Acerca de

Quién lo hizo

Soy Jose Pollman. Construyo herramientas pequeñas, gratuitas y de un solo propósito, y las mantengo yo mismo: esta, notspoofed.com para autenticación de correo, whattofixfirst.com para velocidad de carga, subcovered.com para el seguimiento de certificados de seguro y knowyourmouth.com.

No hay ninguna empresa detrás de esto ni ningún equipo. Todo lo que hay en el sitio lo ha escrito y lo mantiene una sola persona, y eso conviene saberlo en ambos sentidos: nadie le está vendiendo nada, y cuando algo aquí está mal, está mal porque me equivoqué yo. Las correcciones a hello@vetthisvendor.com se responden.

Escribí sobre el fraude alrededor del cual se construyó este sitio — The Most Common Invoice Fraud Passes Every Check I Built — en Medium.

Por qué existe

El fraude de facturas habitual no es una empresa inventada. Es un proveedor real cuyo buzón de correo ha sido comprometido: una factura real por un trabajo real, con un campo cambiado, la cuenta bancaria. Todas las comprobaciones automáticas pasan, porque todo excepto la cuenta es auténtico. Ese es el caso para el que se construyó este sitio, y por eso ningún resultado dice nunca «seguro para pagar» y por eso cada resultado repite la misma instrucción: confirme la cuenta por teléfono, con un número que ya tuviera.

Desde el 9 de octubre de 2025, los bancos de la zona euro deben realizar la Verification of Payee: comprueban el nombre del titular de la cuenta frente al IBAN antes de que usted confirme una transferencia. Es una mejora real y responde a la única pregunta que este sitio no puede responder: si la cuenta pertenece realmente a esa empresa. No dice nada, en cambio, sobre si la empresa está en liquidación, cancelada o sancionada, ni sobre si el dominio se registró hace tres semanas. Esas son las preguntas de aquí. Qué cubre la Verification of Payee lo explica en detalle.

Todo lo demás era cuestión de dónde están las respuestas. El registro de IVA, un validador de IBAN, tres listas de sanciones, el registro mercantil y los registros DNS del dominio son cinco sitios distintos. Comprobarlos los cinco a mano lleva diez minutos, así que en la práctica la gente comprueba uno, o ninguno. Esto los ejecuta desde un solo envío.

Cómo funciona cada comprobación

Número de IVA. El formato se valida primero en local, país por país, de modo que un número mal tecleado se detecta antes de pedirle nada a un registro. Después el número va en directo a VIES, el servicio de la Comisión Europea, para los números de la UE e Irlanda del Norte. Trece países se leen además contra su propio registro nacional, y esa es la parte importante: VIES solo responde si un número está registrado, y una empresa en liquidación, insolvente o cancelada suele conservar un número de IVA que se resuelve en VIES perfectamente. Los registros nacionales también responden los días en que VIES no lo hace. Los números GB obtienen la verificación local del dígito de control oficial y ninguna consulta al registro; véase más abajo.

IBAN. Estructura y suma de control MOD-97, calculadas aquí, sin terceros y sin transmitir nada. Esto es aritmética: detecta el par de dígitos transpuestos que se le escapa a la revisión visual, y no puede decirle de quién es la cuenta. El banco donde está la cuenta se nombra cuando el país publica sus códigos bancarios.

Cribado de sanciones. Una copia local diaria de tres listas —la lista consolidada de la UE, la lista británica de OFSI y la lista SDN estadounidense de OFAC— se criba por similitud aproximada de nombres. El umbral se midió en lugar de estimarse, y está fijado para que un falso positivo sea raro, porque ante una falsa coincidencia de sanciones se actúa. Se criban tanto el nombre que usted escribe como el que devuelve el registro, ya que una factura suele llevar un nombre comercial y la lista lleva el nombre legal.

Registro mercantil. Companies House para proveedores británicos y el oficial francés recherche-entreprises para los franceses. Ambos son búsquedas de texto sobre un nombre, no consultas por número, así que solo se nombra una empresa concreta cuando exactamente un resultado coincide tras normalizar; en caso contrario se le muestran las coincidencias cercanas para que elija. Para un país que ninguno de los dos registros cubre no se busca nada, y la tarjeta lo dice, en lugar de informar de que su proveedor letón «no está en el registro británico».

Dominio remitente. SPF, política DMARC, registros MX y la antigüedad de registro del dominio, leídos del DNS público y de RDAP. La antigüedad pesa deliberadamente más que la autenticación del correo: quien registra un dominio parecido configura SPF y DMARC correctamente, porque necesita que la factura llegue, así que el impostor a menudo se autentica mejor que el proveedor real de veinte años. La antigüedad es el campo que los separa.

