No necesitas tokens por dispositivo en el firmware. Divide el problema en dos.Wi-Fi: mantén WiFiManager. Añade un campo personalizado en el portal si quieres un nombre de dispositivo amigable; si no, usa la MAC.Token: deja que el nodo pida el suyo. En el perfil del dispositivo abre la pestaña Provisioning, pon la estrategia en Allow creating new devices, guarda, luego pulsa Create key y copia el secreto (se muestra una sola vez). Esa clave y secreto son los mismos para las 12 compilaciones. En el primer arranque el nodo se conecta con el usuario provision y una contraseña vacía, se suscribe a v1/provision/res y publica su solicitud. La respuesta incluye su token de acceso; lo guardas en NVS y a partir de entonces inicia sesión normalmente.

// first boot only, after Wi-Fi is up
mqtt.setServer(host, 8883);          // WiFiClientSecure, TLS
mqtt.connect(clientId, "provision", "");
mqtt.subscribe("v1/provision/res", 1);
String req = String("{"deviceName":"aq-") + mac6 +
  "","provisionDeviceKey":"pk_xxx","provisionDeviceSecret":"ps_xxx"}";
mqtt.publish("v1/provision/req", req.c_str());
// in the callback: parse credentialsValue when status == "SUCCESS",
// prefs.putString("tok", value); then reconnect with the token as username

Dos cosas nos dieron problemas en una planta farmacéutica. Los dispositivos nuevos creados así acaban en cuarentena: se conectan, pero sus datos se descartan hasta que un administrador los active, así que avisa al responsable de la organización para que los busque. Y el nombre debe ser único; una segunda solicitud con el mismo nombre recibe device_exists, porque nunca entrega una credencial dos veces. Por eso no borres la NVS a la ligera. Los detalles están en Adding and claiming devices.

Aoife, por desgracia la Pi no tiene modo de suspensión profunda. Es una caja Linux: o está funcionando o está apagada. Así que corta todo lo que puedas y haz que la radio trabaje menos.Lo que haría, por orden de beneficio:

1. Pi: dtoverlay=disable-wifi y dtoverlay=disable-bt en config.txt, HDMI apagado (tvservice -o en imágenes antiguas), LED de actividad apagado. En una Zero eso te deja en unos 80 mA.
2. GPS: apaga el motor GNSS entre fijaciones (AT+CGPS=0, y luego AT+CGPS=1 otra vez). Un arranque en caliente del SIM7600 tarda unos pocos segundos.
3. Frecuencia: 30 s en movimiento, de 15 a 60 min aparcado. Decide según la velocidad o la distancia desde la última fijación.
4. Lotes: almacena las fijaciones y envía un mensaje cada pocos minutos como un array con ts. El GPS da un reloj correcto, así que las marcas de tiempo son fiables. Una llamada HTTPS en lugar de diez supone menos tiempo de radio y consume un mensaje de la cuota mensual en vez de diez.

[{"ts": 1757683200000, "values": {"lat": 52.95231, "lon": -1.14972, "speed_kmh": 31.5}},
 {"ts": 1757683230000, "values": {"lat": 52.95410, "lon": -1.14701, "speed_kmh": 33.0}}]

Como el dispositivo solo se comunica cada pocos minutos, pon la regla de en línea de su perfil en Recent message con un intervalo esperado que coincida con tu frecuencia aparcado; si no, aparecerá como desconectado toda la noche.Si una semana es un requisito estricto, la respuesta honesta es un microcontrolador (ESP32 o nRF) que duerma y despierte el módem, o un chip temporizador como el TPL5110 que corta la alimentación de toda la Pi entre ciclos. Una placa Linux en reposo a 80 mA nunca llegará a eso con 10 Ah.

El año pasado revisé un diseño similar para un contratista, así que aquí está el razonamiento para el informe.Separa lo público de lo secreto. El paquete CA es público; el certificado del servidor es público y se verifica con un paquete CA normal, por lo que guardarlo en la tarjeta no es problema. La contraseña de WiFi y el token del dispositivo son secretos, ya que identifican exactamente a este dispositivo.Los secretos en medios extraíbles fallan por dos motivos: quitar la tarjeta no deja ningún rastro, y la tarjeta suele copiarse en otras placas («clona la tarjeta sin más»), así que varios dispositivos comparten una misma credencial. Hermetry permite una sola sesión por dispositivo; dos placas con el mismo token se expulsarían constantemente entre sí, y verías una toma de control en la pestaña Log del dispositivo.Sobre X.509: para tus propias placas no está disponible. Los certificados de cliente deben provenir de la autoridad de certificación de dispositivos de Hermetry, y no se ofrece subir tu propia CA para dispositivos de terceros; esa vía es para dispositivos licenciados que generan su clave y envían ellos mismos una CSR. Tu ESP32 usa un token de acceso o MQTT basic.Lo que haría en un ESP32:1. El mismo binario para cada placa es aceptable. Guarda el token en NVS durante el aprovisionamiento (un pequeño comando serie en el primer arranque), no en la tarjeta.2. Activa el cifrado de flash y el cifrado de NVS, para que un volcado de la flash no revele el token.3. La tarjeta solo para el registro de datos y el paquete CA.4. En Hermetry, un dispositivo y un token por placa; rota el secreto si una placa se pierde. Eso termina sus sesiones de inmediato.La limitación de certificados está en la última sección de Device certificates.