SM-DP+ Explicado en 2026 — Qué es y por qué tu eSIM lo necesita

Cuando instalas una eSIM, tu teléfono escanea un código QR y en 30 segundos tienes línea activa. Detrás de esa magia está SM-DP+ (Subscription Manager Data Preparation Plus), el servidor que gestiona la descarga y activación de perfiles eSIM según el estándar GSMA SGP.22. En eSIM Ahora usamos SM-DP+ para entregar perfiles en más de 160 países con activación instantánea, sin necesidad de cambiar SIM física ni visitar una tienda.

Este post explica qué es SM-DP+, cómo funciona el flujo de activación, qué diferencia tiene con LPA (Local Profile Assistant), y por qué elegir un proveedor con infraestructura SM-DP+ confiable marca la diferencia entre conectarte al aterrizar o quedarte sin datos por horas.

Qué es SM-DP+ y por qué existe

SM-DP+ es un servidor remoto que almacena y prepara perfiles eSIM para su descarga. Antes de la eSIM, las tarjetas físicas (SIM clásicas) venían pre-grabadas de fábrica con credenciales del operador. Con eSIM, el chip eUICC del dispositivo está vacío al salir de fábrica; el perfil se descarga bajo demanda desde un SM-DP+ después de la compra.

El estándar GSMA SGP.22 (publicado en 2016, actualizado en 2023) define tres actores:

1. eUICC: el chip eSIM dentro del dispositivo (iPhone, Pixel, Galaxy, iPad).
2. LPA (Local Profile Assistant): software en el sistema operativo (iOS, Android) que gestiona la descarga y activación de perfiles. Es la interfaz entre el usuario y el eUICC.
3. SM-DP+: servidor del proveedor eSIM (nosotros, o un MNO como AT&T) que genera el perfil y lo envía cifrado al eUICC.

Cuando escaneas el código QR de eSIM Ahora, el LPA de tu iPhone o Android lee la dirección del SM-DP+ (formato 1$smdp.esimahora.com$MATCHING_ID) y se conecta para descargar el perfil. El SM-DP+ verifica el Matching ID (código de activación único), cifra el perfil con las claves del eUICC, y lo transmite. El eUICC instala el perfil y lo activa. Todo ocurre en segundos, sin intervención humana.

Flujo técnico: desde la compra hasta la activación

Paso 1: Compra y generación del perfil

Compras un plan de 3 GB para México en eSIM Ahora. El sistema de backend solicita un perfil al SM-DP+ (operado por nosotros o por un partner de aprovisionamiento como BICS o Tango Telecom). El SM-DP+ genera el perfil con:

• IMSI (International Mobile Subscriber Identity): identifica al suscriptor en la red móvil. Por ejemplo, un perfil para Telcel en México podría tener IMSI 334-020-XXXXXXXXX (334 = México, 020 = Telcel).
• Ki (Authentication Key): clave criptográfica de 128 bits que autentica la línea ante la red.
• OPc: operador-specific key derivado del Ki.
• APN, PLMN, políticas de roaming: configuración de acceso a datos.

El SM-DP+ cifra el perfil con una clave de transporte negociada con el eUICC y almacena el paquete cifrado junto con un Matching ID (código alfanumérico único, ej: LPA:1$smdp.esimahora.com$ABC123DEF456).

Paso 2: Escaneo del código QR

Recibes el código QR por email o en tu cuenta. El QR codifica el string LPA con tres componentes:

LPA:1$smdp.esimahora.com$ABC123DEF456

• LPA:1: prefijo que identifica un código de activación SGP.22.
• smdp.esimahora.com: dirección del SM-DP+ (dominio o IP).
• ABC123DEF456: Matching ID que identifica el perfil específico.

Escaneas el QR con la cámara nativa (iOS) o desde Ajustes > Redes móviles > Agregar eSIM (Android). El LPA parsea el string.

Paso 3: Handshake entre LPA y SM-DP+

El LPA abre una conexión HTTPS al SM-DP+ (puerto 443, TLS 1.2 o superior). Intercambian certificados:

• El eUICC presenta su EID (eUICC Identifier, 32 dígitos) y un certificado firmado por el fabricante (Apple, Samsung, Qualcomm).
• El SM-DP+ valida el certificado contra la cadena de confianza GSMA CI (Certificate Issuer). Si el EID está en lista negra (dispositivo reportado robado), rechaza la descarga.

El SM-DP+ consulta su base de datos: ¿existe un perfil con Matching ID ABC123DEF456 y estado Released (listo para descargar)? Si sí, negocia claves de sesión con el eUICC usando el protocolo SCP03t (Secure Channel Protocol 03 for transport).

Paso 4: Descarga cifrada del perfil

El SM-DP+ transmite el perfil cifrado en paquetes (típicamente 5-20 KB, según complejidad). El eUICC descifra, valida el hash SHA-256, e instala el perfil en un slot vacío. iOS/Android muestran el nombre del operador (ej: "eSIM Ahora MX Telcel") y el estado "Activando...".

