Como fintechs B2B podem validar CPFs de sócios e representantes legais

Fintechs B2B validam sócios e representantes legais em duas etapas. Primeiro, a Consulta de CNPJ da CPFHub.io (GET /cnpj/{cnpj}) devolve o quadro de sócios (QSA) com nome e qualificação de cada um, mas com o CPF mascarado. Depois, a fintech pede o CPF completo ao representante e o valida com GET /cpf/{cpf}, que retorna nome, gênero e data de nascimento. Cada consulta encontrada custa 1 crédito, e o plano Grátis traz 50 créditos por mês, sem cartão.

Introdução

Fintechs que operam no segmento B2B enfrentam um desafio específico de compliance: validar não apenas o CNPJ da empresa cliente, mas também os CPFs dos sócios e representantes legais que estão por trás dela. Esse processo, conhecido como KYB (Know Your Business), é essencial para prevenir fraudes corporativas, lavagem de dinheiro e uso de laranjas em operações financeiras.

Por que validar CPFs de sócios e representantes legais

Exigências regulatórias

O BACEN e o COAF exigem que instituições financeiras e fintechs reguladas identifiquem os beneficiários finais de operações. Isso inclui validar a identidade dos sócios com participação relevante e dos representantes legais da empresa.

Prevenção a fraudes corporativas

Fraudadores utilizam empresas de fachada com sócios fictícios para obter crédito, abrir contas e realizar transações ilícitas. Validar o CPF dos sócios é a primeira barreira contra esse tipo de fraude.

Compliance PLD/FT

As normas de Prevenção à Lavagem de Dinheiro e Financiamento ao Terrorismo exigem a identificação do beneficiário final. Sem validação dos CPFs dos sócios, a fintech não consegue cumprir essa obrigação.

O fluxo de KYB com validação de CPF

O processo de onboarding de uma empresa cliente em uma fintech B2B geralmente segue estas etapas:

1. Empresa informa o CNPJ.
2. Fintech consulta o CNPJ e recebe razão social, situação cadastral, CNAE e o quadro de sócios (QSA).
3. O QSA mostra nome e qualificação de cada sócio, mas o CPF vem mascarado. A fintech então pede ao representante legal o CPF completo (no formulário de onboarding ou junto com os documentos).
4. Fintech valida esse CPF via API e confere se o nome bate com o nome que aparece no QSA.
5. Divergências geram alertas para análise manual.
6. Com todas as validações aprovadas, a conta é aberta.

Etapa 1: consultar o CNPJ e ler o quadro de sócios

A Consulta de CNPJ usa a mesma chave de API e o mesmo saldo da consulta de CPF:

GET https://api.cpfhub.io/cnpj/11222333000181
x-api-key: SUA_API_KEY

A resposta traz os dados cadastrais da empresa em português, com o quadro de sócios em QSA:

{
  "success": true,
  "data": {
    "cnpj": "11222333000181",
    "razao_social": "EMPRESA EXEMPLO LTDA",
    "situacao_cadastral": "Ativa",
    "cnae_principal": "6201501",
    "QSA": [
      {
        "nome_socio": "FULANO DE TAL",
        "cnpj_cpf_socio": "***.456.789-**",
        "qualificacao_socio": "Sócio-Administrador"
      }
    ]
  }
}

O que vale saber antes de montar o fluxo:

• CPF de sócio pessoa física vem sempre mascarado (formato ***.456.789-**). O QSA serve para saber quem são os sócios e qual a qualificação de cada um, não para obter o CPF completo.
• Custo: 1 crédito por CNPJ encontrado, da mesma franquia da consulta de CPF. CNPJ não encontrado (404) ou inválido (400) não consome crédito.
• Fonte: base pública do CNPJ da Receita Federal, atualizada todo mês. Não é consulta em tempo real, então uma alteração societária recente pode levar até a próxima atualização mensal para aparecer.
• CNPJ alfanumérico já é aceito, com ou sem formatação.

Se a fintech precisa checar a carteira inteira de empresas clientes, o CNPJ em Lote (POST /cnpj/bulk) aceita até 10.000 CNPJs por envio. Detalhes na referência da Consulta de CNPJ.

