# Como proteger informações sensíveis de CPF ao consumir APIs > Aprenda práticas de segurança para proteger informações de CPF ao consumir APIs. HTTPS, variáveis de ambiente, mascaramento e mais. **Publicado:** 10/06/2025 **Autor:** Redação CPFHub.io **URL:** https://cpfhub.io/blog/como-proteger-informacoes-sensiveis-de-cpf-ao-consumir-apis --- Proteger dados de CPF ao consumir APIs exige sete medidas concretas: HTTPS obrigatório, chaves de API em variáveis de ambiente, mascaramento em logs, data minimization, consultas apenas pelo backend, controle de acesso granular e criptografia em repouso. A [ANPD](https://www.gov.br/anpd) orienta que o princípio da necessidade deve guiar cada decisão — armazene e transmita apenas o que for estritamente necessário para a finalidade declarada. ## Introdução Quando sua aplicação consulta CPFs via API, dados pessoais trafegam entre sistemas. Proteger essas informações não é apenas uma boa prática — é uma exigência da LGPD e uma responsabilidade direta da sua empresa. Um vazamento de dados de CPF pode resultar em multas, processos judiciais e danos irreparáveis à reputação. --- ## Por que proteger dados de CPF é crítico * **CPF é dado pessoal** — Protegido pela LGPD, exige tratamento seguro. * **Risco de fraude** — CPFs expostos podem ser usados para abertura de contas falsas, contratação de serviços e fraudes financeiras. * **Responsabilidade legal** — A empresa que coleta e trata CPFs é responsável por sua proteção. * **Confiança do cliente** — Vazamentos destroem a relação de confiança com o usuário. --- ## Práticas de segurança essenciais ### 1. Sempre use HTTPS Toda comunicação com a API deve ser feita via HTTPS. Isso garante que os dados em trânsito estejam criptografados e protegidos contra interceptação (man-in-the-middle). ```bash # Correto: HTTPS curl -X GET https://api.cpfhub.io/cpf/12345678900 \ -H "x-api-key: SUA_CHAVE_DE_API" \ -H "Accept: application/json" # NUNCA use HTTP para dados sensíveis ``` A [CPFHub.io](https://www.cpfhub.io/) exige HTTPS em todos os endpoints e rejeita conexões não criptografadas, garantindo que dados de CPF nunca trafeguem em texto claro. ### 2. Proteja suas chaves de API Nunca exponha chaves de API no código-fonte, repositórios Git ou logs. ```python import os import requests # Correto: chave em variável de ambiente api_key = os.environ['CPFHUB_API_KEY'] headers = { 'x-api-key': api_key, 'Accept': 'application/json' } response = requests.get( f'https://api.cpfhub.io/cpf/12345678900', headers=headers, timeout=10 ) ``` **Boas práticas para chaves:** * Use variáveis de ambiente (`.env` com `.gitignore`). * Em produção, use gerenciadores de segredos (AWS Secrets Manager, HashiCorp Vault). * Rotacione chaves periodicamente. * Use chaves diferentes para desenvolvimento e produção. ### 3. Mascare CPFs em logs Nunca registre CPFs completos em logs de aplicação ou de acesso. ```python def mascarar_cpf(cpf: str) -> str: """Mascara CPF para exibição em logs: 123.***.**-00""" cpf_limpo = cpf.replace('.', '').replace('-', '') return f'{cpf_limpo[:3]}.***.**-{cpf_limpo[-2:]}' # Log seguro print(f'Consulta realizada: {mascarar_cpf("12345678900")}') # Output: Consulta realizada: 123.***.**-00 ``` ### 4. Não armazene dados além do necessário Aplique o princípio de **data minimization** da LGPD: * Armazene apenas os dados que você realmente precisa. * Defina prazos de retenção e elimine dados após o prazo. * Use hashes de CPF para referência interna quando o número completo não é necessário. ```python import hashlib def hash_cpf(cpf: str) -> str: """Gera hash SHA-256 do CPF para referência sem exposição""" return hashlib.sha256(cpf.encode()).hexdigest() ``` ### 5. Valide no servidor, nunca no cliente Nunca envie chaves de API ou faça consultas diretamente do frontend (JavaScript do navegador). Sempre use um backend como intermediário. ```javascript // ERRADO: chamada direta do frontend expõe a API key // fetch('https://api.cpfhub.io/cpf/123', { headers: { 'x-api-key': 'CHAVE' } }) // CORRETO: chamar seu próprio backend const response = await fetch('/api/validar-cpf', { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify({ cpf: '12345678900' }) }); ``` ### 6. Controle de acesso * Restrinja quem pode acessar endpoints que consultam CPFs. * Implemente autenticação e autorização em todas as rotas. * Registre quem fez