Paso 5: Activación en la red

El eUICC activa el perfil. El módem envía un Location Update a la red móvil (ej: Telcel) con el IMSI del perfil. La red consulta el HLR/HSS (Home Location Register) del operador, verifica que el IMSI existe y tiene saldo/datos activos, y responde con Location Update Accept. El teléfono registra señal 4G/5G. El proceso completo toma 15-45 segundos en redes con HLR rápido (Telcel, Movistar España), hasta 2 minutos en redes congestionadas (algunas en India, Filipinas).

SM-DP+ vs LPA: quién hace qué

El LPA no conoce tus credenciales (IMSI, Ki); solo orquesta la descarga. El SM-DP+ nunca ve el contenido descifrado del perfil después de transmitirlo (el eUICC lo descifra localmente). Este diseño asegura que incluso si el SM-DP+ es hackeado, no pueden clonar SIMs activas (necesitarían las claves del eUICC, protegidas por hardware).

Por qué la calidad del SM-DP+ importa

Tiempo de respuesta

Un SM-DP+ lento añade 30-60 segundos al flujo de activación. Nosotros corremos instancias SM-DP+ en AWS Frankfurt, São Paulo, y Singapur con latencia <80 ms hacia el 95% de nuestros usuarios. Si compras un plan antes de aterrizar en Cancún y escaneas el QR al bajar del avión, tienes señal antes de salir del aeropuerto.

Proveedores con SM-DP+ mal dimensionado (un solo servidor en Virginia para tráfico global) generan timeouts en horas pico (viernes tarde, inicio de temporada alta). Resultado: escaneas el QR, el LPA se cuelga en "Contactando servidor..." por 5 minutos, y terminas usando el WiFi del hotel para reintentar.

Disponibilidad y redundancia

El estándar GSMA no exige alta disponibilidad, pero en eSIM Ahora corremos SM-DP+ con 99.9% uptime (SLA interno: máximo 43 minutos de downtime al mes). Usamos balanceo de carga entre 3 instancias por región y failover automático a región alternativa si una cae.

En 2025, un proveedor europeo sufrió un outage de SM-DP+ de 8 horas durante Navidad por un certificado TLS expirado. Miles de viajeros no pudieron activar eSIMs compradas con anticipación. El problema: un solo servidor SM-DP+, sin monitoreo de expiración de certificados.

Seguridad y cumplimiento GSMA

El SM-DP+ debe cumplir GSMA SAS-SM (Security Accreditation Scheme for Subscription Management). Esto implica:

• Certificados emitidos por una GSMA CI autorizada (Entrust, DigiCert, GlobalSign).
• Auditorías anuales de seguridad por auditores GSMA.
• Protección contra ataques de descarga masiva (rate limiting, CAPTCHA en APIs de aprovisionamiento).

Un SM-DP+ no acreditado puede generar perfiles, pero muchos eUICCs (especialmente iPhones) rechazan conexiones con certificados no confiables. Resultado: "No se pudo activar la eSIM" sin mensaje de error detallado.

Problemas comunes relacionados con SM-DP+

Error: "No se pudo contactar al servidor SM-DP+"

Causas:

1. Firewall corporativo o VPN bloqueando puerto 443 al dominio del SM-DP+. Solución: desactiva VPN, conéctate a WiFi doméstico o datos móviles de tu SIM principal.
2. Certificado TLS expirado en el SM-DP+. Solución: contacta soporte; el proveedor debe renovar el certificado.
3. Matching ID ya usado. Cada código QR es de un solo uso. Si escaneaste el QR, la descarga falló a mitad, y reintentaste, el SM-DP+ marca el Matching ID como "consumido" y rechaza reintentos. Solución: solicita un nuevo código QR.

Error: "eSIM no compatible con este dispositivo"

El eUICC del dispositivo no acepta el perfil porque:

1. El perfil es para un eUICC de otro fabricante. Algunos SM-DP+ generan perfiles optimizados para eUICCs de Apple; Android con chip Qualcomm puede rechazarlos. Solución: verifica que el proveedor soporte tu modelo.
2. La versión del LPA es antigua. iOS <12.1 y Android <9 no soportan SGP.22 v2.2. Solución: actualiza el sistema operativo.

Perfil descargado pero sin señal

El SM-DP+ entregó el perfil correctamente, pero la red móvil no responde. Causas:

1. Roaming no habilitado. En algunos países (China, Rusia), el operador local bloquea roaming de IMSIs extranjeros por defecto. Nosotros pre-activamos roaming en el HLR antes de liberar el perfil, pero redes locales pueden cambiar políticas sin aviso.
2. APN incorrecto. El perfil tiene un APN genérico (internet, web.es) pero el operador local requiere un APN específico (internet.telcel.com). Solución: edita el APN en Ajustes > Datos móviles > Opciones de datos > Red de datos móviles (iOS) o Ajustes > Redes móviles > APN (Android).

