Verificar autenticidade de relatório: QR code e hash

Por que conferir um relatório que você recebeu?

Conferir um relatório recebido serve para saber se o PDF saiu mesmo do Puxa Dados e se ninguém trocou o resultado no caminho. Um PDF passa de mão em mão por e-mail e por mensagem, e qualquer editor de PDF muda um número em poucos segundos. A verificação leva menos de um minuto.

Quem mais precisa disso é quem recebe o relatório de outra pessoa: o comitê de crédito que lê a análise do analista, o auditor que revisa a homologação de um fornecedor, o locador que recebe o documento da imobiliária. Quem emitiu o relatório na própria conta já tem a versão original em "Relatórios" e não precisa conferir nada.

Como verificar o relatório pelo QR code?

O QR code do PDF leva direto à página de verificação do Puxa Dados, sem pedir login. Cada relatório completo baixado em PDF traz o QR e, ao lado, o mesmo endereço por extenso, no formato /verificar/número/hash. Você só precisa de um celular com câmera ou de um navegador.

Passo 1: abra o endereço do QR code

Aponte a câmera do celular para o QR code e toque no link que aparecer. Se estiver no computador, copie o endereço impresso no PDF e cole no navegador. Confira se o domínio é puxadados.com antes de seguir: um QR adulterado pode levar a outro site com uma página parecida.

Passo 2: leia o selo da página

A página se chama "Verificação de relatório" e mostra um de dois resultados. Com o selo "Relatório autêntico", o número e o hash existem juntos no nosso registro de emissões. Com o selo "Não encontrado", nenhum relatório do Puxa Dados tem aquele número com aquele hash.

Passo 3: compare os campos com o PDF

Quando o relatório confere, a página mostra quatro campos. Coloque o PDF ao lado e compare um por um.

Se os quatro campos baterem, o PDF corresponde a um relatório que emitimos. Se um deles for diferente, trate o arquivo como alterado e peça o original a quem enviou.

O que é o hash SHA-256 do relatório?

O hash SHA-256 é uma impressão digital do conteúdo do relatório: uma sequência de 64 letras e números calculada a partir dos dados no momento da emissão. Mudar uma única vírgula do conteúdo produz um hash completamente diferente, e não existe forma prática de montar outro conteúdo com o mesmo hash.

No PDF, o hash aparece no bloco de registro, junto com a data de emissão, o usuário que emitiu e a finalidade. A página de verificação usa o hash como uma senha que só o relatório verdadeiro tem: quem tenta inventar um número de relatório sem conhecer o hash correspondente recebe "Não encontrado".

O que a verificação prova e o que ela não prova?

A verificação prova que o par número e hash foi registrado por nós numa emissão real, e mostra o titular, a data e o resultado daquele relatório. Ela não lê o arquivo que você recebeu. Por isso a comparação dos campos com o PDF, feita por você, completa a conferência.

Na prática, isso quer dizer que alguém poderia pegar o QR de um relatório verdadeiro e colar num PDF editado. A página diria "Relatório autêntico", porque o QR é verdadeiro. O que denuncia a fraude é a comparação: o resultado editado no PDF não bate com o "Resultado" da página.

A verificação também não diz nada sobre o momento atual da empresa. Ela confirma o que as fontes mostravam no dia da emissão. Se o relatório tem três meses, a situação cadastral, as sanções e a dívida podem ter mudado desde então. Para uma decisão nova, emita um relatório novo.

O que fica registrado quando um relatório é emitido?

Cada relatório guarda um registro de emissão que não muda: data e hora, o usuário que emitiu, a finalidade gravada e o hash SHA-256 do conteúdo. No relatório na tela e no PDF, esse bloco aparece como "Emitido em", "por", "finalidade" e "sha-256".

A finalidade é gravada pela plataforma a partir do tipo de consulta. Para CNPJ, o registro diz "Verificar a empresa antes de comprar ou contratar". Para CPF, diz "Cadastro de cliente (KYC) e prevenção à lavagem de dinheiro". Antes de consultar, quem emite marca uma declaração de relação legítima com a empresa ou a pessoa, e essa declaração também fica atrelada à conta.

O registro serve para auditoria interna e para mostrar, mais tarde, que a verificação foi feita antes da decisão. O PDF tem ainda uma seção "Cobertura e limitações", que diz o que o relatório não cobre: protestos em cartório, cadastros de crédito, cadastros estaduais e municipais, bens e processos sob segredo de justiça.

Por que o relatório não muda depois de emitido?

O relatório não muda para que o hash continue valendo e para que o documento reflita exatamente o que as fontes diziam naquele dia. Se o conteúdo pudesse ser editado, a impressão digital perderia o sentido e ninguém saberia qual versão embasou a decisão.

Quando algo precisa ser corrigido, a correção entra como adendo, com data. O caso mais comum é um sócio confundido com um homônimo numa lista restritiva. No relatório de CNPJ completo, o link "Corrigir sócio confundido com homônimo" abre um formulário com o sócio e o motivo, e o botão "Registrar adendo" grava a correção. O adendo aparece na seção "Adendos" e não altera o score nem o hash.

Para entender o que cada seção do relatório mostra antes de conferir um PDF, veja como ler o relatório completo. Se a dúvida é sobre o número do score, o guia de como ler o score de risco explica as faixas e os pontos.

Quando a verificação dá "Não encontrado"?

A página mostra "Não encontrado" quando nenhum relatório do Puxa Dados tem aquele número com aquele hash. Isso acontece se o endereço foi digitado com erro, se o QR foi trocado ou se o PDF não foi emitido pela plataforma.

Antes de concluir que houve fraude, confira três coisas:

• se o endereço copiado do PDF está completo, sem caracteres a menos no fim do hash;
• se o domínio aberto é puxadados.com;
• se o documento é um PDF baixado pelo botão "Baixar PDF" de um relatório completo, e não uma captura de tela da versão grátis, que não tem QR.

Se tudo estiver certo e o resultado continuar "Não encontrado", peça a quem enviou que baixe o PDF de novo na conta dele, em "Relatórios". Um relatório verdadeiro sempre pode ser baixado outra vez, com o mesmo número e o mesmo hash.

Como usar a verificação na rotina da empresa?

A verificação funciona melhor como etapa fixa de quem recebe relatórios de terceiros. Em crédito, homologação de fornecedor ou locação, defina que todo PDF anexado ao processo passa pela conferência do QR e dos quatro campos antes de ir para a decisão.

Algumas práticas que ajudam:

1. Guarde o PDF original no processo, sem converter nem imprimir e escanear, para manter o QR legível.
2. Anote no processo a data em que a verificação foi feita.
3. Se o relatório tiver mais de 30 dias, peça um novo antes de decidir, porque as bases mudam.
4. Para empresas que continuam na sua carteira, use o monitor de CNPJs em vez de pedir relatórios novos toda hora.

Quem faz homologação de fornecedores costuma juntar o PDF verificado ao dossiê de cada fornecedor. Se você ainda não emite seus próprios relatórios, dá para começar criando a conta e consultando um CNPJ.