Cómo funciona

Tecmilenio no tiene un solo lugar con toda tu información. Tiene tres. Banner guarda tu horario, tus faltas y tu historial de calificaciones. Canvas guarda las tareas, las entregas, los comentarios de tus profesores y los mensajes. Y «Mis Calificaciones» guarda las notas del periodo en curso.

Cada uno vive en un dominio distinto, se ve distinto y ninguno sabe de los otros. Para saber si puedes faltar mañana tienes que abrir dos sitios y hacer la cuenta tú. Esta app existe para juntar los tres y hacer esa cuenta por ti.

Los tres sitios comparten un mismo portero: el SSO de Tecmilenio. Cuando escribes tu matrícula y tu contraseña, esta app no las guarda ni las revisa: se las pasa a ese portero, exactamente como haría tu navegador, y espera su veredicto.

El veredicto no es un simple sí. Son mensajes firmados en SAML que van rebotando entre sitios, más un paso de MFA donde tienes que poner el código de tu app del teléfono. Ese paso es el que no se puede automatizar, y está bien que así sea.

Al final del rebote quedan unas cookies que valen como «esta persona ya entró». Eso es lo único que se guarda, y va cifrado. Tu contraseña se usa y se tira en el mismo segundo.

Cuando le picas a «Actualizar», el servidor toma esas cookies y visita los tres sitios haciéndose pasar por ti — porque, literalmente, es tu sesión. Todo ocurre del lado del servidor: las llaves y la sesión nunca bajan a tu teléfono.

Canvas es el fácil: tiene una API, o sea que basta pedirle a cada endpoint lo que se necesita y contesta en JSON, limpio y listo para usar.

Banner es el difícil: es un sistema viejo que solo sabe devolver páginas para que las lea una persona. Ahí se hace scraping: se pide la página, se lee su HTML y se busca dentro la tabla donde vienen tus faltas. Es frágil por naturaleza — si mañana cambian esa página, el programa deja de encontrarla — y por eso, cuando una fuente falla, la app lo dice en vez de enseñar un cero.

De paso hay que pasar por un WAF, el guardia que Tecmilenio tiene delante de sus sitios: las peticiones se presentan igual que las de un navegador normal para no parecer un ataque.

Son cuatro páginas de Banner y tres direcciones de Canvas. Todo lo demás del portal —Servicios, Administrativo: pagos, estados de cuenta, becas, trámites— no se pide, no se lee y no se guarda. No es que se descarte después: la app nunca abre esas páginas.

Tampoco escribe nunca en Tecmilenio. No inscribe, no entrega tareas, no manda mensajes. Solo lee.

Esa lista de siete direcciones está escrita entera más abajo. No hace falta creerla de palabra: son peticiones a un servidor ajeno, así que con las herramientas de desarrollo abiertas se ve exactamente cuáles se hacen —y que no hay ninguna más.

Con los datos crudos ya en casa, la app cruza lo que viene de Banner con lo que viene de Canvas y arma una sola versión de cada materia. Ahí es donde las faltas dejan de ser una celda muerta que dice «Límite 7, Faltas 0» y se vuelven un medidor de cuántas te quedan, que es la pregunta que de verdad tienes.

Todo eso se guarda en almacenamiento privado. Tus conversaciones y tus notas van a una base de datos aparte, con RLS encendido y sin ninguna regla que deje pasar a nadie: desde fuera no se ve nada.

Portal es un modelo de lenguaje al que se le entrega, antes de tu pregunta, un prompt con quién es, cómo debe contestar y un resumen de tu expediente en unas dos mil letras.

No se le manda todo tu expediente: serían muchos tokens en cada pregunta, más lento y más caro. En su lugar tiene cinco herramientas para pedir el detalle que le falte — «tráeme las tareas de cálculo», «enséñame los comentarios de mis profesores»— y solo las usa cuando el resumen no alcanza.

La respuesta llega por streaming, por eso se lee mientras se escribe. Y cuando habla de tus clases no redacta las horas: escribe una marca que la app convierte en la misma tarjeta de color de tu horario, con su clic. Menos ocasiones de equivocarse en un dato que la app ya tiene bien.