Etapa 2: validar o CPF do representante legal

Com o CPF completo informado pelo representante, a consulta de CPF da CPFHub.io retorna:

{
    "success": true,
    "data": {
    "cpf": "98765432100",
    "name": "Carlos Alberto Mendes",
    "nameUpper": "CARLOS ALBERTO MENDES",
    "gender": "M",
    "birthDate": "10/08/1975",
    "day": 10,
    "month": 8,
    "year": 1975
    }
}

Com isso dá para conferir se o nome do titular do CPF é o mesmo que aparece no QSA e no contrato social, e se a data de nascimento bate com o documento apresentado.

Cenários de fraude que a validação previne

• Sócios fictícios: CPFs inexistentes ou não encontrados na base indicam possível fraude societária.

• Laranjas: a data de nascimento pode revelar sócios com idade incompatível (menores de idade usados como laranjas).

• Dados adulterados: nome retornado divergente do QSA ou do contrato social indica adulteração ou CPF de outra pessoa.

• CPFs de falecidos: a consulta de CPF não informa óbito. Para isso, use a Consulta em Tempo Real na Receita (POST /cpf/realtime), que exige CPF e data de nascimento e retorna a situação cadastral (por exemplo, REGULAR, SUSPENSA, TITULAR FALECIDO) e o ano do óbito. Custa 1,5 crédito por consulta bem-sucedida.

Implementação prática: validação do representante legal

Exemplo em JavaScript (Node.js 18 ou superior, com fetch nativo) que valida os CPFs informados e compara o nome com o nome do QSA:

const CPFHUB_API_KEY = process.env.CPFHUB_API_KEY;

async function validarSocio(cpf, nomeNoQSA) {
    try {
    const response = await fetch(`https://api.cpfhub.io/cpf/${cpf}`, {
    headers: { 'x-api-key': CPFHUB_API_KEY },
    signal: AbortSignal.timeout(10000)
    });

    if (response.status === 404) {
    // CPF não encontrado: não consome crédito
    return { cpf, status: 'nao_encontrado', risco: 'alto' };
    }
    if (!response.ok) {
    // 403 (créditos), 429 (limite por minuto), 503 etc.: decidir pelo status HTTP
    return { cpf, status: 'erro', risco: 'indeterminado', http: response.status };
    }

    const resultado = await response.json();
    const nomeConfere = resultado.data.nameUpper === nomeNoQSA.toUpperCase().trim();

    return {
    cpf,
    nomeOficial: resultado.data.name,
    nomeConfere,
    nascimento: resultado.data.birthDate,
    status: nomeConfere ? 'aprovado' : 'divergente',
    risco: nomeConfere ? 'baixo' : 'medio'
    };
    } catch (error) {
    return { cpf, status: 'erro', risco: 'indeterminado', erro: error.message };
    }
}

async function validarRepresentantes(representantes) {
    const resultados = [];

    for (const rep of representantes) {
    // Intervalo de 2 s para ficar dentro do limite padrão de 30 requisições/min
    await new Promise(resolve => setTimeout(resolve, 2000));
    resultados.push(await validarSocio(rep.cpf, rep.nomeNoQSA));
    }

    return resultados;
}

// CPFs informados pelos representantes; nomes copiados do QSA
const representantes = [
    { cpf: '12345678900', nomeNoQSA: 'Maria Silva' },
    { cpf: '98765432100', nomeNoQSA: 'Carlos Mendes' }
];

validarRepresentantes(representantes).then(console.log);

O limite padrão é de 30 requisições por minuto na consulta de CPF, somando CPF e CNPJ; acima disso a API responde HTTP 429 com Retry-After. Esgotar os 50 créditos do plano Grátis faz a API devolver HTTP 403, "Limite de créditos excedido", e parar as consultas. Nos planos pagos com excedente ativo, o excedente entra na fatura seguinte conforme a página de preços.

Critérios de análise automatizada

Com os dados retornados pela API, a fintech pode criar regras automatizadas:

KYB reforçado: Dossiê Pessoa Física do sócio

Para clientes de maior risco, validar o CPF não basta. O Dossiê Pessoa Física consulta o CPF do sócio em 14 listas e cadastros públicos de uma vez: OFAC, ONU, União Europeia, CGU (PEP, CEIS, CNEP, CEAF), TCU, PGFN, cadastro de empregadores com trabalho escravo do MTE e situação cadastral na Receita Federal. O resultado sai por fonte, em JSON e PDF. Ele não cobre antecedentes criminais, processos judiciais nem score de crédito.

O Dossiê está em acesso antecipado para empresas selecionadas, com custo previsto de 100 créditos por dossiê concluído. Para participar, peça acesso pela página do Dossiê Pessoa Física.