cada consulta (auditoria). ### 7. Criptografe dados em repouso Se precisar armazenar CPFs no banco de dados, use criptografia: * Criptografia a nível de coluna (AES-256). * Criptografia a nível de banco (TDE — Transparent Data Encryption). * Chaves de criptografia gerenciadas por KMS (Key Management Service). --- ## Checklist de segurança * Comunicação exclusivamente via HTTPS. * Chaves de API em variáveis de ambiente ou gerenciador de segredos. * CPFs mascarados em todos os logs. * Data minimization implementado com política de retenção. * Consultas feitas pelo backend, nunca pelo frontend. * Controle de acesso e autenticação em rotas de consulta. * Dados criptografados em repouso (se armazenados). * Registros de auditoria para cada consulta. --- ## O que o provedor da API deve garantir Ao escolher uma API de CPF, verifique se o provedor implementa: * HTTPS obrigatório. * Autenticação por API key. * Conformidade com LGPD. * Política de privacidade transparente. * Infraestrutura com certificações de segurança. A [CPFHub.io](https://www.cpfhub.io/) implementa todos esses requisitos e opera com infraestrutura segura, facilitando a demonstração de conformidade para auditores e para a ANPD. Quando o limite do plano é atingido, a API não bloqueia — cobra R$0,15 por consulta adicional, mantendo o serviço disponível sem interrupções. --- ## Perguntas frequentes ### Por que nunca fazer chamadas à API de CPF diretamente do frontend? Chamadas do frontend expõem a API key no código JavaScript, que qualquer usuário pode inspecionar via DevTools. Com a chave em mãos, qualquer pessoa pode consultar CPFs em nome da sua conta, consumindo sua cota e potencialmente acessando dados pessoais de forma não autorizada. O backend funciona como intermediário seguro: recebe a solicitação do frontend, valida as permissões do usuário e só então realiza a consulta à API. ### Como implementar rotação automática de chaves de API sem downtime? Gere a nova chave antes de revogar a antiga. Configure a aplicação para tentar a nova chave primeiro e, em caso de falha de autenticação (HTTP 401), usar a chave de backup. Após confirmar que a nova chave está ativa em todos os ambientes, revogue a anterior. Esse processo pode ser automatizado com ferramentas como AWS Secrets Manager com rotação automática. ### Qual é a diferença entre hash e criptografia para armazenar CPFs? Hash (SHA-256) é irreversível — útil para verificar se dois CPFs são iguais sem expor o número original, ideal para chaves de busca. Criptografia (AES-256) é reversível com a chave correta — necessária quando você precisa recuperar o CPF original para exibir ou processar. Use hash quando puder; use criptografia quando precisar do dado original. ### Como garantir que CPFs não apareçam em logs de erro? Implemente um filtro de log global que detecte padrões de CPF (11 dígitos consecutivos ou no formato `\d{3}\.\d{3}\.\d{3}-\d{2}`) e os substitua por uma versão mascarada antes de qualquer gravação. Aplique esse filtro tanto nos handlers de logging quanto no middleware de tratamento de exceções, para cobrir logs de aplicação e logs de acesso HTTP. ### Leia também - [APIs de consulta de CPF: segurança para evitar vazamento](https://cpfhub.io/blog/apis-consulta-cpf-seguranca-evitar-vazamento) - [Privacidade por padrão: como configurar sistemas para proteger CPF automaticamente](https://cpfhub.io/blog/privacidade-por-padrao-proteger-cpf-automaticamente) - [LGPD: CPF é dado pessoal sensível ou não? Entenda a classificação correta](https://cpfhub.io/blog/lgpd-cpf-e-dado-pessoal-sensivel-ou-nao-entenda-a-classificacao-correta) - [Como responder a incidentes de vazamento de dados de CPF](https://cpfhub.io/blog/como-responder-a-incidentes-de-vazamento-de-dados-de-cpf) --- ## Conclusão Proteger dados de CPF ao consumir APIs é uma combinação de boas práticas técnicas e conformidade legal. HTTPS, variáveis de ambiente, mascaramento em logs e data minimization são medidas que reduzem drasticamente o risco de exposição acidental. Escolher um provedor seguro e em conformidade com a LGPD — como a [CPFHub.io](https://www.cpfhub.io/) — simplifica a demonstração de conformidade e transfere parte da responsabilidade de infraestrutura para quem tem expertise nisso. Cadastre-se em [cpfhub.io](https://www.cpfhub.io/) — 50 consultas mensais gratuitas, sem cartão de crédito.