API de verificación de identidad en Colombia: KYC sobre once registros oficiales

Qué problema resuelve

Montar un flujo de KYC o de debida diligencia en Colombia significa hoy visitar entre cinco y diez portales estatales distintos, cada uno con su captcha, su formato de fecha y su propia manera de decir que no encontró nada. Ninguno publica una API para desarrolladores y varios ni siquiera responden igual dos veces seguidas. El resultado habitual es alguien copiando cédulas a mano en una hoja de cálculo, o un scraper propio que se rompe cada vez que una entidad cambia el HTML. PlacApi normaliza esos registros en un contrato REST único —mismo sobre, mismo campo tieneAntecedentes, mismos códigos de error— y cobra por consulta, sin mensualidad ni permanencia.

Para quién sirve

Áreas de cumplimiento y SARLAFT que hacen debida diligencia de clientes y proveedores, fintechs y plataformas de crédito que verifican identidad antes de originar, talento humano y empresas de selección que validan una hoja de vida, entidades públicas y contratistas que revisan inhabilidades antes de firmar, y equipos de producto que integran la verificación dentro de su propio onboarding.

Datos requeridos

• docType y docNumber — el par que piden las consultas por persona: cédula, Sisbén, RUI y los tres de antecedentes. Cada registro acepta un subconjunto distinto de tipos de documento, y un tipo no soportado responde 400 sin cobrar.
• documento o nombre — las consultas de empresa y de relación con el Estado (RUES, SECOP, bienes y rentas) aceptan NIT, cédula o razón social. Si llegan los dos manda el documento, que identifica sin ambigüedad.
• nombre completo — las listas de sanciones de OFAC se buscan solo por nombre: no manejan cédulas colombianas. El orden de las palabras no importa, pero deben aparecer todas.
• fechaExpedicion — solo el RUAF, en formato DD/MM/AAAA. La exige la fuente para autenticar, no PlacApi, y hay que pedírsela al usuario porque no sale de ninguna otra consulta.
• radicado — opcional en procesos judiciales: con los 23 dígitos se agregan las actuaciones del proceso, que es lo que dice en qué va y no solo que existe.

Fuentes y cobertura

• Ventanilla Social del DNPDatos básicos del ciudadano —nombre, sexo, edad, municipio y departamento—, grupo y nivel del Sisbén IV y grupo del Registro Universal de Ingresos. Responde en menos de un segundo y sin captcha, por eso es la primera fuente del nombre por documento.
• Procuraduría General de la Nación — SIRICertificado de antecedentes disciplinarios: sanciones con su término y clase, delitos, providencias con autoridad y fechas, e inhabilidades con su vigencia. También respalda la consulta de nombre cuando la persona no figura en el registro social.
• Contraloría General de la República — Boletín de Responsables Fiscales (SIBOR)Certificado de responsabilidad fiscal, requisito para contratar con el Estado y para posesionarse en cargos públicos, con el código que permite comprobar su autenticidad ante la entidad.
• Policía Nacional de ColombiaCertificado de asuntos pendientes con las autoridades judiciales, con la leyenda textual del registro y el nombre del titular en orden apellidos-nombres.
• RUAF — Ministerio de Salud y Protección SocialAfiliaciones a salud, pensiones, riesgos laborales, caja de compensación y cesantías, condición de pensionado y programas de asistencia social, con la fecha de corte del propio informe.
• Registro mercantil de las Cámaras de Comercio (Confecámaras)Matrícula, cámara, estado de la matrícula, tipo de sociedad, organización jurídica, códigos CIIU, fechas de matrícula, renovación, vigencia y cancelación, y representante legal con su documento.
• SECOP II — Colombia Compra EficienteContratos electrónicos con el Estado: entidad, objeto, tipo de contrato, modalidad, estado, valor contratado, valor pagado, fechas y enlace a la ficha pública del proceso.
• Función Pública — Declaración de Bienes, Rentas y Conflicto de InterésDeclaraciones publicadas por servidores públicos y contratistas bajo la Ley 2013 de 2019: entidad, cargo, motivo de la declaración, número, fecha de publicación y estado.
• Rama Judicial — Consulta de Procesos Nacional UnificadaProcesos de los despachos del país: radicado, despacho, departamento, fechas, partes ya separadas por rol, ponente, tipo y clase de proceso y actuaciones con su anotación.
• OFAC — Departamento del Tesoro de EE. UU.Listas de sanciones SDN —la que el mercado llama lista Clinton— y las consolidadas no-SDN: unos 41.000 nombres con sus alias. No se scrapea: las listas se descargan y la búsqueda corre localmente.

¿Qué responde cada endpoint, qué documento pide y cuánto cuesta?

Son doce páginas de documentación y once consultas distintas. La diferencia está en el Sisbén y el RUI, que son el mismo endpoint con dos nombres: la fuente entrega juntas las dos escalas y nosotros devolvemos las dos, así que llamar una u otra da exactamente el mismo JSON. Existen por separado porque el RUI reemplazó al Sisbén como criterio de focalización y quien busca por un nombre no busca por el otro.

