¿Funcionan los generadores de tarjetas de crédito?

Si buscas «generador de tarjetas de crédito» encontrarás decenas de herramientas que crean números convincentes en un clic, con fecha de vencimiento, CVV y a veces hasta el nombre del titular. Es lógico preguntarse si esos números «funcionan». La respuesta honesta depende de qué entiendas por funcionar: funcionan perfectamente como datos de prueba y nunca funcionan como dinero.

Qué es realmente un generador de tarjetas

Un generador de tarjetas de crédito es un pequeño programa que construye números siguiendo la estructura pública de los números de tarjeta de pago. Esa estructura la define la norma internacional ISO/IEC 7812 y los rangos que publica cada red de tarjetas. No tiene nada de secreto: cualquier desarrollador que programe un formulario de pago necesita conocerla.

Un número de tarjeta (el PAN) tiene tres partes:

Un generador rellena esa plantilla: elige un prefijo válido para la marca que selecciones, completa el centro con dígitos aleatorios y calcula el último dígito para que el número entero supere el algoritmo de Luhn. Normalmente añade una fecha de vencimiento futura y un código de seguridad aleatorio de tres o cuatro dígitos para que el resultado encaje en todos los campos de un formulario de pago.

Cómo se construyen los números, paso a paso

Este es el proceso completo para un número de 16 dígitos con formato Visa:

1. Prefijo. Los números Visa empiezan por 4. Un generador también puede usar un prefijo más largo que tú indiques, como un BIN de seis dígitos.
2. Cuerpo. Dígitos aleatorios ocupan las posiciones 2 a 15.
3. Dígito de control. La suma de Luhn de los 15 primeros dígitos determina el 16.º. Empezando por el último de esos dígitos, se duplica uno de cada dos (restando 9 si el resultado pasa de 9), se suma todo y el dígito de control es el que lleva el total al siguiente múltiplo de 10.
4. Extras. Un mes aleatorio y un año unos cuantos años en el futuro, un CVV aleatorio de la longitud correcta y, opcionalmente, un nombre inventado.

La misma lógica en unas pocas líneas de Python muestra lo poco que hay detrás:

import secrets

def digito_luhn(base: str) -> int:
    total = 0
    for i, ch in enumerate(reversed(base)):
        d = int(ch)
        if i % 2 == 0:          # uno de cada dos dígitos a la izquierda del de control
            d = d * 2 - 9 if d > 4 else d * 2
        total += d
    return (10 - total % 10) % 10

def numero_visa_de_prueba() -> str:
    base = '4' + ''.join(str(secrets.randbelow(10)) for _ in range(14))
    return base + str(digito_luhn(base))

print(numero_visa_de_prueba())   # p. ej. 4539718704123362: formato válido, sin cuenta detrás

Eso es todo lo que hace un generador. No hay conexión con ningún banco, ni base de datos de tarjetas reales, ni forma de «descubrir» una cuenta activa. Nuestro generador de tarjetas funciona por completo en tu navegador con la API Web Crypto y no envía nada a ningún servidor.

Por qué los números generados no tienen dinero

Un número de tarjeta es un identificador, no un recipiente. El saldo, el límite de crédito y la identidad del titular están en los sistemas del banco emisor. Cuando pagas, el número es solo la llave con la que el banco localiza la cuenta. Si no existe ninguna cuenta para esa llave, no hay nada que gastar.

Piensa en el formato de una dirección postal. Cualquiera puede escribir una dirección perfectamente formateada, pero eso no construye una casa, y las cartas enviadas allí vuelven al remitente. Un número generado es una dirección bien escrita sin casa al final.

Por eso las promesas de tarjetas generadas «con saldo», «con dinero» o «que funcionan» son falsas por definición. Una herramienta en una web no puede crear dinero en el libro contable de un banco. Las páginas que lo prometen suelen ser estafas que distribuyen malware, roban los datos de la tarjeta del propio visitante o venden listas sin ningún valor.

