Durante dos décadas, su número de teléfono ha sido su identidad en línea. Inicia sesión en aplicaciones, recibe sus contraseñas de un solo uso y viaja silenciosamente a través de cada chat comercial que inicia. En WhatsApp, siempre ha sido lo que está al otro lado de la conversación: el número que una marca ve en el momento en que dice "hola".
Eso está a punto de cambiar. Y la silenciosa decisión de ingeniería detrás de esto, un nuevo identificador llamado ID de usuario con ámbito empresarial (Business-Scoped User ID), puede terminar siendo uno de los cambios de privacidad más significativos que el mundo de la mensajería haya visto en años.
¿Qué es un ID de usuario con ámbito empresarial?
Un ID de usuario con ámbito empresarial, o BSUID para abreviar, es un código único que identifica a un usuario de WhatsApp ante una empresa específica, sin revelar el número de teléfono de ese usuario. Según la documentación para desarrolladores de Meta, un BSUID "identifica de forma única a un usuario de WhatsApp y está vinculado a una empresa específica".
El formato es deliberadamente simple: un código de país alfa-2 de la ISO 3166, un punto y hasta 128 caracteres alfanuméricos. En la práctica, se ve como US.13491208655302741918, una cadena sin significado para un humano y sin forma de marcarla.
Aquí está la parte que más importa, y es fácil de pasar por alto. La misma persona obtiene un diferente BSUID por cada empresa con la que habla. Su BSUID en su aerolínea no es su BSUID en su banco, y ninguno de los dos puede cotejarse con el otro. Como explica Spotler, esto es intencional: "La empresa A no puede usar un BSUID para rastrear las actividades o interacciones de un usuario con la empresa B".
Esa única decisión de diseño es lo que separa un BSUID de simplemente "ocultar el número". Un número de teléfono es una clave universal: una vez que una empresa lo tiene, se puede cotejar, vender, fusionar en el archivo de un corredor de datos y vincular a todo lo demás que usted hace. Un identificador con ámbito empresarial es una clave que solo abre una puerta.
¿Por qué ahora? La función de nombre de usuario
Los BSUID no aparecieron en el vacío. Son la infraestructura para una función que los usuarios de WhatsApp han querido durante mucho tiempo: los nombres de usuario.
A partir de 2026, WhatsApp implementará nombres de usuario opcionales, identificadores como @su_nombre que le permitirán enviar mensajes y llamar a empresas sin entregar su número de teléfono en absoluto. La documentación de Microsoft sobre el cambio describe el nombre de usuario como la identidad pública y el BSUID como la referencia privada de backend que permite a la empresa mantener viva la conversación.
Las reglas son simples. Según informes de India TV News, los nombres de usuario deben tener entre 3 y 35 caracteres, contener al menos una letra y usar solo letras, números, puntos y guiones bajos. Su número de teléfono permanece adjunto a su cuenta para el inicio de sesión, la autenticación y la recuperación; simplemente deja de ser visible para las empresas a las que contacta a través de su nombre de usuario.
Dos detalles hacen que esto sea genuinamente centrado en el usuario. Primero, es totalmente opcional: si prefiere la forma en que funciona WhatsApp hoy, no cambia nada. Segundo, es gratuito: no hay ningún cargo por crear, cambiar o eliminar un nombre de usuario.
WhatsApp también está agregando una salvaguarda opcional llamada "clave de nombre de usuario", un PIN corto que alguien necesita además de su identificador antes de poder acceder a su bandeja de entrada principal. Es algo pequeño que cierra una brecha real: un nombre de usuario público, por sí solo, podría ser adivinado o contactado por cualquier persona.
Cómo cambia la seguridad para la gente común
Para entender por qué esto es importante, hay que recordar cuánto daño puede causar un número de teléfono filtrado.
Su número es el eslabón clave del fraude de intercambio de SIM (SIM-swapping), donde un estafador convence a un operador para que transfiera su número a su SIM y luego intercepta sus códigos de seguridad. Es la semilla para la recopilación de metadatos, donde los corredores ensamblan un perfil en torno al único identificador que nunca puede cambiar fácilmente. Y es lo que termina en listas de spam después de una sola transacción con un comerciante descuidado.
