Sandbox antes de produção, como testar KYC sem dado real

Toda integração de verificação de identidade passa por uma fase perigosa: o período entre o primeiro código escrito e o primeiro cliente real. A tentação nessa fase é testar com o que está à mão, o CPF do desenvolvedor, a selfie do estagiário, um documento de verdade fotografado na mesa. É exatamente o que não se deve fazer, por razões jurídicas e técnicas, e é para isso que existe o ambiente de sandbox. Este artigo trata do que um sandbox de KYC precisa oferecer e de como usá-lo para chegar em produção sem sustos.

Por que dado real não entra em teste

A razão jurídica primeiro. A Lei 13.709/2018, a LGPD, não tem um regime especial para ambiente de teste: dado pessoal tratado em homologação é dado pessoal tratado, com as mesmas exigências de base legal, necessidade e segurança dos artigos 6º e 7º, agravadas quando o dado é biométrico, que o artigo 5º classifica como sensível. Ambientes de teste são historicamente menos protegidos, com logs verbosos, acesso largo da equipe e cópias descontroladas, o que é a combinação errada para o dado mais sensível que a empresa toca. Usar a base de clientes de produção para popular homologação multiplica o problema.

A razão técnica: teste com dado real não é reprodutível. A consulta cadastral de um CPF verdadeiro muda quando a situação da pessoa muda; a análise biométrica de uma selfie real varia com a foto. Teste automatizado precisa de resposta previsível, e dado vivo não oferece isso.

Determinismo, a propriedade que define um sandbox útil

A prática consolidada da indústria de APIs financeiras resolve esse problema com entradas mágicas de resultado fixo: a documentação pública da Stripe, referência do padrão, define números de cartão de teste que sempre aprovam, sempre recusam ou sempre exigem autenticação, permitindo exercitar cada caminho do código de propósito. Um sandbox de verificação de identidade precisa do equivalente: entradas documentadas que produzem, de forma determinística, cada resultado possível do fluxo, aprovação, recusa por cada motivo, pedido de reenvio de captura, resultado pendente.

Com determinismo, os testes da integração deixam de ser encenação e viram especificação executável: o teste que afirma que conta recusada não recebe crédito roda em cada build, com a entrada que garante recusa. Sem determinismo, o time testa só o caminho feliz, e os caminhos tristes estreiam em produção, diante de cliente de verdade.

No desenho da UNIFOKAL, para dar um exemplo concreto do padrão, o sandbox roda o fluxo inteiro, widget, upload, análise e webhook, com resultados determinísticos publicados na documentação e sem consumir saldo, porque a fase de integração não é a fase de pagar.

O que exercitar antes de virar a chave

Um roteiro mínimo de homologação sobre um sandbox decente cobre quatro grupos:

1. Todos os finais do fluxo. Cada resultado possível da verificação tem um comportamento esperado no seu sistema: o aprovado ganha acesso, o recusado recebe a comunicação certa, o caso de reenvio volta para captura sem perder o progresso. Cada um vira teste com a entrada determinística correspondente.
2. O webhook sob falha. Entrega duplicada não pode creditar duas vezes; endpoint fora do ar durante a entrega precisa se recuperar pela retentativa; assinatura inválida tem de ser rejeitada. Tratamos o desenho disso em artigo próprio sobre webhooks, e o sandbox é o lugar de provar cada caso.
3. Os limites do contrato. Chave errada, ambiente trocado, payload malformado, arquivo grande demais: os erros da API têm formato documentado, e o seu tratamento deles também merece teste.
4. A separação dos ambientes. Chave de sandbox não funciona em produção nem vice-versa, e a configuração do seu sistema torna impossível apontar o ambiente errado sem perceber. O incidente clássico de integração é homologação apontando para produção; a defesa é fazer a troca de ambiente ser explícita, visível e testada.

Dado sintético que parece real

Resta o problema dos dados de preenchimento: os testes precisam de CPFs, nomes e documentos que não pertençam a ninguém. Para identificadores com dígito verificador, como CPF e CNPJ, geradores de números matematicamente válidos, que passam na validação de formato sem corresponder a registros reais na fonte oficial, são prática padrão para teste de formato; o algoritmo do dígito verificador do CPF é público e documentado pela Receita Federal. Para imagem, o sandbox determinístico elimina a necessidade de rosto verdadeiro: se a análise responde pelo roteiro, qualquer imagem de teste serve para exercitar o transporte.

Vale registrar que o próprio sistema financeiro institucionalizou a ideia de ambiente controlado para experimentação: o Banco Central do Brasil mantém um sandbox regulatório, ambiente em que modelos de negócio inovadores operam sob condições e supervisão especiais. A analogia é direta: inovação com segurança se testa em perímetro delimitado, com regras claras, antes de encostar no mundo real.

Sandbox como critério de escolha de fornecedor

Por fim, o sandbox diz muito sobre quem o oferece. Fornecedor que dá acesso de teste imediato, gratuito e documentado está afirmando que o produto se defende sozinho; fornecedor que exige reunião comercial para deixar você testar está afirmando o contrário. Na avaliação de um fornecedor de KYC, tema que tratamos em roteiro próprio nesta mesma categoria, a qualidade do sandbox é um critério objetivo: existência, determinismo, paridade com produção e documentação pública. A homologação que você consegue fazer sozinho, num fim de tarde, sem falar com ninguém, é o melhor preditor da integração que virá.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 5º, 6º e 7º, sobre o alcance da lei em qualquer ambiente de tratamento, disponível no portal do Planalto: planalto.gov.br
• Documentação pública de cartões de teste da Stripe, referência da indústria para sandbox determinístico
• Receita Federal do Brasil, documentação pública do algoritmo do dígito verificador do CPF
• Banco Central do Brasil, sandbox regulatório, ambiente controlado para modelos de negócio inovadores