Lo que deliberadamente no hace

• Nunca emite un veredicto único. No hay sello de «seguro para pagar» ni puntuación de riesgo. Cada comprobación recibe su propia respuesta independiente. Una puntuación invitaría a actuar sobre un número que no puede cargar con tanto significado.
• No pretende ser una determinación de sanciones. La similitud de nombres frente a una lista publicada es un aviso para mirar en serio, no una conclusión jurídica.
• No le dice que la cuenta bancaria sea la correcta, salvo en Polonia, el único país que publica las cuentas que las empresas registran a efectos de IVA. En el resto ninguna fuente pública puede hacerlo, y por eso cada resultado pide confirmar por teléfono.
• No vigila nada salvo que usted lo pida. Una comprobación es una comprobación. Supplier Watch existe para el seguimiento continuo y solo escribe cuando algo cambia.
• No guarda la factura. Un PDF que suelte en el comprobador de facturas se lee en su navegador; solo se envían los datos que usted confirma.

Por qué es gratuito

Mantenerlo no cuesta casi nada. Funciona en un servidor que ya estaba ahí para otras cosas, lee fuentes de datos públicas y no guarda casi nada. No hay financiación que justificar ni nada que vender, así que no hay motivo para poner una comprobación detrás de un formulario de registro.

No hay anuncios ni rastreadores más allá de un contador de páginas autoalojado y sin cookies. Véase privacidad para saber exactamente qué significa eso.

Contacto

hello@vetthisvendor.com — correcciones, preguntas, cualquier cosa sobre la herramienta.

privacy@vetthisvendor.com — borrar un resultado guardado antes de que expire, o cualquier pregunta sobre lo que se almacena. Véase privacidad.

Fuentes

• IVA de la UE — el servicio VIES de la Comisión, en directo en cada comprobación.
• IVA del Reino Unido — sin consulta al registro. HMRC ha puesto su API de verificación del IVA detrás de un proceso de solicitud aprobada que este sitio no tiene, así que los números GB se validan en local contra el dígito de control oficial. Eso demuestra que un número no está mal tecleado ni inventado; no puede demostrar que esté registrado, ni a nombre de quién, y para eso el resultado enlaza al comprobador oficial gratuito de GOV.UK.
• Dígitos de control — verificados en local para 19 países, con el algoritmo publicado de cada uno. Es aritmética, así que funciona incluso cuando un registro no responde.
• Eslovenia — el registro de contribuyentes FURS, actualizado a diario, que distingue una empresa real no registrada a efectos de IVA de un número que no pertenece a nadie.
• Polonia — la lista blanca del Ministerio de Hacienda, en directo en cada comprobación. Publica las cuentas bancarias de las empresas registradas a efectos de IVA, lo que hace de Polonia el único país donde un IBAN puede comprobarse contra su titular.
• Rumanía — ANAF, en directo, incluido si la empresa ha sido declarada inactiva.
• Estonia — la exportación masiva del Äriregister, actualizada a diario, incluidas liquidación y quiebra, y si un número pertenece a un grupo de IVA en lugar de a una sola empresa.
• Grecia — ΓΕΜΗ, en directo, incluidos quiebra, liquidación y cancelación.
• Bulgaria — el Registro Mercantil, en directo, incluidas insolvencia, liquidación y cancelación.
• Letonia — la exportación masiva del Uzņēmumu reģistrs, actualizada a diario, incluidas empresas extinguidas y procedimientos de insolvencia abiertos.
• Bélgica — el registro público KBO/BCE, en directo, incluidas quiebra, disolución, reorganización judicial y entidad cesada.
• Lituania — el registro mercantil JAR junto con el registro de contribuyentes VMI, en directo. El número de IVA no es el código de empresa, así que el conjunto de datos de VMI hace de puente; también informa de cuándo ha terminado un registro de IVA.
• Portugal — Citius, en directo, para procedimientos de insolvencia y recuperación de empresas en los que el proveedor es el deudor. Los registros también nombran a acreedores, que no lo son.
• Chequia, Finlandia, Francia — los registros mercantiles nacionales, para el nombre de la empresa cuando VIES no devuelve ninguno; Francia informa además de una empresa cesada.
• Sanciones — tres listas, actualizadas a diario y cribadas en local: la lista consolidada de la UE, la lista británica de OFSI y la lista SDN estadounidense de OFAC. Las listas británica y estadounidense se leen de las autoridades emisoras, no de un espejo. Los buques y las aeronaves quedan excluidos de las tres. Solo la publicación de cada autoridad es la fuente autorizada.
• Registro mercantil — la Companies House Public Data API para proveedores británicos y el oficial gratuito recherche-entreprises para los franceses, en directo.
• Dominio — registros DNS públicos y datos de registro RDAP.

Qué obtiene país por país es la misma información en forma de tabla, y se genera a partir de las propias comprobaciones en lugar de escribirse a mano, así que no puede quedarse atrás respecto a lo que la herramienta hace en realidad.