El enlace que el paciente abre desde otro móvil: qué pasa y cómo se resuelve

1. La situación real que se produce

El caso ocurre a diario y no es un uso anómalo. Es la vida del paciente que no siempre lleva encima el móvil de contacto que dejó en la clínica.

1.1. El paciente que no tiene el móvil ese día

Recibe el aviso en el móvil personal —que es el que la clínica tiene en ficha— pero está trabajando fuera, el móvil se ha quedado en casa, o se ha quedado sin batería. Y en el ordenador del despacho, o en el móvil de su pareja, abre el correo para ver el mensaje y pulsa el enlace. Es la misma persona, la misma cuenta de correo, el mismo intento de acceder a su documento; pero el dispositivo desde el que lo hace no es el que la clínica esperaba.

1.2. El paciente que usa dos dispositivos por costumbre

El aviso le llega al móvil, lo ve, y decide que prefiere abrirlo cómodamente en el ordenador de casa o en el tablet, con pantalla más grande. Coge el enlace desde el móvil, lo reenvía a su correo, y lo abre desde el otro dispositivo. Es un patrón razonable —el móvil avisa, el ordenador consulta con más espacio— y el sistema debe manejarlo sin castigar al paciente por hacer lo que muchos hacemos.

1.3. La familia que ayuda al mayor

El aviso llega al móvil del paciente mayor, y su hija le ayuda a abrirlo desde el móvil de ella porque el del padre no tiene datos móviles o él no sabe manejar el enlace. Este caso es especialmente frecuente y merece diseño propio, porque la buena intención de ayudar puede chocar con la protección del documento si el sistema no distingue entre acceso legítimo asistido y acceso indebido.

2. Cómo detecta el sistema el cambio de dispositivo

Cuando el enlace se abre, el sistema recibe información del navegador que se está usando, y con esa información decide si es el mismo dispositivo o uno distinto del que recibió el enlace.

2.1. Las señales que el navegador envía

El navegador comunica al servidor una serie de datos técnicos —el modelo aproximado del dispositivo, el sistema operativo, el navegador y su versión, la dirección IP desde la que se conecta— que juntos forman una huella suficientemente distintiva para saber si el acceso viene del mismo entorno que recibió el enlace o de otro. Nada de esta información es identificación del paciente en sentido estricto: es contexto del acceso, y sirve para valorar el riesgo.

2.2. Qué considera el sistema como «mismo dispositivo»

Coincidencia de sistema operativo, navegador y familia de dispositivo, dentro de un rango de IP compatible —misma operadora móvil o misma red doméstica—. Cuando esos tres factores casan, el sistema asume que es el mismo entorno y no añade fricción. El paciente pulsa el enlace y ve el documento sin más pasos, que es lo que él espera del enlace de la clínica.

2.3. Qué es un cambio suficiente para levantar la alarma

Distinto sistema operativo, distinto navegador, o IP en un país distinto: cualquiera de esas señales es indicio de que el enlace se está abriendo desde un contexto distinto del que lo recibió. No implica que sea un acceso indebido —la mayoría son legítimos, como los casos de la sección anterior— pero sí justifica que el sistema pida una verificación adicional antes de mostrar el documento.

3. Los tres niveles de respuesta del sistema

Ante un acceso desde dispositivo distinto, el sistema tiene tres respuestas posibles, y elegir bien entre ellas es lo que separa un modelo que protege sin molestar de uno que molesta sin proteger.

El código adicional llega al móvil habitual, no a la pantalla desde la que se está entrando.

3.1. Nivel uno: acceso directo sin fricción

Para casos donde el cambio de dispositivo es leve —mismo país, misma operadora, familia de dispositivo cercana— el sistema permite el acceso sin preguntar nada, porque el riesgo es bajo y la fricción no compensa. Es lo que ocurre cuando el paciente abre el enlace desde el móvil de su pareja que está a su lado con la misma red wifi de casa: el sistema no debería tratar eso como un acceso sospechoso.

3.2. Nivel dos: código adicional para confirmar

Para casos intermedios —cambio de red, dispositivo distinto pero verosímil— el sistema pide un código de verificación al móvil que la clínica tiene en ficha, y el paciente lo introduce en la nueva pantalla para continuar. Un paso más, resuelto en menos de un minuto, que da al sistema garantía razonable de que el que está intentando abrir es el titular. Este es el modelo predominante en la mayoría de accesos que activan alguna alerta.

3.3. Nivel tres: bloqueo con reemisión desde mostrador

Para casos donde el contexto es claramente distinto —país distinto, red desconocida, patrón fuera de lo habitual— el sistema bloquea el acceso y muestra una pantalla que dice al paciente cómo obtener un enlace nuevo desde la clínica, típicamente llamando al mostrador. No es rechazo definitivo: es requerir un canal de reemisión más seguro para un contexto que el sistema no puede validar por sí solo.