Planos recomendados para fintechs B2B

• Fase de MVP: plano Grátis (R$ 0, 50 créditos/mês, sem cartão de crédito) para testar a integração durante o desenvolvimento.

• Operação ativa: plano Pro, escolhido pelo volume: R$ 19 (100 créditos), R$ 149 (1.000), R$ 599 (5.000) ou R$ 999 (10.000) por mês.

• Alta escala: plano Corporativo (sob consulta), com SLA de 99,9%.

Boas práticas de implementação

1. Validar no momento do cadastro

A consulta do CNPJ e do CPF dos sócios deve ocorrer durante o onboarding, antes da ativação da conta empresarial.

2. Manter logs de auditoria

Registre cada validação com timestamp, CPF consultado (mascarado), resultado e decisão tomada. Esses registros são exigidos em auditorias regulatórias.

3. Revalidar periodicamente

Alterações no quadro societário podem ocorrer a qualquer momento. Agende novas consultas do CNPJ para detectar mudanças no QSA e revalide os sócios que entraram.

4. Combinar com outras fontes

A validação de CPF via API é uma camada de verificação. Combine-a com a consulta ao CNPJ, a análise do contrato social e, para PEP e sanções, o Dossiê Pessoa Física (em acesso antecipado).

Perguntas frequentes

A API CPFHub.io bloqueia requisições quando o limite mensal é atingido?

No Grátis as consultas param no fim dos 50 créditos: a resposta é HTTP 403, "Limite de créditos excedido". Nos planos pagos com excedente ativo, o excedente sai na fatura seguinte (veja a página de preços). Passar do limite por minuto é outro caso, HTTP 429 com Retry-After. O controle fica com você pelo painel em app.cpfhub.io/settings/billing.

A consulta de CNPJ retorna o CPF completo dos sócios?

Não. O quadro de sócios (QSA) traz nome e qualificação de cada sócio, mas o CPF de sócio pessoa física vem sempre mascarado (***.456.789-**). Para validar o representante legal, peça o CPF completo a ele e consulte com GET /cpf/{cpf}.

Quanto custa consultar CNPJ e CPF na mesma integração?

Os dois usam a mesma chave e o mesmo saldo: 1 crédito por CNPJ encontrado e 1 crédito por CPF encontrado. Consultas não encontradas não consomem crédito. O Dossiê Pessoa Física está em acesso antecipado para empresas selecionadas, com custo previsto de 100 créditos por dossiê concluído.

Quais dados a API retorna para validar um sócio ou representante legal?

A consulta de CPF retorna CPF, nome completo, nome em caixa alta, gênero e data de nascimento (no formato DD/MM/AAAA e também com dia, mês e ano separados). Situação cadastral e óbito vêm só na Consulta em Tempo Real na Receita; PEP e sanções, no Dossiê Pessoa Física, em acesso antecipado.

Como garantir conformidade com a LGPD ao validar CPFs de sócios?

Documente a base legal para o tratamento (obrigação legal ou legítimo interesse conforme o COAF), armazene apenas o necessário (de preferência tokens em vez do CPF cru) e mantenha logs de auditoria com acesso restrito. A ANPD orienta que dados de identificação devem ser tratados com o princípio da necessidade.

Quanto tempo leva para integrar a validação de CPF no fluxo de KYB?

A integração básica é rápida: crie uma conta em cpfhub.io, gere a API key e faça chamadas GET https://api.cpfhub.io/cnpj/{CNPJ} e GET https://api.cpfhub.io/cpf/{CPF} com o header x-api-key. O exemplo em Node.js deste artigo cobre a validação dos representantes.

Conclusão

Para fintechs B2B, o KYB começa pelo CNPJ: o QSA diz quem são os sócios, e a consulta de CPF confirma que o representante é quem diz ser. Nos clientes de maior risco, o Dossiê Pessoa Física, em acesso antecipado, completa a análise com PEP e listas de sanções. Os 50 créditos do Grátis, ao se esgotarem, pausam o serviço com HTTP 403, "Limite de créditos excedido".

Conheça a Consulta de CNPJ da CPFHub.io e crie sua conta grátis: 50 créditos mensais, sem cartão de crédito, que valem para CPF e CNPJ. Para PEP e sanções dos sócios, peça acesso antecipado ao Dossiê Pessoa Física.