Resumen

  • SATP permite revertir el bloqueo de origen o la acuñación provisional antes de Commit-Final; después de que el emisor quema el activo, la propia revisión 17 declara ineficaz el aborto.
  • Core todavía no admite recuperación ni reanudación de sesión. La arquitectura exige registros y puntos de control, pero deja para trabajo futuro su semántica interoperable.
  • La operación necesita un libro del punto de no retorno que separe intención, envío, recepción, afirmación de pasarela y estado observado en cada red.

Una orden puede ser auténtica y no producir el efecto que su nombre promete. Ese es el caso cuando una pasarela envía Commit-Final, pierde la conexión y sólo después intenta abortar.

SATP Core revisión 17 dice que el aborto ya no es efectivo en ese punto. La pasarela de origen ha extinguido el activo; la de destino ya ha acuñado el equivalente y se ha comprometido a asignarlo al beneficiario. El mensaje tardío puede cerrar una intención, no reconstruir el estado destruido.

La cuestión está abierta ahora. El IESG inició Last Call el 25 de septiembre de 2026, con fecha límite del 9 de octubre. El historial de Datatracker documenta un Internet-Draft en evaluación para Proposed Standard. No es RFC, despliegue ni evidencia de una transferencia real.

El modelo trabaja entre dos pasarelas, cada una delante de una red opaca para la otra. La arquitectura SAT exige propiedades ACID y verificación, pero reconoce que intercambiar mensajes no basta. Las redes subyacentes deben ejecutar los cambios coordinados.

En la etapa 1, propuesta, recibo, comienzo y confirmación fijan parámetros. Sus firmas y hashes prueban quién aceptó qué secuencia, no que el activo cambiara de red. La etapa 2 añade una afirmación firmada de bloqueo o custodia en origen. El formato depende de la red y queda fuera de Core; aceptar la afirmación no convierte a la pasarela receptora en observador del libro de origen.

La etapa 3 separa preparación y finalización. Commit-Ready afirma que el destino creó un equivalente, lo asignó provisionalmente a su propia pasarela y está preparado. Antes de ese paso aún se puede liberar el bloqueo o deshacer la acuñación provisional. Commit-Final afirma la quema en origen. ACK-Final afirma la asignación al beneficiario. Transfer-Complete cierra el intercambio. Son cuatro recibos, no sinónimos.

También hay cuatro hechos en un aborto: decisión local, mensaje transmitido, recepción del par y restauración comprobada. El borrador advierte que el mensaje puede perderse y la pasarela puede fallar antes de recibirlo. Un panel que muestra «abortado» al registrar sólo el envío confunde control con resultado.

La revisión actual empeora esa ambigüedad de forma honesta: no soporta recuperación ni reanudación de sesión. La arquitectura obliga a conservar eventos y checkpoints para que una pasarela de respaldo pueda continuar, pero el formato común y el punto de reinicio quedan pendientes. RFC 5424 puede transportar eventos; no decide si repetir un burn es seguro.

El canal TLS 1.3 de RFC 8446, las firmas JWS y los errores de RFC 9457 protegen mensajes bien delimitados. Ninguno observa por sí solo las dos redes. Una firma demuestra una afirmación de la pasarela, no la verdad universal del activo ni la autoridad jurídica del actor.

Los casos de uso SAT mencionan conocimientos de embarque y cartas de crédito que podrían moverse entre redes comerciales. Es contexto, no adopción. Precisamente porque esos objetos pueden representar derechos, el registro operativo debe conservar qué transición fue observada y cuál fue sólo declarada.

Ese registro enlaza sessionId, transferContextId, firmas y hashes previos con el bloqueo, la quema, la acuñación, la asignación, la expiración del bloqueo, las horas de envío y recepción, la identidad de las pasarelas, la finalización de cada red, las generaciones de reinicio y la última etapa corroborada por ambas partes.

La primacía del código en ejecución de Heng Lu impide que un nombre de mensaje gobierne una realidad que no observó. La especificación inicial mínima justifica un contrato común estrecho; las capas de realidad obligan a separar el símbolo firmado del efecto material.

Fuentes