4. El código de un solo uso: por dónde tiene que llegar

Pedir un código para validar el acceso desde otro dispositivo es la respuesta intermedia, y funciona o no funciona según por dónde se mande. Merece detalle, porque es donde más sistemas se equivocan.

4.1. Cómo funciona en la práctica

El paciente pulsa el enlace desde el nuevo dispositivo, el sistema ve que no coincide con el original, y presenta una pantalla que dice «para acceder desde este dispositivo necesitamos verificarte», con un botón para pedir el código. Al pulsar, sale un código corto —cuatro o seis dígitos— hacia la vía de contacto que la clínica tiene en ficha; el paciente lo lee donde le llegue, lo introduce en la pantalla del dispositivo nuevo, y entra. Con el móvil a mano se resuelve en menos de un minuto, y es importante que sea así: cada segundo de más es un paciente que abandona y acaba llamando al mostrador.

4.2. Por qué el canal tiene que ser otro

Aquí está el error que invalida el mecanismo entero: mandar el código por el mismo sitio por el que llegó el enlace. Si el enlace vino por correo y el código va al mismo correo, no se ha comprobado nada, porque quien tuviera acceso a ese buzón recibiría las dos cosas. El segundo factor solo lo es cuando viaja por una vía distinta de la primera. En una clínica que trabaja con WhatsApp y correo, eso significa cruzarlos: enlace por correo y código por WhatsApp, o al revés. No es una sutileza técnica —es la diferencia entre una comprobación real y un trámite que da sensación de seguridad sin darla.

4.3. El caso del paciente que no recibe el código

El móvil sin cobertura, el número viejo en la ficha, el correo que cayó en spam. Si el código no llega, el proceso se atasca y el paciente se queda fuera de su propio documento. La página tiene que ofrecer salida: reenvío por la otra vía que la clínica tenga en ficha, o instrucciones claras para llamar al mostrador y validar por voz con datos que solo el titular sabe. Sin esa salida, la comprobación deja de proteger y pasa a ser una barrera que no se puede sortear, y el coste no lo paga el sistema: lo paga la recepción, que recibe la llamada de alguien enfadado que solo quería leer su informe.

5. Cuando el sistema bloquea sin ofrecer alternativa

El bloqueo debe ser la excepción, y cuando llega, la comunicación importa tanto como la decisión de bloquear.

5.1. Qué debería mostrar la página de bloqueo

Un mensaje claro que diga por qué se ha bloqueado —«hemos detectado un acceso desde un contexto que no coincide con el habitual»— y qué hacer a continuación, con el número de teléfono del mostrador visible y con instrucciones concretas. El paciente que ve un «acceso denegado» sin más, con letra roja y sin pistas, se queda perdido y culpa al sistema. Un mensaje que explica y ofrece salida convierte un bloqueo en un paso más del proceso.

5.2. La reemisión desde mostrador

El paciente llama al número que aparece en la pantalla, el mostrador confirma identidad con datos de la ficha, y desde su pantalla emite un enlace nuevo que va al móvil original. El paciente vuelve al proceso, ahora con el enlace nuevo, y todo funciona. La reemisión suele resolverse en la duración de la llamada, y es preferible a exigir al paciente que acuda presencialmente por un enlace que solo necesita un chequeo de identidad.

5.3. La regla que no se debe romper

El sistema nunca debe bloquear sin dejar vía. Un bloqueo definitivo, sin alternativa clara, es cuando el paciente pierde confianza en el modelo y prefiere no usar el enlace la próxima vez. La regla operativa: cualquier bloqueo debe llevar aparejado un canal de reemisión asistida, sea mostrador por teléfono o cualquier otro. Sin esa vía, el modelo del enlace deja de ser fiable como forma principal de entregar documentos al paciente.

6. Los casos frontera: familia, mayores, tutela

La casuística de acceso desde dispositivo distinto se cruza con la casuística de acceso con ayuda familiar, y merece consideración específica.

6.1. La hija que abre el enlace del padre

El aviso llega al móvil del padre, que no maneja bien el móvil o no tiene datos. La hija coge el enlace y lo abre desde el suyo. Es acceso legítimo asistido y ocurre a diario, pero para el sistema el dispositivo es «distinto» y activa el segundo factor. La solución operativa: el código de verificación va al móvil del padre, la hija se lo pide, él lo lee y se lo dice, y el acceso se completa. La fricción es mínima si el hijo está con el padre al mismo tiempo, y protege el documento sin impedir la ayuda familiar.

6.2. El tutor legal que accede por el tutelado

Cuando el paciente es menor o está bajo tutela, la clínica configura el circuito para que los avisos vayan al móvil del tutor legal, no al del paciente. Ese ya es «su» móvil a efectos del sistema, y el problema de dispositivo distinto no aparece con él. El circuito de reenvío del enlace a un familiar es un caso más de esta configuración: la ficha tiene definido quién puede recibir avisos y con qué canal, y el sistema respeta esa configuración.

