O narzędziu

Kto to zbudował

Nazywam się Jose Pollman. Buduję małe, bezpłatne narzędzia do jednego zadania i sam je utrzymuję — to, notspoofed.com do uwierzytelniania poczty, whattofixfirst.com do szybkości stron, subcovered.com do śledzenia certyfikatów ubezpieczenia oraz knowyourmouth.com.

Nie stoi za tym żadna firma ani zespół. Wszystko na tej stronie napisała i utrzymuje jedna osoba, a to warto wiedzieć w obie strony: nikt niczego Państwu nie sprzedaje, a jeśli coś tu jest błędne, to dlatego, że sam się pomyliłem. Na sprostowania wysłane na hello@vetthisvendor.com odpowiadam.

O oszustwie, wokół którego powstała ta strona, napisałem tekst — The Most Common Invoice Fraud Passes Every Check I Built — na Medium.

Po co to powstało

Typowe oszustwo fakturowe to nie wymyślona firma. To prawdziwy dostawca, którego skrzynkę pocztową przejęto: prawdziwa faktura za prawdziwą pracę, ze zmienionym jednym polem — numerem rachunku. Każda automatyczna weryfikacja wypada pomyślnie, bo wszystko poza rachunkiem jest autentyczne. To właśnie ten przypadek, dla którego powstała ta strona, i dlatego żaden wynik nigdy nie mówi „można bezpiecznie zapłacić”, a każdy powtarza to samo zalecenie: potwierdźcie rachunek telefonicznie, pod numerem, który mieliście wcześniej.

Od 9 października 2025 r. banki w strefie euro muszą prowadzić Verification of Payee: sprawdzają nazwę posiadacza rachunku wobec numeru IBAN, zanim potwierdzą Państwo przelew. To realna poprawa i odpowiedź na jedyne pytanie, na które ta strona odpowiedzieć nie może — czy rachunek faktycznie należy do tej firmy. Nie mówi natomiast nic o tym, czy firma jest w likwidacji, wykreślona z rejestru albo objęta sankcjami, ani czy domenę zarejestrowano trzy tygodnie temu. To są pytania stawiane tutaj. Co obejmuje Verification of Payee omawia to szczegółowo.

Cała reszta to kwestia tego, gdzie leżą odpowiedzi. Rejestr VAT, walidator IBAN, trzy listy sankcyjne, rejestr przedsiębiorców i wpisy DNS domeny to pięć różnych miejsc. Sprawdzenie wszystkich pięciu ręcznie zajmuje dziesięć minut, więc w praktyce ludzie sprawdzają jedno albo żadne. Tutaj wykonują się z jednego zgłoszenia.

Jak działa każda weryfikacja

Numer VAT. Format jest najpierw sprawdzany lokalnie, osobno dla każdego kraju, żeby literówkę wychwycić zanim cokolwiek zostanie zapytane w rejestrze. Następnie numer trafia na żywo do VIES, serwisu Komisji Europejskiej, dla numerów unijnych i północnoirlandzkich. Trzynaście krajów jest dodatkowo odpytywanych we własnym rejestrze krajowym i to jest najważniejsza część: VIES odpowiada wyłącznie, czy numer jest zarejestrowany, a firma w likwidacji, niewypłacalna albo wykreślona zwykle nadal ma numer VAT, który w VIES rozwiązuje się bez zarzutu. Rejestry krajowe odpowiadają też w dni, w których VIES tego nie robi. Numery GB dostają lokalnie zweryfikowaną oficjalną cyfrę kontrolną i żadnego zapytania do rejestru — patrz niżej.

IBAN. Struktura i suma kontrolna MOD-97, liczone tutaj, bez udziału osób trzecich i bez przesyłania czegokolwiek. To arytmetyka: wyłapuje przestawioną parę cyfr, której nie widzi korekta, i nie potrafi powiedzieć, do kogo należy rachunek. Bank prowadzący rachunek jest wskazany tam, gdzie kraj publikuje swoje kody bankowe.

