Metodología: cómo funcionan nuestros datos y herramientas

Numeración de tarjetas: ISO/IEC 7812

Los números de tarjetas de pago siguen el estándar ISO/IEC 7812. El primer dígito es el Major Industry Identifier, los dígitos iniciales forman el Issuer Identification Number (IIN, comúnmente llamado BIN), los siguientes identifican la cuenta individual y el último es un dígito de control.

Las redes de tarjetas se reconocen por sus prefijos y longitudes; por ejemplo, los números Visa empiezan por 4, y varias redes usan rangos concretos de las series 2 y 5. Nuestras herramientas usan estos patrones publicados para identificar la marca de un número.

BIN de 6 y de 8 dígitos

Históricamente, el IIN tenía seis dígitos. El estándar se actualizó para admitir IIN de ocho dígitos, y las principales redes han ido pasando a rangos de ocho dígitos. Por eso, un mismo prefijo de seis dígitos puede abarcar varios emisores o productos.

Cuando introduces ocho o más dígitos, buscamos primero el rango coincidente más específico y recurrimos al rango de seis dígitos cuando no existe un registro de ocho.

El algoritmo de verificación Luhn

El algoritmo Luhn (módulo 10) detecta la mayoría de los errores de un solo dígito al escribir y muchas transposiciones. Funciona así:

1. Empezando por el dígito situado más a la derecha y avanzando hacia la izquierda, duplica uno de cada dos dígitos.
2. Si al duplicar obtienes un número mayor que 9, réstale 9.
3. Suma todos los dígitos.
4. Si el total es múltiplo de 10, el número supera la verificación.

Superar la verificación Luhn solo significa que el número está bien formado. No significa que la tarjeta exista, esté activa o tenga fondos.

Cómo se compila la base de datos de BIN

Nuestra base de datos de BIN combina información de rangos disponible públicamente, referencias del sector y correcciones comunicadas por usuarios. Los registros se normalizan para que la marca, el tipo, el nivel, el banco y el país usen nombres y códigos coherentes, y los registros contradictorios se revisan antes de fusionarse.

Las redes de tarjetas no publican una lista pública completa de todos los rangos, por lo que ninguna base de datos de BIN de terceros puede ser perfecta. Somos transparentes sobre estos límites:

• Los emisores pueden reasignar, fusionar o retirar rangos en cualquier momento, y los registros pueden ir con retraso.
• Los nombres de bancos pueden reflejar un nombre antiguo tras una fusión o un cambio de marca.
• El nivel y el tipo de tarjeta son los campos con más probabilidad de faltar o estar desactualizados.
• Es posible que no figuren rangos de marca privada, de flotas y algunos de prepago.

Geolocalización de IP

Las consultas de IP usan la base de datos DB-IP Lite junto con datos de propiedad de redes (ASN). Los resultados a nivel de país suelen ser precisos, porque los bloques de IP se asignan a redes de países concretos.

La ciudad, la región y las coordenadas son aproximadas. Los operadores móviles, las redes corporativas, las VPN y las conexiones por satélite pueden situar a un usuario lejos de la ubicación indicada, por lo que los datos de ciudad nunca deben usarse como prueba de dónde está alguien.

La detección de VPN y proxies compara la red propietaria de una IP con redes conocidas de alojamiento, VPN y Tor. Produce una señal de riesgo, no una certeza.

Validación de SWIFT/BIC e IBAN

Un código SWIFT/BIC tiene 8 u 11 caracteres: un código de banco, un código de país ISO, un código de ubicación y un código de sucursal opcional. Comprobamos el formato y el código de país y cotejamos los códigos con nuestro directorio de referencia.

Los IBAN se validan con la verificación MOD-97 de ISO 13616: los cuatro primeros caracteres se mueven al final, las letras se convierten en números y el resultado debe dejar un resto de 1 al dividirlo entre 97. También comprobamos la longitud esperada para cada país.

Datos de prueba sintéticos

Los números de tarjeta e IBAN que producen nuestros generadores son sintéticos. Se construyen a partir de un prefijo o formato de país elegido con dígitos aleatorios y un dígito de control correcto, de modo que superan la validación de formato en el software que se está probando.

No están vinculados a ninguna cuenta real, y las fechas de caducidad y los códigos de seguridad son aleatorios. Los datos de prueba son solo para desarrollo, QA y formación.

Actualizaciones y correcciones

Los datos de referencia se revisan y actualizan periódicamente, y los errores comunicados se comprueban y corrigen a medida que llegan. La fecha que aparece en cada página indica cuándo se revisó su contenido por última vez.