API de Smart-ID: guía para desarrolladores de la RP API v3

Última revisión: 5 de octubre de 2026 · No constituye asesoramiento jurídico

Esta es la guía técnica de la API de Smart-ID: endpoints, sesiones, comprobación de respuestas, pruebas en entorno demo y validez jurídica. Para contratos y normas de prevención del blanqueo de capitales por país, consulte nuestra guía de integración de Smart-ID.

Smart-ID en pocas palabras

Smart-ID es una aplicación móvil de SK ID Solutions AS. A través de la API de parte usuaria de SK, un servicio la usa para iniciar la sesión de un usuario o para recabar una firma.^[13] Una parte de cada clave reside en el servidor de SK, que la Autoridad del Sistema de Información de Estonia (RIA) denomina "servicio de servidor de gestión de claves de Smart-ID".^[4]

Adopción: usuarios y transacciones

Lituania es el mayor mercado de Smart-ID, con 1,857,471 usuarios, seguida de Letonia, con 1,198,463, y Estonia, con 797,395, según el contador en tiempo real de smart-id.com a 5 de octubre de 2026.^[1] SK declara "casi 100 millones de transacciones al mes".^[2]

En Estonia, Smart-ID tiene "una cuota de mercado de casi el 60 por ciento" de las autenticaciones, según ERR News. El contador solo ofrece totales; ninguna fuente primaria indica la proporción de adultos de cada país que usa Smart-ID (5 de octubre de 2026).

Lo que ve el usuario

La RP API v3 llega a la aplicación de tres formas: un código QR dinámico entre dispositivos, un enlace Web2App o App2App en el mismo teléfono, o una notificación push.^[12] SK comercializa la experiencia de QR y de aplicación a aplicación como Smart-ID+, que "ya no depende de introducir su código de identificación personal en un sitio web".^[8]

Cómo funciona la API v3 de Smart-ID

La API es REST sobre HTTPS con JSON en UTF-8.^[19] Cuatro familias de endpoints POST abren una sesión y devuelven un sessionID; un único GET devuelve el resultado.^[13]

Las familias de endpoints de la RP API v3, según la descripción general de SK.^[13]

Inicio de sesión simplificado entre dispositivos con un enlace de dispositivo.^[12][18]

Errores habituales:

• Cada solicitud inicial de v3 lleva un rpChallenge aleatorio que generas tú; sustituyó al nonce de v2 como protección contra los ataques de repetición.^[20]
• El sessionSecret nunca debe llegar a tu frontend, y cada flujo admite una sola solicitud de sesión, aunque muestres el QR y el enlace a la vez.^[18]
• En los flujos de notificación, calculas el código de cuatro dígitos a partir del SHA-256 de rpChallenge.^[17]
• SK te autentica por la IP de origen más el relyingPartyUUID, y exige fijación de claves (key pinning) en HTTPS.^[19]
• La documentación de SK indica que un usuario sin cuenta recibe un HTTP 404, y pide mostrar un único mensaje para todos los casos de error, para evitar la enumeración.^[19]

Qué recibe una empresa de la API de Smart-ID

Una sesión finalizada devuelve state, result.endResult, el certificado del usuario en cert y un objeto signature. El serialNumber del titular contiene el código de identidad, por ejemplo PNOEE-30001010004, cuyo prefijo indica el país.^[15]

La verificación de la respuesta que exige SK consiste en:^[15]

• Comprobar que state es COMPLETE, que endResult es OK y que el protocolo es ACSP_V2 (inicio de sesión) o RAW_DIGEST_SIGNATURE.
• Validar la cadena únicamente frente a las CA de SK, con OCSP o CRL.
• Exigir todos los identificadores de política de Smart-ID, para que los demás certificados de SK no superen la validación.
• Comparar certificateLevel con el nivel que usted exige.
• Reconstruir la carga firmada y verificar la firma.
• Verificar los valores de la URL de retorno en los flujos en el mismo dispositivo.

Nivel de garantía y validez jurídica

Smart-ID no figura en la lista de la UE de sistemas de identificación electrónica notificados; el sistema notificado de Estonia (alto, 7 de noviembre de 2018) cubre el documento de identidad y Mobile-ID.^[6]

Advertencia: los e-residentes «no se distinguen de los residentes».^[5]

Diligencia debida con respecto al cliente en materia de prevención del blanqueo de capitales en Estonia

La Ley de prevención del blanqueo de capitales y de la financiación del terrorismo de Estonia (RahaPTS) establece las vías remotas en el § 31(3).^[23]

§ 31(3)RahaPTS (Estonia)

"1) e-identimise süsteemi, millest on teatatud ... (EL) nr 910/2014 ... artikli 9 kohaselt ja mis vastab ... artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemele" o "2) kvalifitseeritud usaldusteenust"

Fuente: Riigi Teataja, RahaPTS^[23]