Przegląd list sankcyjnych. Codziennie odświeżana lokalna kopia trzech list — skonsolidowanej listy UE, brytyjskiej listy OFSI i amerykańskiej listy SDN prowadzonej przez OFAC — jest przeszukiwana rozmytym dopasowaniem nazw. Próg został zmierzony, a nie oszacowany, i ustawiono go tak, aby fałszywe trafienie było rzadkie, bo na fałszywe trafienie sankcyjne ludzie reagują. Sprawdzana jest zarówno nazwa wpisana przez Państwa, jak i ta zwrócona przez rejestr, ponieważ faktura często nosi nazwę handlową, a lista — nazwę prawną.

Rejestr przedsiębiorców. Companies House dla dostawców brytyjskich i oficjalne francuskie recherche-entreprises dla francuskich. Oba są wyszukiwaniem tekstowym po nazwie, a nie zapytaniem po numerze, więc pojedyncza firma jest wskazywana tylko wtedy, gdy po normalizacji pasuje dokładnie jeden wynik — w przeciwnym razie dostają Państwo bliskie trafienia do wyboru. Dla kraju, którego żaden z tych rejestrów nie obejmuje, nic nie jest wyszukiwane i karta wprost to mówi, zamiast informować, że łotewski dostawca „nie figuruje w rejestrze brytyjskim”.

Domena nadawcy. SPF, polityka DMARC, rekordy MX i wiek rejestracji domeny, odczytane z publicznego DNS i RDAP. Wiek waży świadomie więcej niż uwierzytelnianie poczty: kto rejestruje łudząco podobną domenę, konfiguruje SPF i DMARC poprawnie, bo faktura musi dojść — podszywający się często uwierzytelnia się więc lepiej niż prawdziwy dostawca z dwudziestoletnią domeną. Wiek to pole, które ich rozróżnia.

Czego świadomie nie robi

• Nigdy nie wydaje jednego werdyktu. Nie ma pieczątki „można bezpiecznie zapłacić” ani oceny ryzyka. Każda weryfikacja dostaje własną, niezależną odpowiedź. Punktacja zachęcałaby do działania na podstawie liczby, która nie udźwignie tylu znaczeń.
• Nie rości sobie prawa do rozstrzygnięcia sankcyjnego. Podobieństwo nazwy do opublikowanej listy to sygnał, żeby przyjrzeć się porządnie, a nie ustalenie prawne.
• Nie mówi, że rachunek bankowy jest właściwy — poza Polską, jedynym krajem, który publikuje rachunki zgłoszone przez firmy do celów VAT. Wszędzie indziej nie potrafi tego żadne publiczne źródło i dlatego każdy wynik przypomina o potwierdzeniu telefonicznym.
• Niczego nie monitoruje, dopóki Państwo o to nie poproszą. Weryfikacja to weryfikacja. Supplier Watch służy do stałego monitoringu i pisze tylko wtedy, gdy coś się zmieni.
• Nie przechowuje faktury. PDF upuszczony w narzędziu do faktur jest odczytywany w Państwa przeglądarce; wysyłane są wyłącznie potwierdzone przez Państwa dane.

Dlaczego jest bezpłatne

Utrzymanie kosztuje niemal nic. Działa na serwerze, który i tak stał tam z innych powodów, czyta publiczne źródła danych i prawie nic nie zapisuje. Nie ma finansowania, które trzeba by uzasadniać, ani niczego do sprzedania — nie ma więc powodu, by chować weryfikację za formularzem rejestracji.

Nie ma reklam ani śledzenia poza samodzielnie hostowanym licznikiem odsłon bez ciasteczek. Dokładnie, co to znaczy, opisuje polityka prywatności.

Kontakt

hello@vetthisvendor.com — sprostowania, pytania, wszystko na temat narzędzia.

privacy@vetthisvendor.com — usunięcie zapisanego wyniku przed jego wygaśnięciem albo dowolne pytanie o to, co jest przechowywane. Zobacz prywatność.

