API de multas en México: cómo consultar adeudos vehiculares paso a paso

Una API de multas en México es un servicio web, normalmente REST, que recibe una placa vehicular y devuelve, en cuestión de segundos, los adeudos, infracciones y sanciones registrados en las bases oficiales de tránsito. En la práctica, lo que hace es reemplazar la consulta manual en cada portal estatal por una sola llamada HTTP que regresa un JSON listo para alimentar un ERP, un panel de control o una app.

¿Qué es una API de multas en México y qué resuelve?

Una API de multas en México es, técnicamente, un endpoint REST al que mandas una placa y te responde con los adeudos del vehículo: tenencia, infracciones de tránsito pendientes, sanciones ambientales, puntos del programa Fotocívicas, vigencia de la licencia y de la tarjeta de circulación. La fuente directa de esa información en la Ciudad de México es la Secretaría de Administración y Finanzas (SAF) del Gobierno de la CDMX, y ese es el organismo que mantiene los registros que las APIs terminan consultando por ti.

La diferencia entre un proveedor comercial y la consulta directa a la autoridad es importante. La API de Automultas agrega datos de varias entidades federativas y agrega funcionalidades que la fuente original no expone de forma programática: webhooks, sandbox, planes por número de placas y SLA. La API adeudos-mx de Apitude, en cambio, está documentada como un servicio específico que extrae la información de la SAF de la CDMX y detalla estructura JSON, códigos HTTP y un flujo de dos pasos con request_id. Ambas opciones son válidas; lo que cambia es el alcance (multi-entidad vs. solo CDMX) y el nivel de automatización que necesitas.

¿A quién le conviene y qué necesita para empezar?

La herramienta está pensada para perfiles técnicos, pero también le sirve a quien no programa. Del lado de los desarrolladores, lo más común es integrarla a un sistema interno para evitar la captura manual de placas en oficinas administrativas. Del lado del usuario final, basta con entrar a consultar multas CDMX o a la versión para personas de Automultas para revisar el adeudo de su propio vehículo.

Requisitos para empezar:

• Una cuenta activa en el proveedor y una API Key o Bearer Token propio.
• Un endpoint propio que reciba los webhooks (si vas a usar notificaciones automáticas).
• Certificados TLS válidos en tu servidor y soporte para TLS 1.3.
• Manejo de request_id para el modelo asíncrono de Apitude.

Perfiles de uso más comunes

Una arrendadora con 300 autos en CDMX puede configurar un webhook en https://api.automultas.com.mx/v1/plates/monitor y recibir, minutos después de que uno de sus vehículos sea infraccionado, un POST automático con el folio de la boleta y el monto en Unidades de Cuenta. Eso le permite conciliar la sanción con el contrato del arrendatario sin que nadie tenga que entrar a un portal a revisar placas una por una.

Una empresa de logística con flotillas interestatales usa la misma API para correr un reporte semanal de cumplimiento por sucursal (CDMX, Guadalajara, Monterrey, Querétaro) y detectar placas con adeudos antes de que el vehículo sea detenido en un operativo.

Las aseguradoras la ocupan como filtro al emitir la póliza: si la API reporta infracciones graves o sanciones ambientales activas, el perfil de riesgo del conductor sube.

Y el caso más sencillo, una persona en la CDMX antes de pagar su verificación: entra a la calculadora de circulación CDMX, teclea su placa y sabe en ese momento si tiene Fotocívicas activas o tenencia atrasada.

Cobertura geográfica disponible

La cobertura real depende del proveedor. La siguiente tabla resume las entidades federativas donde Automultas declara tener consulta operativa de multas por placa. Los nombres de cada entidad enlazan a su sección específica.

Aclaración importante: el caso CDMX siempre termina nutriéndose de la Secretaría de Administración y Finanzas de la CDMX, que es la autoridad local competente en infracciones de tránsito dentro de la capital. En el resto de las entidades la fuente puede ser la secretaría de finanzas estatal, la policía de tránsito local o un organismo mixto, según el convenio del proveedor.

Arquitectura técnica y seguridad de la conexión

Los proveedores usan REST sobre HTTPS, con métodos HTTP clásicos: GET para consultar, POST para crear monitoreos o disparar la consulta inicial, PUT para actualizar y DELETE para dar de baja recursos. La autenticación se hace de dos formas: Bearer Token en el header Authorization (formato sk_live_...) en Automultas, o header x-api-key en Apitude.