En español: un sistema de eID notificado de nivel sustancial o alto, o un servicio de confianza cualificado. La vía 1 no encaja. A 5 de octubre de 2026 no existe ninguna declaración oficial sobre si los certificados cualificados de Smart-ID encajan en la vía 2, por lo que conviene consultar a Finantsinspektsioon o a un asesor jurídico. La ley de prevención del blanqueo de capitales de Lituania (art. 11) y el Reglamento del Consejo de Ministros n.º 392 de Letonia (punto 7.1) incluyen la firma electrónica cualificada o segura entre varias vías remotas.^[28][29]

A partir de 2027: artículo 22(6) del AMLR

El Reglamento de lucha contra el blanqueo de capitales (AMLR) se aplica desde el 10 de julio de 2027. Su artículo 22(6)(b) acepta «medios de identificación electrónica que cumplan los requisitos del Reglamento (UE) n.º 910/2014 en lo que respecta a los niveles de garantía "sustancial" o "alto" y los servicios de confianza cualificados pertinentes».^[30] Los proyectos finales de normas de la Autoridad de Lucha contra el Blanqueo de Capitales (AMLA) de 30 de septiembre de 2026, que aún no son ley, aceptan la eID de nivel sustancial o alto «con independencia de que se hayan notificado con arreglo al artículo 9».^[31] Nuestra página sobre la cartera europea de identidad digital (EUDI Wallet) explica el calendario de eIDAS 2.

Cómo se conecta una empresa: contrato directo de parte usuaria o intermediario

Proceso de SK: pruebas gratuitas sin acuerdo, elección de las medidas de seguridad, envío de sus direcciones IP y del nombre del servicio, firma, recepción de su RP UUID y puesta en producción «a los pocos días de su primera consulta».^[21] Los intermediarios certificados también revenden Smart-ID, y los organismos públicos estonios pueden usar la pasarela TARA de RIA.^[5]

Tres formas de acceder a Smart-ID.^[21][5]

La lista de precios de SK (desde el 1 de junio de 2026) factura cada "solicitud de autenticación o firma con Smart-ID": €0.109 con un mínimo mensual de €60, hasta €0.0106 en el plan de 3 millones, y un acuerdo personalizado por encima de 5 millones.^[11] SK afirma que Smart-ID+ "no tiene coste adicional" para las partes usuarias existentes.^[7]

Pruebas en el entorno de demostración

Demo: https://sid.demo.sk.ee/smart-id-rp/v3/, relyingPartyUUID 00000000-0000-4000-8000-000000000000, nombre DEMO. Producción: https://rp-api.smart-id.com/v3/.^[14] Cuentas de prueba por resultado:^[16]

Casos de uso y normas sectoriales

• Alta de clientes KYC y AML. Nombre y código personal firmados; la adecuación a la normativa AML varía según el país.^[23][28][29]
• Juego y edad. La Ley de Juegos de Azar de Estonia prohíbe los juegos de azar a los menores de 21 años (§ 34(2)) y exige a los operadores en remoto verificar a cada jugador y registrar el código personal (§ 53(1)).^[24] No encontramos en la API ningún dato que acredite únicamente la edad.
• Firma. Las cuentas cualificadas firman a través de v3/signature; "4 de cada 10 lituanos utilizaron una firma electrónica cualificada en 2025".^[13][33]
• Telecomunicaciones. Ninguna norma báltica menciona Smart-ID para el registro de tarjetas SIM (5 de octubre de 2026).

Límites y alternativas

"En Estonia y Letonia, Smart-ID está limitado actualmente a personas con número de identificación nacional estonio o letón"; los no residentes en Lituania pueden obtener Smart-ID Basic en dos bancos.^[22] Smart-ID no tiene límite de edad, pero las vías de registro sí (tarjeta de identidad letona desde los 14 años), y las cuentas de menores de 18 años necesitan la autorización de los padres.^[32]

No encontramos ninguna interrupción del servicio documentada a 5 de octubre de 2026; el riesgo es el phishing. En 2025 se sustrajeron casi €23 millones de cuentas bancarias estonias mediante estafas para obtener el PIN, según ERR News. Desde el 29 de abril de 2026, el registro en Estonia lee la tarjeta de identidad por NFC en lugar de con un lector de tarjetas.^[34]

Primero la eID y el documento como alternativa; registre por qué fue necesaria cada alternativa.^[31]

Lista de comprobación para implementar la API de Smart-ID

Desarrolle primero sobre la demo gratuita de SK, para que el contrato espere hasta que su código funcione.^[21] La verificación de la respuesta es el núcleo del trabajo.^[15]

• Desarrolle contra la URL de demo y las cuentas de prueba publicadas.^[14][16]
• Dé preferencia a los flujos de enlace de dispositivo; permita la notificación solo en dispositivos conocidos.^[13]
• Genere un rpChallenge aleatorio nuevo para cada inicio de sesión.^[20]
• Fije (pinning) la clave HTTPS de SK y mantenga sessionSecret en el servidor.^[19][18]
• Ejecute todos los pasos de la verificación de la respuesta de SK.^[15]
• Envíe a SK sus IP y el nombre del servicio y, después, firme.^[21]
• Documente su base jurídica para el uso con fines AML en cada país.^[23]
• Añada una vía documental para los usuarios sin Smart-ID.