Źródła

• VAT UE — serwis VIES Komisji Europejskiej, na żywo przy każdej weryfikacji.
• VAT brytyjski — bez zapytania do rejestru. HMRC przeniósł swoje API do sprawdzania VAT za procedurę zatwierdzanego wniosku, którego ta strona nie posiada, więc numery GB są walidowane lokalnie wobec oficjalnej cyfry kontrolnej. To dowodzi, że numer nie jest przekręcony ani zmyślony; nie dowodzi, że jest zarejestrowany ani na kogo — dlatego wynik linkuje do bezpłatnego oficjalnego serwisu na GOV.UK.
• Cyfry kontrolne — weryfikowane lokalnie dla 19 krajów, według opublikowanego algorytmu każdego z nich. To arytmetyka, więc działa nawet wtedy, gdy rejestr jest nieosiągalny.
• Słowenia — rejestr podatników FURS, odświeżany codziennie, który odróżnia prawdziwą firmę niezarejestrowaną do VAT od numeru, który nie należy do nikogo.
• Polska — biała lista Ministerstwa Finansów, na żywo przy każdej weryfikacji. Publikuje rachunki bankowe firm zarejestrowanych do VAT, dzięki czemu Polska jest jedynym krajem, w którym IBAN można sprawdzić wobec jego właściciela.
• Rumunia — ANAF, na żywo, wraz z informacją, czy firmę uznano za nieaktywną.
• Estonia — zbiorczy eksport Äriregister, odświeżany codziennie, wraz z likwidacją i upadłością oraz informacją, czy numer należy do grupy VAT, a nie do jednej firmy.
• Grecja — ΓΕΜΗ, na żywo, wraz z upadłością, likwidacją i wykreśleniem.
• Bułgaria — Rejestr Handlowy, na żywo, wraz z niewypłacalnością, likwidacją i wykreśleniem.
• Łotwa — zbiorczy eksport Uzņēmumu reģistrs, odświeżany codziennie, wraz z firmami zlikwidowanymi i otwartymi postępowaniami upadłościowymi.
• Belgia — publiczny rejestr KBO/BCE, na żywo, wraz z upadłością, rozwiązaniem, reorganizacją sądową i zaprzestaniem działalności.
• Litwa — rejestr przedsiębiorców JAR razem z rejestrem podatników VMI, na żywo. Numer VAT nie jest numerem firmy, więc zbiór VMI stanowi pomost; podaje też, kiedy rejestracja VAT się zakończyła.
• Portugalia — Citius, na żywo, dla postępowań upadłościowych i naprawczych, w których dostawca jest dłużnikiem. Wpisy wymieniają też wierzycieli, którzy nimi nie są.
• Czechy, Finlandia, Francja — krajowe rejestry przedsiębiorców, dla nazwy firmy, gdy VIES jej nie zwraca; Francja podaje dodatkowo firmę, która zakończyła działalność.
• Sankcje — trzy listy, odświeżane codziennie i przeszukiwane lokalnie: skonsolidowana lista UE, brytyjska lista OFSI i amerykańska lista SDN prowadzona przez OFAC. Listy brytyjska i amerykańska są czytane u wydających je organów, a nie z kopii. Statki i samoloty są wyłączone ze wszystkich trzech. Wiążąca jest wyłącznie publikacja danego organu.
• Rejestr przedsiębiorców — Companies House Public Data API dla dostawców brytyjskich i bezpłatne oficjalne recherche-entreprises dla francuskich, na żywo.
• Domena — publiczne rekordy DNS i dane rejestracyjne RDAP.

Co dostają Państwo w poszczególnych krajach to ta sama informacja w formie tabeli, generowana z samych weryfikacji zamiast pisana ręcznie, więc nie może pozostać w tyle za tym, co narzędzie faktycznie robi.