CPF de teste: por que gerar em vez de inventar

De onde sai o um em quatro

Cada base de nove dígitos produz exatamente um par de verificadores, e as dez sequências de dígitos iguais saem da conta porque nenhuma é emitida. Sobram 999.999.990 números que passam em qualquer validador. A base que a Receita Federal mantém tem cerca de um quarto disso.

Esse quarto é ordem de grandeza, não a probabilidade do seu número. A emissão nunca espalhou uniforme pelo espaço todo: o nono dígito é a região fiscal, e dentro de cada região a numeração andou em sequência ao longo de décadas. Faixas inteiras estão cheias e outras estão vazias. O que o cálculo entrega é a escala do risco, que é alta o suficiente para tratar CPF inventado como número de outra pessoa até prova em contrário.

Por que trocar só o último dígito nunca funciona

O segundo verificador é calculado sobre a base mais o primeiro verificador. Mexer em qualquer dígito da base derruba os dois, e mexer no primeiro verificador derruba o segundo. É por isso que a tentativa clássica de pegar um número conhecido e trocar o final para “não usar o de ninguém” produz justamente o caso ruim: um número que o formulário recusa, e horas procurando defeito no formulário.

A tabela acima tem o exemplo. A base em ordem crescente com final 09 passa, e a mesma base com final 00 não passa. Um dígito de diferença, e quem inventou o final não tem como saber qual dos dois escreveu.

O que um gerador honesto pode prometer

Ele pode garantir que o número fecha a conta, que não é uma das dez sequências repetidas e que o nono dígito corresponde à região que você escolheu. Só isso.

O que nenhuma ferramenta de navegador pode dizer é se aquele número existe, de quem é ou se está regular. A Receita tem uma consulta pública de situação cadastral, e ela pede o número e a data de nascimento do titular — que é justamente o que ninguém tem sobre um número sorteado. Quem promete conferir só com o CPF está vendendo o que não tem. O gerador daqui sorteia no seu navegador, não consulta base nenhuma e avisa na própria tela que o número pode ser de uma pessoa de verdade.

O sorteio usa o gerador de números aleatórios comum do navegador, e não o criptográfico que o gerador de senha usa. A diferença é de propósito: numa senha o acaso é o produto, e senha adivinhável não é senha. Aqui o número nasce para ser digitado num formulário de teste e jogado fora, e a lista inteira dos CPFs possíveis é pública desde sempre. Copiar a cara da defesa sem o motivo dela seria teatro.

Trate dado de teste como dado de teste

Número gerado serve para preencher formulário em ambiente de teste, conferir máscara de campo, provar que a validação recusa o que deve recusar. Ele não serve para cadastro real, e a razão não é jurídica antes de ser prática: um em cada quatro é de alguém, e esse alguém não sabe que o número dele está na sua planilha.

Se o seu banco de teste precisa de milhares de CPFs, gere e marque como teste na origem. Se precisa de um só para destravar uma tela, pegue um aqui e siga. E se o que você tem é um número que chegou de fora e precisa conferir, o validador diz qual dígito está fora do lugar em vez de responder só “inválido”.