Los puntos finos de seguridad:

• Cifrado en tránsito con TLS 1.3; nada debe viajar por HTTP plano.
• Webhooks firmados digitalmente para verificar que la notificación viene del proveedor, con reintentos automáticos si tu endpoint responde 5xx.
• Rate limiting inteligente: los límites varían según el plan y se aplican por API Key.
• SLA con uptime superior al 99.9%, infraestructura redundante, monitoreo 24/7 y escalado automático.
• Sandbox gratuito con datos de prueba, documentación completa y colecciones de Postman para validar la integración antes de pasar a producción.

Si tu sistema va a procesar infracciones en tiempo real, el modelo de webhooks es claramente más eficiente que el polling manual. Te suscribes a una placa una sola vez y de ahí en adelante recibes notificaciones push con cada nueva multa detectada.

Datos que devuelve la API y estructura JSON

La respuesta típica trae seis bloques de información por placa: adeudos de tenencia (un arreglo por año con su estatus PAGADA o NO PAGADA), infracciones pendientes con fecha, motivo, fundamento legal, folio de boleta y monto, sanciones ambientales, puntos del programa Fotocívicas, vigencia de licencia y vigencia de tarjeta de circulación. Cada campo se entrega con su nombre estable y se puede mapear directo a una base de datos.

Ejemplo real de una infracción devuelta por la API adeudos-mx tras una consulta:

{
  "date": "2018-05-11",
  "amount": "10 UNIDADES DE CUENTA",
  "reason": "ARTICULO: 8 , FRACCION: I , PARRAFO: 2 , INCISO",
  "status": "NO PAGADA",
  "invoice": "04184268621"
}

El folio 04184268621 y la fecha 2018-05-11 son los que permiten al conductor revisar la boleta original en el portal de la SAF de la CDMX. La API te devuelve los identificadores; la conversión a pesos y el pago se hacen después, en el flujo oficial.

Flujo de integración típico (Apitude):

1. Te registras y obtienes tu API Key en la sección Get API Access.
2. Haces POST al endpoint base con la placa y header x-api-key. La respuesta inicial trae un request_id único.
3. Con ese ID haces GET al endpoint de seguimiento para obtener la respuesta definitiva con los adeudos.
4. Si vas a producir webhooks, registras tu URL en el panel y guardas el secreto de firma.
5. Los códigos HTTP que vas a encontrar son 200 (datos encontrados), 400 (input inválido), 404 (sin datos para esa placa) y 500 (servicio externo caído; este último no se cobra).

Montos en Unidades de Cuenta de la CDMX

Los montos que regresa la API no vienen en pesos mexicanos, sino en Unidades de Cuenta de la CDMX (UC CDMX), una unidad de referencia que publica la propia Secretaría de Administración y Finanzas y que cambia cada año junto con la inflación. Para convertir a pesos tienes que multiplicar el número de UC por el valor vigente de la UMA o de la UC CDMX que esté publicado al momento del pago.

En el ejemplo anterior, "10 UNIDADES DE CUENTA" significa que, al día de la infracción, esa multa equivalía a 10 veces el valor de la UC CDMX vigente. Como ese valor cambia anualmente, lo correcto es no hardcodear el monto en tu sistema: consúltalo en la página oficial de la SAF de la CDMX o del portal de consulta de multas y actualízalo al menos una vez al año.

Si lo que necesitas es solo verificar si tu auto en CDMX puede circular hoy, la calculadora de circulación CDMX y el programa Hoy No Circula te resuelven en pantalla sin tocar una sola línea de código. La API entra en juego cuando esa misma consulta la quieres embebida en un sistema con cientos o miles de placas.

Definición rápida: Bearer Token es un token de acceso que tu sistema envía en cada petición HTTP para identificarse. Quien tenga ese token puede hacer consultas a nombre de tu cuenta, por eso se trata como una contraseña y se guarda en variables de entorno, nunca en el código fuente.

Antes de ir a producción, prueba en el sandbox con placas ficticias hasta confirmar que tu sistema maneja bien el request_id, los códigos 404 y los reintentos de webhook. Una API bien integrada evita llamadas manuales y reduce adeudos olvidados; una mal integrada, multiplica el problema en automático.