Los servicios de modelos tienen un límite de peticiones, y en los planes gratuitos se agota rápido. Por eso hay una cascada de diez proveedores: si el primero no contesta, se intenta con el siguiente, y así hasta que alguno responda. Tú no te enteras.

La diferencia no es que aquí haya menos riesgo de que te roben una cookie —eso puede pasar en cualquier sitio—. La diferencia es qué puede hacer quien te la robe.

En el portal de Tecmilenio, la cookie que guarda tu sesión vive en tu navegador y vale por ti para todo: quien la copie entra como tú y puede hacer lo mismo que tú —ver tus pagos, tus trámites, tus datos personales, y actuar en tu nombre—.

Aquí la sesión de Tecmilenio nunca toca tu navegador. Vive en el servidor y va cifrada, así que no hay nada que robar del lado del navegador que sirva para entrar a Tecmilenio: ni al portal, ni a una calificación, ni a inscripción, ni a un solo dato de pagos.

Y aquí la cookie tampoco alcanza para entrar a esta app. Hacen falta dos cosas, no una: la cookie, y una llave larga y aleatoria que se creó al entrar y que vive en el IndexedDB de este navegador. Esa llave no se manda en ninguna petición —a diferencia de una cookie, que viaja sola en todas—, así que no se filtra por un registro del servidor, ni por un intermediario, ni por una copia del tráfico.

Con la llave, tu navegador cambia por un permiso de diez minutos que se renueva solo, sin que lo notes. Quien tenga solo la cookie no puede pedir uno: se queda fuera en cuanto caduque el que hubiera —diez minutos como mucho—, y tampoco puede dar de alta su propio aparato, porque el alta necesita un vale que solo entrega un login completo, con contraseña y segundo factor.

Tus aparatos pueden ser varios —el teléfono y la computadora a la vez— y cada uno lleva su propia llave. Cerrar sesión da de baja solo el aparato desde el que la cerraste; los demás siguen. Cuando cierras en el último, se borra también la sesión de Tecmilenio guardada, que es lo que uno cree estar cerrando.

Además, esa cookie es más difícil de usar que la de un portal común:

· Caduca a los 30 días y la fecha va firmada dentro, así que una copia vieja se rechaza sin consultar nada.
· Se puede revocar. Cada sesión lleva un identificador aleatorio que también se guarda en el servidor; al cerrar sesión se borra de allá, y con eso cualquier copia que exista queda muerta al instante. Cerrar sesión en un portal común solo limpia el navegador donde lo cerraste.
· El JavaScript de la página no la puede leer, así que un script inyectado no se la lleva.
· No viaja a peticiones que vengan de otro sitio, ni siquiera desde un enlace. Eso cierra la puerta a que otra página haga que tu navegador actúe aquí sin que te enteres.

A eso se suma lo que ya sabías: tu contraseña no se guarda, y la semilla del segundo factor tampoco.

El código de Portal es privado. Eso quita una forma de comprobar lo de arriba, así que conviene decir cuál queda — y es la que de verdad demuestra algo.

Todo lo que la app hace contra Tecmilenio son peticiones de red a un servidor que no es suyo. Con las herramientas de desarrollo del navegador abiertas se ve la lista completa mientras ocurre: qué direcciones se piden y cuáles no. Eso no se puede maquillar desde aquí, y enseña lo que la app hizo en vez de lo que dice que hace.

Publicarlo es también una forma de responder a la pregunta razonable de «¿y cómo sé que esto no se queda con mi contraseña?». La respuesta es que puedes ir a verlo.

No es el portal oficial y no tiene ninguna relación con Tecmilenio. Es una copia de lo que sus sitios devolvieron la última vez que se actualizó, y puede estar vieja o mal leída. Para cualquier cosa que importe, el dato bueno es el del portal oficial — por eso el enlace está arriba, a un clic.

Y Portal, como cualquier modelo de lenguaje, se puede equivocar con mucha seguridad. Está atado a tus datos reales y tiene instrucciones de no inventar, pero eso reduce el riesgo, no lo elimina.