O que é CPF e como funciona o dígito verificador

O CPF — Cadastro de Pessoas Físicas — é o documento de identificação fiscal mais importante do cidadão brasileiro. Emitido pela Receita Federal, ele acompanha o contribuinte por toda a vida e é indispensável em operações bancárias, compras parceladas, abertura de empresas e até no acesso a serviços públicos digitais.

Estrutura do número do CPF

O CPF é composto por 11 dígitos numéricos, normalmente escritos no formato NNN.NNN.NNN-DD, onde os primeiros nove dígitos são o número base e os dois últimos (DD) são os dígitos verificadores. Esses dois dígitos finais são calculados matematicamente a partir dos nove primeiros, o que permite que qualquer sistema identifique um CPF inválido sem precisar consultar nenhum banco de dados.

Os três primeiros dígitos indicam a região fiscal onde o CPF foi emitido originalmente. Por exemplo, CPFs que começam com 1 foram emitidos em estados do Nordeste; os que começam com 3, no Espírito Santo e Rio de Janeiro; e os que começam com 8, em São Paulo. Isso não significa que a pessoa mora naquele estado — apenas que foi lá o cadastro original.

O algoritmo Módulo 11 de validação

A validação do CPF usa o algoritmo Módulo 11, aplicado duas vezes consecutivas — uma para cada dígito verificador. O processo funciona assim:

1. Multiplique os nove primeiros dígitos pelos pesos 10, 9, 8, 7, 6, 5, 4, 3 e 2, respectivamente.
2. Some todos os produtos obtidos.
3. Calcule o resto da divisão dessa soma por 11.
4. Se o resto for menor que 2, o primeiro dígito verificador é 0. Caso contrário, é 11 menos o resto.
5. Repita o processo com os dez primeiros dígitos (incluindo o verificador já calculado) usando pesos 11 a 2 para obter o segundo dígito verificador.

Esse mecanismo garante que qualquer erro de digitação em um único dígito seja detectado. É por isso que um CPF digitado errado sempre falha na validação — a matemática denuncia.

CPFs inválidos por definição

Existem CPFs matematicamente válidos (passam no algoritmo), mas que são reconhecidos como inválidos pela Receita Federal. Os mais conhecidos são os sequenciais: 111.111.111-11, 222.222.222-22 e assim por diante até 999.999.999-99, além do 000.000.000-00. Esses números são bloqueados administrativamente e nunca são atribuídos a nenhum cidadão.

Por que desenvolvedores precisam gerar CPFs fictícios

Durante o desenvolvimento de sistemas, é essencial testar fluxos que exigem um CPF válido — cadastros de usuários, preenchimento de formulários, validações de front-end e back-end. Usar CPFs reais de pessoas nesses testes viola a LGPD (Lei Geral de Proteção de Dados) e cria riscos desnecessários de exposição de dados sensíveis.

A solução é utilizar geradores de CPF fictício, que produzem números que passam na validação do algoritmo mas não correspondem a nenhum cidadão real. É exatamente para isso que existe o nosso gerador.

CPF e a LGPD

Desde a entrada em vigor da LGPD (Lei nº 13.709/2018), o CPF é classificado como dado pessoal. Isso significa que qualquer sistema que armazene, processe ou transmita CPFs precisa seguir as diretrizes da lei: ter base legal para o tratamento, implementar medidas de segurança adequadas e garantir os direitos dos titulares. Em ambientes de teste e desenvolvimento, a melhor prática é nunca usar CPFs reais — sempre use dados fictícios gerados especificamente para esse fim.

Um pouco de história: de onde veio o CPF

O CPF foi instituído em 1965, com a criação do Cadastro de Pessoas Físicas pela Receita Federal, mas só ganhou a forma que conhecemos — número único, nacional, com dígitos verificadores — ao longo das décadas seguintes, à medida que a informatização avançava. Antes dele, a identificação tributária do cidadão era fragmentada e variava por estado. A padronização em 11 dígitos resolveu um problema prático enorme: permitir que qualquer órgão, banco ou empresa identificasse uma pessoa de forma inequívoca em todo o território nacional.

Com a digitalização dos serviços públicos via plataforma gov.br, o CPF se tornou também a principal chave de acesso do cidadão ao governo digital — da Carteira de Trabalho ao Imposto de Renda, passando pela assinatura eletrônica. Isso elevou ainda mais a importância de tratá-lo como dado sensível.

CPF, CNPJ e CAEPF: não confunda

É comum confundir os cadastros da Receita. Vale separar: o CPF identifica pessoas físicas (você); o CNPJ identifica pessoas jurídicas (empresas, associações, MEIs); e o CAEPF (Cadastro de Atividade Econômica da Pessoa Física) identifica pessoas físicas que exercem atividade econômica sem constituir empresa — como produtores rurais e alguns profissionais. Para o desenvolvedor, a diferença prática aparece nos formulários: CPF tem 11 dígitos e máscara NNN.NNN.NNN-DD; CNPJ tem 14 e máscara XX.XXX.XXX/YYYY-DD. Tratar os dois com o mesmo campo genérico é uma fonte comum de bugs de validação.

Como armazenar CPF com segurança em um sistema

Se o seu sistema precisa guardar CPFs reais de usuários, algumas práticas reduzem o risco e ajudam na conformidade com a LGPD:

• Armazene apenas os dígitos (11 caracteres), sem pontuação — normalize na entrada. Isso evita duplicidade entre '111.111.111-11' e '11111111111'.
• Considere criptografar a coluna em repouso ou usar tokenização se o CPF não for usado em buscas frequentes.
• Ao exibir em telas e logs, mascare: mostre apenas '***.456.789-**' em vez do número completo. Nunca jogue CPF em log de aplicação em texto puro.
• Defina retenção: não guarde o dado além do necessário para a finalidade declarada.

Em ambientes de teste, nada disso é necessário — porque a base não deve conter CPF real nenhum. Use números fictícios e o problema de proteção desaparece.

CPF na nota fiscal

Você provavelmente já ouviu 'CPF na nota?' no caixa. Programas estaduais como a Nota Fiscal Paulista permitem que o consumidor vincule suas compras ao CPF para receber parte do ICMS de volta ou concorrer a prêmios. Do ponto de vista técnico, isso significa que sistemas de PDV (ponto de venda) e emissores de cupom fiscal eletrônico precisam capturar e validar o CPF no momento da venda — mais um cenário em que validar o dígito verificador localmente, antes de transmitir à SEFAZ, evita rejeições de nota.

Perguntas frequentes sobre o CPF

Todo CPF com dígitos iguais é inválido?

Sim. CPFs com todos os dígitos iguais (como 111.111.111-11) são sempre considerados inválidos, mesmo que matematicamente passem por alguma variação do algoritmo. Eles são explicitamente rejeitados pela Receita Federal.

Um CPF gerado online pode ser de uma pessoa real?

Existe uma chance estatística muito pequena, mas geradores de qualidade evitam CPFs reais bloqueando combinações conhecidas e usando aleatoriedade criptográfica. Para fins de teste, o risco prático é desprezível, mas é sempre recomendável usar ferramentas confiáveis.

Posso usar CPF gerado para fraudes?

Não. O uso de CPF fictício para aplicar golpes, enganar sistemas ou realizar qualquer atividade ilícita é crime, sujeito às penas previstas no Código Penal Brasileiro. As ferramentas de geração existem exclusivamente para testes e estudos técnicos.