6.3. Cuando el paciente ha perdido acceso al móvil de contacto

Cambio de número, robo del móvil, avería. El paciente ha perdido acceso al móvil que la clínica tiene en ficha y no puede recibir el código. La única solución es actualizar el móvil de contacto, y eso pasa por el mostrador con documento de identidad. No es fricción del sistema del enlace; es la protección elemental de que el número de contacto no se cambia por el propio enlace —eso lo convertiría en vulnerabilidad—, sino por un canal validado presencialmente.

7. Qué debe cumplir tu sistema

Cinco condiciones. Este hijo pertenece al silo mayor de interacción del paciente sin cuenta.

7.1. Detección con margen y gradación de la respuesta

El sistema compara el contexto del acceso con el contexto de la recepción, y clasifica en tres bandas: leve, intermedio, alto. Solo el nivel alto lleva bloqueo; el intermedio pide código; el leve pasa sin fricción. Esta gradación es la que evita el modelo binario «todo o nada» que suele ser el error de sistemas mal diseñados.

7.2. Segundo factor por canal distinto

Por WhatsApp si el enlace fue por correo, y al revés. Esa es la regla técnica que hace del segundo factor una protección real y no una molestia sin valor. Y con alternativa configurable —correo secundario, llamada al mostrador— para los casos donde el móvil no está disponible en el momento.

7.3. Salida clara del bloqueo

Ninguna pantalla de bloqueo sin instrucciones concretas para obtener enlace nuevo, y ningún proceso de reemisión que exija presencia en la clínica cuando pueda resolverse por teléfono. Un bloqueo con salida clara es una capa de protección más; un bloqueo sin salida es un fallo del modelo.

8. Cómo se implanta

El trabajo se divide en decidir la política y comunicarla al paciente antes de que la sufra.

Cuando el contexto no cuadra, el sistema bloquea y ofrece salida por mostrador.

8.1. Paso 1: definir los tres umbrales

La clínica decide qué considera «acceso leve», «intermedio» y «alto» de acuerdo con su realidad. Una clínica con pacientes que viajan al extranjero por trabajo tendrá umbrales más laxos que una clínica local; una clínica pediátrica considerará por defecto que el móvil del tutor es el móvil legítimo. Los umbrales se documentan y se configuran, y quedan disponibles para revisar en función de la experiencia.

8.2. Paso 2: preparar los mensajes de cada nivel

Cada respuesta del sistema —acceso directo, código de un solo uso, bloqueo con reemisión— tiene un mensaje al paciente diseñado con antelación, con vocabulario claro y sin jerga técnica. El mensaje del bloqueo, especialmente, se redacta con cuidado: es el que más impacto tiene en la percepción del paciente y el que suele estar peor cuando el sistema se implanta con prisa.

8.3. Paso 3: comunicar al paciente antes de usar el enlace por primera vez

• Nota en el enlace inicial: «Este enlace está optimizado para tu móvil habitual. Si lo abres desde otro dispositivo puede que te pidamos un código adicional».
• Recordatorio en la comunicación previa: el mostrador menciona el modelo cuando entrega el número al paciente.
• Página de ayuda pública: con las mismas explicaciones que este artículo, accesible desde cualquier enlace de la clínica.
• Formación del mostrador: para asistir al paciente cuando llama tras un bloqueo o tras no recibir el código.

9. Qué aporta obeliOmed con esto

9.1. Gradación configurable de la respuesta

obeliOmed clasifica cada acceso en uno de tres niveles y aplica la respuesta correspondiente, con los umbrales configurables por la clínica desde el panel de administración. La configuración por defecto es prudente pero no invasiva, y se adapta a la casuística real de la clínica en las primeras semanas de uso.

9.2. El código va por el canal que ya usa la clínica, y queda registrado

La comprobación adicional se manda por la vía que la clínica ya tiene abierta con ese paciente —WhatsApp o correo—, no por un canal nuevo que haya que dar de alta. Y de cada envío queda constancia por partida doble: el registro de auditoría por un lado y la cola de envíos por otro, dos apuntes independientes del mismo hecho. Eso importa cuando alguien pregunta meses después por qué se dio acceso desde un móvil que no era el suyo: la respuesta no es un recuerdo, son dos anotaciones que coinciden. La alternativa cuando el código no llega —llamar al mostrador y validar con datos de ficha— es parte del diseño, no una excepción que se improvisa.

9.3. Bloqueo con reemisión sin fricción

Cuando el bloqueo procede, la pantalla que ve el paciente incluye el número directo del mostrador y las instrucciones exactas. Desde el mostrador, la reemisión del enlace se hace desde la ficha del paciente en un clic, con confirmación de identidad por datos de ficha, y llega al móvil original en segundos.