Por qué es seguro
Dos registros separados, y los dos tienen que coincidir.
Un vale funciona como una tarjeta regalo: quien lo tiene puede usarlo. Por eso lo que importa es saber si el que tienes delante es auténtico y sigue sin usar. Para comprobarlo guardamos el registro en dos sitios que una misma persona no puede cambiar a la vez.
bullmark
Guarda el vale en sí: quién lo tiene, cuánto vale y si ya se usó.
Envía la huella (hash) nunca el contenido
axowl
Guarda la huella de ese registro: un código corto calculado a partir de él. La hora de llegada la anota el reloj de Axowl.
Axowl nunca ve lo que dice un vale. Solo recibe la huella y la guarda con su propia marca de tiempo. Así los dos lados son independientes. Si un vale cambia, su huella también cambia, y la huella guardada en Axowl no la podemos cambiar nosotros.
Qué queda cubierto
La huella se calcula con estos datos
La huella no cubre toda la fila de la base de datos. Cubre la lista de abajo, así que puedes ver exactamente qué está protegido. Si cambia cualquiera de estos datos, la huella deja de coincidir.
El producto la marca quién lo tiene su código de canje su número de serie el precio de consumidor el precio que concede cuándo caduca si se ha usado cuándo se usó el correo del titular
Los tres últimos se añadieron en agosto de 2026, y son los más importantes. Antes, alguien podía volver a marcar como «sin usar» un vale ya usado en la base de datos y seguía pasando todas las comprobaciones. El uso se registraba en otro sitio, así que la huella no cambiaba. Eso ya no funciona.
Dos cosas se dejan fuera a propósito, porque incluirlas provocaría falsas alarmas. La reserva es un bloqueo temporal y no cambia lo que vale el vale. Un vale retenido treinta segundos en una caja no ha sido modificado. El estado de caducado se deja fuera porque la fecha de caducidad ya está en la huella y cualquiera puede calcularlo. Si también se incluyera el estado, un vale que pasó la comprobación el lunes fallaría el martes sin que nadie lo hubiera tocado. La gente deja de hacer caso a un verificador que da falsas alarmas.
Cómo se frena cada ataque
Cuatro formas de hacer trampa desde dentro y qué frena cada una
Editar un vale en la base de datos
Alguien baja el precio, retrasa la caducidad o pone su propio nombre. La huella cambia y ya no coincide con la que guarda Axowl. Volver a calcular la huella de nuestro lado no sirve, porque la que decide no está en nuestra base de datos.
Gastar el mismo vale dos veces
Si un vale se ha usado o no forma ahora parte de la huella, así que devolverlo a «sin usar» cambia la huella. Además, cada uso se guarda aparte como una entrada que ya no se puede cambiar, enlazada con la anterior. Dos registros tendrían que contener la misma mentira, y uno de ellos no es nuestro.
Crear uno que nunca se emitió
Al emitir vales, la tanda entera queda guardada como un solo registro que ya no se puede cambiar: cuántos, a qué precio y hasta qué fecha. Si se emitieron 100, un vale número 101 contradice un registro que ya existe. Además, cada huella nueva lleva la hora del reloj de Axowl, no del nuestro: puede crearse hoy, pero nunca con fecha del año pasado.
Pasarlo a otra persona a escondidas
El titular forma parte de la huella, así que un vale no puede cambiar de dueño editando un campo. Al entregarlo, se cierra el vale de quien lo da y se emite uno propio a quien lo recibe, con el mismo número de serie. Los dos pasos quedan en el registro, así que ninguna entrega aparece con un solo lado.
Códigos copiados
¿Y si alguien copia mi QR?
Un código QR (el cuadrado que se escanea) no es el vale. Solo señala un vale numerado en nuestros registros. Por eso una foto de un QR vale exactamente lo que vale ese vale en el momento en que alguien la presenta. Todos los casos de abajo se explican así.
Un código inventado
Al usar un vale, el sistema busca el código en nuestros registros. No lee ningún valor de la imagen. Un código que nunca se emitió no lleva a nada, por muy real que parezca el QR. Nadie puede dibujar un vale y hacer que exista.
Una copia de uno real
Una copia lleva el mismo código, así que es el mismo vale y no un segundo. El primer uso queda guardado en ese vale y ya no se puede cambiar. Cualquier intento posterior, con la copia o con el original, recibe la respuesta de que ya se usó. Diez capturas de pantalla siguen siendo un solo vale.
Una captura guardada antes de venderlo
Al entregar un vale, como regalo o reventa, se cierra el vale de quien lo da y quien lo recibe obtiene uno nuevo con un código nuevo, bajo el mismo número de serie. El código de la captura antigua lleva ahora a un vale cerrado. Vender un vale y correr a usarlo antes que el comprador no funciona.
Un código que otro vio primero
Este riesgo es real y preferimos decirlo. Quien tiene el código puede usar el vale, y a la marca que acepta un código no se le dice quién sostiene el teléfono. Escanear un QR no revela el código. El escaneo muestra que el vale es auténtico y está sin usar; el código solo lo ven su titular con sesión iniciada y la marca que lo emitió. Pero un código que publicas o dictas es un código que otra persona puede usar. Trátalo como el número de una tarjeta regalo. Una marca que quiera cerrar este hueco puede preguntarnos qué vales tiene realmente su cliente con sesión iniciada y dejarle elegir de esa lista en vez de escribir un código. Así un código copiado no tiene dónde introducirse.
