el backend: crear documentos, asignar firmantes, activar o desactivar el KYC por asignación, consultar estados y recibir webhooks con el resultado de cada paso.

Módulo KYC: SDK autocontenido

El módulo KYC de DIGID es una vista autocontenida que el desarrollador lanza desde su app o plataforma web. Una vez lanzada, el SDK gestiona internamente todo el flujo de verificación sin que el integrador tenga que manejar capturas de imágenes o lógica biométrica:

El desarrollador solo lanza la vista, espera el resultado y lo procesa. Toda la lógica interna (captura, análisis biométrico, liveness, validaciones) la gestiona el SDK.

Endpoints REST: gestión de asignaciones y KYC

Para gestionar los firmantes y activar o desactivar el módulo KYC por asignación, DIGID expone endpoints REST en https://digidmexico.com.mx/api/ws/. Los parámetros usan nomenclatura PascalCase.

Activar o desactivar KYC en una asignación de firmante:

Este endpoint permite configurar si una asignación específica de firmante requiere o no el flujo KYC completo, lo que habilita el modelo de dos niveles de DIGID: con KYC biométrico o con validación humana de documentos.

Eventos de webhook: estados del firmante

DIGID notifica el progreso de cada firmante mediante webhooks con siete eventos de tipo Firmante:

Tu sistema debe implementar un endpoint receptor que escuche estos eventos y actualice el estado del flujo de originación en consecuencia. El evento Documento firmado es el que dispara la recuperación del expediente completo con constancia NOM-151.

¿Qué son los webhooks y por qué son críticos en este flujo?

La firma electrónica y el KYC son procesos asincrónicos: el cliente puede tardar segundos o minutos en completarlos. Tu sistema no puede quedarse consultando el estado cada diez segundos (polling), porque consume recursos y puede generar rate limiting.

La solución correcta es implementar un endpoint receptor de webhooks en tu servidor. El proveedor llama a ese endpoint en el momento en que el cliente completa cada paso, enviando el resultado directamente:

Los eventos más relevantes para un flujo de originación son: kyc.completed, kyc.rejected, signature.completed, signature.expired y nom151.generated.

Implementación importante: tu endpoint de webhooks debe ser idempotente, es decir, capaz de procesar el mismo evento más de una vez sin efectos duplicados. Los proveedores reintentarán el webhook si tu servidor no responde, y puedes recibir el mismo evento dos veces en casos de falla de red.

La Plataforma Única de Identidad (PUI): lo que todo CTO de financiera debe saber

Este es el dato regulatorio más importante de 2025 para equipos técnicos de financieras y que la mayoría no tiene en su radar todavía.

El 17 de julio de 2025 entró en vigor la Plataforma Única de Identidad (PUI) de la Secretaría de Gobernación (SEGOB), creada mediante reforma a la Ley General en Materia de Desaparición Forzada. La PUI es un sistema central de verificación de identidad del gobierno mexicano que consolida registros de identidad de múltiples fuentes oficiales.

La CNBV ha confirmado que bancos, SOFOMes, aseguradoras y demás entidades del sistema financiero deben interconectarse con la PUI. La integración técnica se realiza mediante endpoints REST con autenticación JWT y un esquema de búsqueda en tres fases que devuelve coincidencias de identidad contra los registros consolidados del gobierno.

El incumplimiento se sanciona con multas de 10,000 a 20,000 UMAs conforme al artículo 43 Bis. Las entidades que avancen con la integración técnica antes de la publicación del Manual de Operación final tienen ventaja frente al volumen de solicitudes esperadas una vez que comiencen a correr los plazos formales.

La implicación práctica para una financiera que está evaluando su arquitectura de KYC: el proveedor de verificación de identidad que elijas debe poder integrarse con la PUI o estar en proceso de hacerlo. Una arquitectura que no contemple la PUI puede quedar obsoleta regulatoriamente en el corto plazo.

¿Cuánto tarda una integración típica?

Los tiempos dependen del alcance y de la complejidad del sistema existente:

El principal factor que extiende los tiempos no es la complejidad de los endpoints sino la integración con los sistemas existentes: el originador de crédito, el core bancario, el gestor de expedientes y el CRM. Si estos sistemas tienen APIs bien documentadas, la integración es más rápida. Si son sistemas legacy sin API, puede requerir capas de adaptación adicionales.

¿Qué debe ofrecer el proveedor para una integración sin fricciones?

La calidad de la integración depende tanto de tu equipo como del proveedor. Antes de iniciar, verifica que el proveedor ofrezca:

Sandbox completo: un ambiente de pruebas con datos ficticios que replica exactamente el comportamiento del ambiente productivo, incluyendo los casos de error. Sin sandbox, las pruebas se hacen en producción, lo que es inaceptable para un sistema de identidad.