Cómo verifica eSIM Ahora la calidad del SM-DP+

Antes de contratar una plataforma SM-DP+ (BICS, Tango Telecom, 1Global), corremos pruebas en 10 modelos de dispositivo:

• iPhone 14 Pro, 15, 15 Pro (chip eSIM de Apple).
• Samsung Galaxy S23, S24 (chip eSIM de Samsung).
• Google Pixel 7, 8 Pro (chip eSIM de Qualcomm).
• Oppo Find X5, Xiaomi 13 (eUICCs chinos, a veces con quirks de SGP.22).

Medimos:

1. Tiempo de descarga (objetivo: <30 segundos en WiFi 20 Mbps).
2. Tasa de éxito en primer intento (objetivo: >98%).
3. Compatibilidad con VPNs comunes (algunos LPAs fallan si WireGuard está activo).

Si una plataforma falla >2% en cualquier métrica, no la usamos. En 2024 descartamos un proveedor porque sus perfiles tardaban 90 segundos en descargar en Pixel 8 (bug en SCP03t con eUICCs Qualcomm).

SM-DP+ y la multi-IMSI: el futuro

La especificación SGP.22 v3.0 (draft 2025, release esperado en 2027) introduce multi-IMSI profiles: un solo perfil eSIM con 2-5 IMSIs, cada uno para una región diferente. Ejemplo: compras un plan "Global" con:

• IMSI de Telcel (México).
• IMSI de Movistar (España).
• IMSI de AIS (Tailandia).

El eUICC selecciona automáticamente el IMSI según la red disponible. Ventaja: sin roaming (cada país usa un IMSI "local"), evitando las tarifas de roaming que algunos operadores cobran internamente.

El SM-DP+ debe generar perfiles multi-IMSI con lógica de selección de IMSI (steering of roaming). Esto requiere HLRs más potentes (cada IMSI debe estar provisionado en el HLR del operador correspondiente) y coordinación entre operadores.

En eSIM Ahora planeamos lanzar perfiles multi-IMSI en 2027 para el corredor México-USA-España (IMSI de Telcel, AT&T, Movistar). El mismo código QR te dará cobertura nativa en los tres países. Si quieres estar al tanto del lanzamiento, revisa nuestros planes para Estados Unidos y planes para España.

Alternativas a SM-DP+: SM-SR (para IoT)

Para dispositivos IoT (rastreadores GPS, medidores inteligentes, cámaras de seguridad), existe SM-SR (Subscription Manager Secure Routing), definido en GSMA SGP.02. SM-SR permite cambio remoto de perfil sin intervención del usuario (el dispositivo no tiene pantalla ni LPA).

SM-SR es para M2M (machine-to-machine); SM-DP+ es para consumer eSIM (smartphones, tablets, smartwatches). Los dos estándares no son compatibles: un eUICC consumer (SGP.22) no acepta comandos SM-SR, y viceversa.

Si tu Apple Watch usa eSIM, usa SM-DP+ (el Watch tiene un eUICC consumer y el iPhone actúa como LPA proxy). Si tienes un Tesla con eSIM para datos del coche, probablemente usa SM-SR (perfil pre-instalado de fábrica, actualizado por Tesla remotamente).

FAQ

¿Puedo reutilizar un código QR SM-DP+ en otro dispositivo?

No. Cada Matching ID es de un solo uso. Una vez que el eUICC descarga el perfil, el SM-DP+ marca el Matching ID como "consumido". Si intentas escanear el mismo QR en otro teléfono, el SM-DP+ responde con error 404 (perfil no disponible). Si necesitas el perfil en otro dispositivo, contacta soporte para transferir el perfil (implica eliminar del eUICC original y generar un nuevo Matching ID).

¿Qué pasa si el SM-DP+ cierra o cambia de dominio?

Una vez descargado, el perfil está almacenado en el eUICC de tu dispositivo. El SM-DP+ solo interviene durante la descarga inicial. Si el proveedor migra de smdp.old.com a smdp.new.com, tus perfiles ya instalados siguen funcionando. Solo los nuevos códigos QR usarán el nuevo dominio. Si el proveedor quiebra y apaga el SM-DP+, no puedes descargar perfiles nuevos, pero los existentes siguen activos hasta que expiren o agotes los datos.

¿El SM-DP+ puede rastrear mi ubicación o tráfico?

No. El SM-DP+ solo ve:

• Tu EID (identificador del chip eSIM).
• La IP desde la que te conectas durante la descarga (típicamente la IP del WiFi o datos móviles que usas para escanear el QR).
• Fecha/hora de la descarga.

Una vez instalado el perfil, el tráfico de datos pasa por la red del operador móvil (Telcel, Movistar, etc.), no por el SM-DP+. El operador móvil sí puede ver tu ubicación (torres conectadas) y metadatos de tráfico (dominios visitados, volumen de datos). El SM-DP+ no participa en la fase de uso; solo en la activación.