Al permitir que las personas interactúen con las empresas a través de un nombre de usuario y un código con ámbito empresarial, WhatsApp elimina por completo el número de ese intercambio. La cobertura del Mobile Ecosystem Forum enmarca el movimiento como una respuesta directa a vulnerabilidades de larga data: el tipo de correcciones estructurales que protegen a las personas que nunca leerán una guía de seguridad.
Piense en quién se beneficia más. Una sobreviviente de violencia doméstica que necesita pedir en una farmacia sin revelar un número localizable. Un periodista que contacta a la organización de una fuente. Un adolescente que compra entradas para un concierto a una marca con la que nunca antes había tratado. Para todos ellos, "enviar un mensaje a esta empresa sin darle su número" no es una conveniencia, es una característica de seguridad.
También hay un beneficio más silencioso. Cuando su número no está en la carga útil del webhook, no está sentado en la base de datos de alguna empresa esperando ser violada. No se puede filtrar lo que nunca se recopiló. Ese principio, la minimización de datos, ha sido el santo grial de la regulación de la privacidad durante años. Los BSUID lo integran en el protocolo mismo.
Por qué esto tiene un impacto diferente en todo el mundo
WhatsApp no es un mercado; son docenas, y el BSUID significará algo ligeramente diferente en cada uno.
En Europa, el cambio parece casi un regalo de cumplimiento. El principio de minimización de datos del GDPR exige que las empresas recopilen solo los datos personales que realmente necesitan. Un número de teléfono cosechado "por si acaso" siempre ha estado en una zona gris. Un identificador con ámbito empresarial que permite a una empresa atender a un cliente sin almacenar nunca un número de teléfono es, en efecto, la intención de la regulación expresada como una configuración técnica predeterminada. Las empresas que operan bajo las normas europeas pueden descubrir que los nombres de usuario reducen silenciosamente su superficie de cumplimiento.
En mercados como India, Brasil e Indonesia, donde WhatsApp no es solo una aplicación sino el canal principal para el comercio, los servicios gubernamentales y los negocios diarios, las apuestas son diferentes. Estos son lugares donde un número filtrado puede significar una marea implacable de llamadas de spam, acoso de aplicaciones de préstamos y fraude. Para cientos de millones de usuarios de Internet por primera vez, la capacidad de realizar transacciones sin exponer un identificador permanente y marcable es una mejora significativa en la seguridad cotidiana, no una preferencia de privacidad de nicho.
El hilo conductor es que WhatsApp está haciendo que la elección privada sea la fácil. Históricamente, proteger su número significaba fricción: una segunda SIM, un número desechable, una negativa a interactuar. Los nombres de usuario y los BSUID trasladan esa protección al flujo predeterminado, donde las personas que más lo necesitan son las más propensas a usarlo realmente.
Crédito donde se debe: esto es difícil de hacer bien
Vale la pena hacer una pausa para apreciar lo que Meta realmente ha construido aquí, porque las funciones de privacidad son fáciles de anunciar y difíciles de diseñar.
La versión ingenua de "ocultar mi número" rompe todo. Las empresas todavía necesitan una forma estable de reconocer a un cliente que regresa, dirigir un ticket de soporte o enviar la actualización de envío que solicitó. Si el identificador cambiara cada sesión, el comercio en WhatsApp simplemente dejaría de funcionar. Si el identificador fuera el mismo en todas partes, simplemente habría inventado una nueva clave de seguimiento universal: teatro de privacidad con pasos adicionales.
El enfoque con ámbito empresarial atraviesa esa aguja. El ID es lo suficientemente estable para que una empresa mantenga una relación real con usted, y lo suficientemente limitado en su ámbito como para que la relación no pueda vincularse entre empresas. Ese es un diseño cuidadoso y basado en principios, y Meta merece crédito por implementarlo como la arquitectura predeterminada en lugar de una configuración oculta.
Meta también manejó la transición cuidadosamente. Como señala el registro de cambios de Twilio, las empresas que ya tienen el número de teléfono de un cliente de conversaciones pasadas no lo pierden; pueden seguir enviando mensajes a contactos conocidos como antes. Ninguna relación existente se rompe el primer día. El nuevo modelo se superpone al antiguo, no se deja caer sobre él.