Pase lo que pase, queda registrado. La emisión, la entrega, la reserva y el uso dejan cada uno una entrada que ya no se puede cambiar, enlazada con la anterior. Una marca puede descargar el historial completo de cualquiera de sus vales, contenido incluido, y volver a calcular cada huella ella misma. Así, quién usó un vale y cuándo tiene una respuesta que no depende de nuestra palabra.
Brand Credit
¿Podemos crear más a escondidas?
Brand Credit funciona de forma parecida al dinero: una marca lo recarga, emite vales con él y cobra lo que gana. Por eso la pregunta justa es si nosotros podríamos añadir una línea a nuestros propios registros sin que nadie lo note, y no solo si alguien de fuera puede entrar.
Las entradas solo se añaden
Las entradas se añaden, nunca se editan ni se borran. Una corrección es una entrada nueva que dice qué corrige, así que el error y el arreglo quedan los dos a la vista. No existe un saldo al que se le haya quitado una línea incómoda.
Cada entrada queda fijada y enlazada
Cada entrada lleva la huella de la anterior. Cambiar una entrada antigua rompe todas las posteriores. Una sola edición a escondidas obligaría a reescribir toda la cadena en dos sitios, y uno de ellos no es nuestro.
Alguien de dentro no está exento
Tener acceso a nuestra base de datos no es lo mismo que controlar el registro. Alguien con todos los permisos sobre nuestra base de producción puede cambiar una fila. Lo que no puede es hacer que la huella guardada en Axowl coincida después. Por eso la segunda copia está en un sitio donde nuestros administradores no tienen permisos de administrador.
Puedes auditarlo sin pedírnoslo
Una marca puede dar los ids de sus propias entradas a un contable. El contable vuelve a calcular las huellas a partir de la cadena abierta y comprueba que las sumas cuadran. La comprobación no pasa por Bullmark, así que no tenemos forma de influir en ella.
Recompensas por recomendación
¿Pueden los registros falsos cobrar la recompensa?
Una recompensa por cada usuario nuevo tienta a crear usuarios falsos. Por eso no se paga por un registro. Se paga por una persona que se queda.
Nada se paga al registrarse
El primer inicio de sesión solo deja una entrada en espera. La recompensa se paga 7 días después, y solo si esa misma persona volvió a iniciar sesión otro día. Una cuenta que se registra y no vuelve se cierra sin pago.
Un buzón, una recompensa
Las variantes de dirección que llegan al mismo buzón, como una +etiqueta o los puntos de una dirección de Gmail, cuentan como una sola persona. Las direcciones de correo desechable pueden iniciar sesión, pero nunca reciben recompensa.
Topes por dispositivo y para ráfagas
Por cada marca, como máximo tres registros recompensados pueden venir de un mismo dispositivo. Los correos de registro a direcciones nuevas tienen un límite de frecuencia por red y por app, y antes pasan una verificación antibots activada por defecto. Un contrato que de pronto recibe una ráfaga de registros deja de pagar, y se avisa a la marca.
Lo máximo que puede perder la marca se fija de antemano
Todo contrato con recompensa tiene un presupuesto, y las recompensas en espera cuentan dentro de él. El recomendador y la gente de la propia marca nunca cuentan. Cada recompensa, pagada o rechazada, queda en un registro que ya no se puede cambiar y que ven tanto la marca como el recomendador.
Además, el sistema incluye diversas salvaguardas adicionales que no pueden divulgarse por motivos de seguridad.
Lo que no afirmamos
Verificamos un correo, y nada más allá.
No comprobamos pasaportes, no gestionamos un servicio de verificación de identidad ni decimos saber quién está detrás de una dirección. La huella prueba que un registro no se ha cambiado. No convierte en verdadera una afirmación sin verificar. Una empresa que mezcla esas dos cosas te está vendiendo una sensación de seguridad.
Esto es exactamente lo que prometemos: este vale, a este precio, se emitió a esta dirección de correo, en este momento, y no se ha cambiado desde entonces. El correo es aquel con el que la cuenta se autenticó, nunca algo escrito en un formulario. Lo que hay más allá de esa dirección queda fuera de lo que podemos probar, y preferimos decírtelo ahora a que lo descubras después.
Compruébalo tú mismo
No tienes que creernos
Cada entrada fijada se puede leer, y el cálculo que la produce es público. Pasa la cadena de entradas a nuestro SDK de JavaScript, o a cualquier herramienta que calcule SHA-256 (un método estándar para obtener la huella), y vuelve a calcular las huellas tú mismo. La comprobación se ejecuta por completo de tu lado y no le pregunta nada a Bullmark.
GET /integrity/events/VoucherInstance/{id}
Devuelve huellas y resultados de la comprobación, nunca el contenido del vale ni códigos de canje. Por eso puede seguir abierto sin convertirse en una forma de leer los vales de otras personas.
Empieza
Sin efectivo por adelantado.
Publica tu startup Cómo funciona