Qué pasa si alguien intenta pagar con uno

Cada pago con tarjeta se autoriza en tiempo real. El proveedor de pagos del comercio envía la solicitud a través de la red de la tarjeta hasta el emisor dueño del rango BIN. Por el camino se hacen varias comprobaciones, y un número generado falla al menos una de ellas siempre:

Así que un número generado llega como mucho hasta el emisor y allí se rechaza. Además, los intentos repetidos con números aleatorios se parecen exactamente al fraude de prueba de tarjetas (card testing), que comercios y proveedores de pago detectan y bloquean activamente, a menudo bloqueando el dispositivo o la dirección IP implicados.

¿Son legales los generadores de tarjetas de crédito?

Generar números que siguen un formato público es, en general, legal. Desarrolladores, equipos de QA y docentes lo hacen a diario, y las propias pasarelas de pago publican sus números de prueba por el mismo motivo. El problema legal empieza cuando un número se usa para obtener algo.

• En Estados Unidos, la ley 18 U.S.C. § 1029 tipifica como delito federal producir, usar o traficar a sabiendas y con intención de defraudar con dispositivos de acceso falsificados, o usar dispositivos no autorizados. La definición legal de dispositivo de acceso incluye expresamente los números de cuenta, y la de dispositivo falsificado incluye los «ficticios».
• En el Reino Unido, la Fraud Act 2006 castiga hacer de forma deshonesta una declaración falsa para obtener un beneficio, como presentar datos de una tarjeta que no tienes derecho a usar.
• En España y en Latinoamérica, los códigos penales castigan la estafa y el uso no autorizado de datos de tarjetas, y los términos de cualquier comercio prohíben dar datos de pago falsos, haya éxito o no.

La frontera está en la intención y el uso, no en la aritmética. Generar números del estilo 4111 1111 1111 1111 para probar un formulario es correcto. Introducir un número generado en una tienda real, en el alta de una suscripción o en una web de reservas para obtener algo sin pagarlo no lo es, aunque falle. Esto es información general, no asesoramiento jurídico; si tienes una duda legal concreta, consulta a un abogado de tu país.

Usos legítimos de los números generados

Dentro de esos límites, los números generados son realmente útiles. Resuelven un problema concreto: nunca deberías poner datos de tarjetas reales en sistemas de desarrollo o de pruebas, donde quedarían sujetos a los requisitos de PCI DSS.

• Validación de formularios. Comprueba que tu checkout acepta todas las marcas y longitudes (American Express de 15 dígitos, Diners Club de 14, UnionPay de 19) y rechaza un dígito de control incorrecto.
• Detección de marca y máscaras de entrada. Asegúrate de que aparece el logotipo correcto y de que el número se agrupa bien (4-6-5 para Amex, 4-4-4-4 para casi todas las demás).
• Datos de demostración y de staging. Rellena paneles de administración, capturas y demos comerciales con valores realistas pero inofensivos, idealmente guardados solo enmascarados.
• Pruebas unitarias y fuzzing. Pasa miles de números válidos e inválidos por analizadores, envoltorios de tokenización y scripts de importación.
• Docencia. Enseña cómo funcionan los dígitos de control y los rangos de los emisores.

Números generados, tarjetas de prueba de la pasarela y tarjetas reales

Los números generados dejan de ser útiles en cuanto la solicitud sale de tu propio código. Los sandboxes de pago, como el modo de prueba de Stripe o el sandbox de Braintree, solo reconocen los números de tarjetas de prueba concretos que publican, y cada uno provoca un resultado definido.

Stripe lo dice claramente en su documentación de pruebas: no uses datos de tarjetas reales, y su contrato de servicios prohíbe hacer pruebas en modo live con datos de pago reales. Usa las claves de API de prueba y las tarjetas de prueba documentadas. Nuestra guía (en inglés) sobre cómo probar un checkout de Stripe recorre el flujo completo.

Cómo distinguir un número generado de una tarjeta real

Solo con los dígitos, no se puede: esa es precisamente la gracia de un número con formato válido. Un validador confirma la marca, la longitud y la suma de control, y una consulta de BIN muestra qué emisor es dueño del prefijo, pero solo una autorización con el emisor demuestra que la cuenta existe. Nuestra guía sobre cómo detectar un número de tarjeta falso explica qué comprobaciones puede hacer un comercio y qué demuestra realmente cada una.