Cómo te ayuda Didit con Smart-ID

Smart-ID está activo en Didit para la verificación de eID en Estonia, Letonia, Lituania y Bélgica. Didit mantiene la conexión con SK, así que te ahorras el contrato RP, la lista de IP permitidas y el código de certificados.

En la consola, ve a Workflows, al paso ID Verification, a Countries, elige el país y marca Smart-ID en "Wallets accepted". Por API, configura methods.EST.wallet, crea una sesión y consulta GET /v3/session/{id}/decision/ o el webhook: verification_method es "wallet" con un objeto wallet_verification, según la documentación sobre carteras de identidad digital.^[35] El usuario aprueba un código de comparación en la app de Smart-ID. Didit nunca pide el PIN.

Obtienes el nombre completo, la fecha de nacimiento, el código personal báltico, el nivel de garantía (etiquetado como High) y una verificación de firma. No incluye dirección ni fotografía. Los usuarios sin Smart-ID pasan a la verificación de documentos con lectura del chip NFC ($0.15), prueba de vida y comparación facial. El KYC completo cuesta $0.33 y el screening AML, $0.20. Solo se facturan los inicios de sesión con eID completados. Una verificación con Smart-ID completada cuesta $0.20 (página de precios). Todas las eID figuran en la página de carteras de identidad digital.

Preguntas frecuentes

Fuentes

1. Página de inicio de Smart-ID, contador de usuarios en tiempo real, SK ID Solutions, consultado el 5 de octubre de 2026.
2. 2025: impulsando la confianza digital más allá de las fronteras, SK ID Solutions, 19 de enero de 2026.
3. Confianza y competencia en la identidad digital en Europa, e-Estonia, 2026.
4. Identidad electrónica (eID), Autoridad del Sistema de Información (RIA).
5. Especificación técnica de TARA, RIA.
6. Panorama de los sistemas de eID prenotificados y notificados en virtud de eIDAS, Comisión Europea, consultado el 5 de octubre de 2026.
7. Smart-ID+, SK ID Solutions.
8. Cómo me protege el nuevo Smart-ID contra el fraude, preguntas frecuentes de Smart-ID.
9. El Gobierno de Estonia adopta Smart-ID+ para reforzar la seguridad, SK ID Solutions, 28 de enero de 2026.
10. Por qué a veces veo un código de confirmación y a veces tres, preguntas frecuentes de Smart-ID.
11. Lista de precios, SK ID Solutions, vigente desde el 1 de junio de 2026.
12. Relying Party API: introducción, SK ID Solutions, versión 3.2.3.
13. Relying Party API: resumen de los endpoints de la API, SK ID Solutions.
14. Parámetros técnicos de los entornos, SK ID Solutions.
15. Relying Party API: verificación de respuestas, SK ID Solutions.
16. Cuentas de prueba para pruebas automatizadas, SK ID Solutions.
17. Relying Party API: flujos basados en notificaciones, SK ID Solutions.
18. Relying Party API: flujos de enlace de dispositivo, SK ID Solutions.
19. Relying Party API: descripción técnica de la API, SK ID Solutions.
20. Relying Party API: registro de cambios, SK ID Solutions.
21. Proceso de integración para proveedores de servicios electrónicos, Smart-ID.
22. Pueden los extranjeros y los no residentes usar Smart-ID, preguntas frecuentes de Smart-ID.
23. Rahapesu ja terrorismi rahastamise tõkestamise seadus (RahaPTS), § 31, Riigi Teataja.
24. Hasartmänguseadus (Ley del Juego), Riigi Teataja.
25. Elektroniskā identifikācija, Ministerio de Defensa de Letonia.
26. Smart-ID obtiene el estatus local de cualificado para la autenticación en Letonia, SK ID Solutions, 29 de mayo de 2023.
27. Smart-ID y Mobile-ID, reconocidos como herramientas aprobadas por el Estado en Lituania, SK ID Solutions, 19 de diciembre de 2024.
28. Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, art. 11, Lituania, texto consolidado de INFOLEX.
29. Reglamento del Consejo de Ministros n.º 392, Letonia, likumi.lv.
30. Reglamento (UE) 2024/1624 (AMLR), EUR-Lex, Diario Oficial de 19 de junio de 2024.
31. Informe final, proyecto de RTS en virtud del artículo 28(1) del AMLR, AMLA, 30 de septiembre de 2026.
32. Límites de edad para usar Smart-ID, preguntas frecuentes de Smart-ID.
33. SK ID Solutions emitió casi tres millones de certificados en Lituania en 2025, SK ID Solutions, 7 de mayo de 2026.
34. El registro en Smart-ID con el documento de identidad estonio ya está disponible mediante NFC, Smart-ID, 29 de abril de 2026.
35. Carteras de identidad digital, documentación de Didit.
36. Relying Party API: interacciones, SK ID Solutions.

Smart-ID es una de las cinco eID disponibles en la verificación de eID de Didit. Consulte también qué es la verificación de eID y la guía de la API de BankID Suecia.