Consultar o CPF de outra pessoa é tratamento de dado pessoal. O que a API devolve, qual base legal sustenta o uso, e por que a resposta é curta de propósito.
Quem monta um cadastro chega nesta necessidade cedo: o usuário digitou um CPF e um nome, e você quer saber se os dois combinam antes de aprovar.
A parte técnica disso é uma chamada HTTP. A parte que decide se você pode fazê-la é outra, e é a que quase nenhum material sobre o assunto aborda.
Consultar o CPF de outra pessoa é tratamento de dado pessoal. A LGPD não proíbe — ela exige que exista uma base legal e uma finalidade específica.
Na prática, os usos que se sustentam têm uma coisa em comum: a consulta acontece porque existe (ou está nascendo) uma relação entre você e aquela pessoa.
| uso | se sustenta? |
|---|---|
| Conferir se quem preencheu o cadastro é quem diz ser | sim — execução de contrato / interesse legítimo |
| Prevenir fraude no seu próprio cadastro | sim — interesse legítimo, com registro |
| Cumprir obrigação regulatória (KYC, PLD) | sim — obrigação legal |
| Enriquecer uma lista de contatos comprada | não |
| Descobrir dados de alguém que não é seu cliente | não |
| Montar base para revender | não |
A régua é simples e cabe numa pergunta: essa pessoa sabe que tem uma relação com você? Se a resposta for não, a consulta provavelmente não tem base legal — e o fato de existir uma API que responde não muda isso.
Vale dizer o óbvio porque ele é ignorado com frequência: a responsabilidade pela finalidade é de quem consulta. Nenhum fornecedor de API — nós inclusive — tem como saber por que você está perguntando, e nenhum contrato transfere essa parte.
Três campos, e só:
É deliberadamente curto. A fonte por trás devolve consideravelmente mais do que isso; a resposta é recortada antes de sair do servidor, porque o que não é entregue não precisa ser protegido depois — nem por você, nem por nós.
Até setembro de 2026 ele vinha junto. Saiu porque a maior parte de quem confere cadastro não usa — e um dado que não é usado não deveria circular.
Quem precisa dele contrata a consulta de CPF com nome da mãe. E aí vale o cuidado: ele é o dado clássico de confirmação de identidade, a pergunta de segurança de muitos bancos e operadoras. Não o exiba na tela de um atendente nem o grave num log. Um dado que serve para confirmar identidade perde a serventia no instante em que circula — e vira passivo. Compare no servidor, guarde o resultado da comparação, descarte o valor.
Aqui é onde mais gente se frustra, então vale a lista explícita:
São os lugares em que a API não segue a convenção óbvia — exatamente onde um assistente de código completa errado com confiança:
400, não 422, com corpo
{errors: {message, fields: []}}.data: null. É {error: true, message}.401, não 403 — e o corpo é
{"error": "Unauthorized"}, mais curto que o dos outros endpoints.E um detalhe de comportamento: CPF que existe mas não retorna dados é diferente de CPF inválido. Os dois chegam como 400, com mensagens distintas — trate a mensagem, não só o código.
1. Consulte na hora de decidir, não na hora de cadastrar. Se o cadastro tem cinco passos e o usuário abandona no segundo, você pagou por uma consulta que não serviu para nada — e tratou dado de alguém que nem virou cliente.
2. Guarde o veredito, não a resposta. "Nome conferiu: sim, em 18/09/2026" é o que você precisa para auditoria. A cópia dos dados da resposta no seu banco é passivo sem contrapartida — e, se você usa a versão com nome da mãe, é o pior campo para vazar.
3. Registre por que consultou. No dia em que alguém perguntar — titular, ANPD ou auditoria —, a resposta útil não é "temos uma API": é "consultamos este CPF em tal data porque ele estava se cadastrando em tal produto".
Essas duas coisas se complementam e resolvem problemas diferentes: a consulta diz que o CPF corresponde àquele nome; o OTP diz que quem está do outro lado tem o telefone. Nenhuma das duas, sozinha, prova identidade.
Uma API de CPF é a ferramenta certa para conferir se o cadastro bate — e a ferramenta errada para descobrir coisas sobre pessoas com quem você não tem relação.
A implementação é uma tarde. O que merece tempo é o que vem antes: a finalidade registrada, o campo sensível que não vai para a tela, e o hábito de guardar o veredito em vez da resposta.
A nossa está em API de Consulta de CPF, com o contrato completo — e é curta de propósito.