Qué necesitarán ajustar las empresas
Para las empresas que envían mensajes a los clientes en WhatsApp, los BSUID son menos una amenaza que un aviso. Cambian algunas cosas prácticas.
La más importante: no se puede asumir la presencia de números de teléfono. Cuando un usuario adopta un nombre de usuario, su número simplemente puede no aparecer en el webhook que reciben sus sistemas. En cambio, como detalla la base de conocimientos de Vonage, usted recibe un BSUID en los campos to y from. Cualquier sistema que utilice el número de teléfono como clave principal del cliente (CRM, herramientas de ticketing, análisis) debe aprender a tratar el BSUID como un identificador válido también.
Hay una exclusión notable. Según la documentación de Meta, las plantillas de autenticación de un toque, cero toques y copiar código, los mensajes OTP que recibe al iniciar sesión, todavía requieren un número de teléfono y no se pueden enviar a un BSUID. Eso tiene sentido: esos flujos existen precisamente para verificar un número. Sin embargo, las conversaciones estándar de marketing, servicios públicos y servicio funcionarán solo con un BSUID.
También hay una regla de ámbito que vale la pena conocer. Los BSUID están vinculados a una cartera empresarial, por lo que solo los números de teléfono dentro de la misma cartera pueden enviar mensajes a un BSUID determinado. Para la mayoría de las empresas esto es invisible; para organizaciones grandes que operan múltiples marcas bajo carteras separadas, es un detalle a tener en cuenta.
La conclusión honesta para las empresas es que esto recompensa una buena higiene de datos y castiga los atajos. Las empresas que se basaron silenciosamente en la recopilación y reventa de números encontrarán que ese pozo se seca. Las empresas que se ganan una conversación y la atienden bien no notarán mucha diferencia en absoluto.
El cronograma
Esto no es un cambio de "algún día", es un cambio de calendario. Basándose en la orientación recopilada por proveedores como Twilio y la propia documentación de Meta, el lanzamiento se desarrolla aproximadamente de la siguiente manera:
- Principios de abril de 2026: Los BSUID comienzan a aparecer en las cargas útiles de webhook y los nombres de usuario entran en beta limitada.
- Mayo de 2026: Llega el soporte de API para enviar mensajes a usuarios solo con su BSUID. Podrá comunicarse con las personas por BSUID, número de teléfono o ambos.
- Junio de 2026: Los nombres de usuario de WhatsApp comienzan su implementación global más amplia.
Para una función que redibuja silenciosamente cómo más de mil millones de personas se identifican ante las empresas, esa es una pista de aterrizaje notablemente corta. Los sistemas que lo manejan con gracia son los que se están preparando ahora.
El panorama general
Dando un paso atrás, el BSUID es parte de una historia mucho más grande que el menú de configuración de una sola aplicación.
Durante treinta años, la configuración predeterminada de Internet ha sido identificar a las personas mediante algo permanente y reutilizable: una dirección de correo electrónico, un número de teléfono, una identificación nacional. Ese modelo es eficiente y catastróficamente propenso a fugas. Cada reutilización es una oportunidad para ser rastreado, fusionado y expuesto. La alternativa emergente, visible en todo, desde los correos electrónicos de retransmisión privada de "Iniciar sesión con Apple" hasta Ocultar mi correo electrónico de Apple, es la identidad con ámbito: dar a cada relación su propia clave desechable y las fugas dejan de acumularse.
Que WhatsApp ponga un identificador con ámbito empresarial en el centro de cómo un tercio del planeta habla con las empresas es el despliegue más grande de esa idea intentado hasta ahora. Si funciona, si los nombres de usuario se imponen y las empresas se adaptan sin fricciones, normaliza la expectativa de que usted debería poder tratar con una empresa sin entregar una parte permanente de usted mismo.
El número de teléfono no desaparecerá de la noche a la mañana. Pero por primera vez, ya no es el precio de entrada a una conversación. Ese es un pequeño cambio en la carga útil del webhook de un desarrollador y un gran cambio en el mundo.