Documentación completa y actualizada: especificación de todos los endpoints con ejemplos de request y response, incluyendo los códigos de error granulares. Un proveedor que devuelve errores genéricos (error 400) en lugar de errores específicos (FACE_NOT_MATCHED, CURP_NOT_FOUND) hace el debugging exponencialmente más lento.

SDKs para captura biométrica: la captura de la selfie con prueba de vida es el componente más complejo de implementar desde cero. Un SDK para iOS, Android y web que maneje la cámara, la prueba de vida y la transmisión segura de la imagen es lo que reduce semanas de desarrollo a días.

Soporte técnico directo: para una integración de identidad y firma en una financiera regulada, el soporte por tickets con SLA de 48 horas no es suficiente. El equipo de integración necesita acceso directo a los especialistas técnicos del proveedor para resolver problemas de configuración o de webhooks en tiempo real.

Webhooks con reintentos y logs: el sistema de webhooks debe tener reintentos automáticos en caso de falla, logs de cada llamada y herramientas para reenviar eventos manualmente si tu servidor estuvo caído.

Errores comunes en la integración de KYC y firma por API

Implementar polling en lugar de webhooks. Consultar el estado del KYC o la firma cada pocos segundos consume recursos, genera rate limiting y produce una experiencia de usuario con delays innecesarios.

No manejar los casos de rechazo. El flujo de integración feliz (el cliente pasa todo) es fácil. El flujo de error (la CURP no coincide, la biometría falla, la firma expira) es donde la mayoría de las integraciones tienen problemas. Define desde el inicio qué hace tu sistema en cada caso de rechazo.

Conservar solo el PDF del documento firmado. El PDF es una representación visual. El expediente completo incluye el archivo con los metadatos criptográficos, la constancia NOM-151 y la pista de auditoría. Si solo conservas el PDF, pierdes la evidencia técnica que hace al documento defendible.

No probar en sandbox los casos de edge. Simula documentos vencidos, selfies con baja iluminación, CURPs no encontradas, firmas que expiran y webhooks que no llegan. El sandbox es el momento de descubrir cómo maneja el proveedor esos casos.

No contemplar la PUI en la arquitectura. Diseñar la integración sin considerar la interconexión con la Plataforma Única de Identidad puede requerir rediseño en el corto plazo.

Cómo DIGID facilita la integración por API

En DIGID ofrecemos integración por API REST para el flujo completo de originación de crédito de punta a punta: extracción OCR de INE, verificación biométrica con prueba de vida y detección de deepfakes, validación contra RENAPO, INE y SAT, cotejo contra más de 1,300 listas de sanciones y PEPs, generación y envío para firma electrónica o autógrafa digitalizada, y recuperación del expediente con constancia NOM-151. La integración incluye sandbox completo, SDKs para captura biométrica en iOS, Android y web, documentación con ejemplos de request/response y soporte técnico directo durante la integración. Si quieres revisar la documentación técnica o agendar una sesión de integración, escríbenos.

Preguntas frecuentes

¿Cuánto tarda integrar KYC y firma electrónica por API? Una integración estándar con OCR, biometría y firma remota toma aproximadamente una semana. Un flujo completo con validaciones, webhooks y pruebas en sandbox toma entre dos y cuatro semanas.

¿Qué es la Plataforma Única de Identidad (PUI) y por qué importa? Es el sistema central de verificación de identidad del gobierno mexicano, vigente desde el 17 de julio de 2025, con el que la CNBV ha confirmado que las entidades financieras deben interconectarse. El incumplimiento se sanciona con multas de 10,000 a 20,000 UMAs.

¿Qué es un webhook y por qué es mejor que el polling? Un webhook es una llamada que el proveedor hace a tu servidor cuando ocurre un evento (KYC completado, firma completada). Es más eficiente que el polling porque no requiere que tu sistema consulte el estado repetidamente, consume menos recursos y produce respuestas en tiempo real.

¿Qué incluye el expediente firmado que devuelve la API? El expediente completo incluye el documento firmado con sus metadatos criptográficos, la constancia NOM-151 emitida por un PSC autorizado, la pista de auditoría (IP, dispositivo, geolocalización, hora) y los resultados de las validaciones de KYC.

¿La API incluye SDK para captura biométrica? Depende del proveedor. Un SDK para iOS, Android y web que maneje la cámara y la prueba de vida reduce semanas de desarrollo. Verifica que el proveedor lo ofrezca antes de iniciar la integración.

¿Cómo se integra con un core bancario o sistema de originación existente? Depende de si el sistema existente tiene API. Si la tiene, la integración es directa. Si es un sistema legacy sin API, puede requerir una capa de adaptación. El tiempo estimado para integración con core es de cuatro a ocho semanas.

Última actualización: julio de 2026. Fuentes: Plataforma Única de Identidad (PUI), reforma a la Ley General en Materia de Desaparición Forzada publicada en el DOF el 17 de julio de 2025 (artículo 12 Bis, fracción V y artículo 43 Bis), confirmación CNBV sobre interconexión de entidades financieras, y NOM-151-SCFI-2016.