Antes del listado, la regla de cobro, que en esta familia no es obvia y decide el presupuesto de una integración. Una respuesta «no registra antecedentes» COBRA: es el dato que el cliente vino a comprar, el que sirve para contratar, vincular o posesionar a alguien, y tratarlo como consulta sin resultado sería regalar la inmensa mayoría de las llamadas. En cambio, cuando el producto es el dato mismo y el dato no existe —un documento sin titular, una persona no registrada en el Sisbén, un radicado inexistente— la respuesta es 404 y no cobra. Un acierto de caché nunca cobra.

¿Consultar antecedentes judiciales revela si alguien fue condenado?

No, y es la afirmación más importante de esta página. El endpoint de antecedentes judiciales consulta el portal de la Policía Nacional, que certifica si una persona tiene asuntos pendientes con las autoridades judiciales HOY. Por la Sentencia SU-458 de 2012 de la Corte Constitucional, la consulta que hace un tercero no revela condenas ya cumplidas ni prescritas. No es un historial penal, y venderlo como tal sería vender otra cosa.

El dato no es teórico. Sobre unas 400 consultas de prueba, entre ellas decenas de personas condenadas por narcotráfico y homicidio tomadas de las listas de OFAC, ninguna devolvió antecedentes en true. Cero positivos. Quien integre esta consulta creyendo que filtra condenados va a tener un filtro que deja pasar a todo el mundo sin que nadie se entere.

Lo que sí se puede leer con criterio es la leyenda textual, y por eso se devuelve palabra por palabra en vez de reducirla a una bandera. El portal usa dos frases distintas para el caso sin asuntos pendientes y no son sinónimas. En nuestra muestra, «no tiene asuntos pendientes con las autoridades judiciales» apareció en el 95 % de la población general y en el 79 % de los condenados de OFAC; «actualmente no es requerido» apareció en el 5 % y el 21 % respectivamente. Es cuatro veces más frecuente entre condenados. No alcanza para afirmar qué significa cada una —y no lo afirmamos—, pero sí para que quien integra aplique su criterio sobre el texto en lugar de sobre un booleano que ya perdió la información.

Para el riesgo penal y reputacional de verdad, la combinación útil es otra: los antecedentes disciplinarios traen las sanciones penales con delito, providencia e inhabilidad vigente; los procesos judiciales dicen si hay causas abiertas y en qué van; y las listas restrictivas cruzan contra las sanciones de OFAC. Ninguna de las tres es un certificado de antecedentes penales, que en Colombia solo puede pedir el propio titular.

¿Qué NO puede verificar esta API, y por qué lo publicamos?

Una API de verificación que solo publica lo que sí hace es un folleto. Estos son los huecos que encontramos midiendo, y van escritos porque un cliente que los desconoce toma decisiones sobre un dato que cree tener.

La Contraloría certifica «limpio» a documentos que no existen. Probamos su portal con el documento 0000000 —siete ceros, que no identifican a nadie— y devolvió un certificado normal: sin antecedentes, «no se encuentra reportado como responsable fiscal», con su código de verificación y todo. Lo mismo con permiso de protección temporal y con permiso especial de permanencia. Y esa respuesta no trae el nombre del titular, así que no hay señal alguna que permita distinguir «esta persona está limpia» de «este documento no existe». Quien digite mal una cédula recibe un certificado tranquilizador sobre nadie, y lo paga. No es un defecto nuestro, el portal es así; es la razón por la que la consulta de nombre por documento debe ir primero en la cadena.

El portal de la Policía tiene la misma trampa en versión más suave: cuando el documento no figura en el registro civil, omite la línea del nombre y el veredicto llega igual. Por eso devolvemos el campo del nombre tal como viene, vacío incluido: un nombre en blanco no es un hueco de nuestro parseo, es la señal de que ese documento probablemente no existe.

Las notificaciones rojas de INTERPOL están escritas y apagadas. La API pública de INTERPOL funciona, pero responde 403 desde las siete salidas de red que probamos —residencial en Colombia, proxies comerciales, nuestro servidor, un droplet y salidas en cinco países— y también desde un navegador real. Mientras no haya una salida que acepte, ese endpoint responde 503 y no cobra. Preferimos un 503 honesto a una lista vacía que se lea como «no aparece en INTERPOL».

No hay biometría. PlacApi no devuelve fotografía, huella, firma ni estado de la cédula: no tenemos acceso a la base de identificación de la Registraduría y no vamos a insinuar que sí. Lo único que sale de esa entidad es el censo electoral —el puesto y la mesa donde vota una persona, que es información pública—, y eso no verifica una identidad: dice dónde vota quien tenga ese número, no que quien lo presenta sea su titular. Tampoco hay historial crediticio de las centrales de riesgo, que se rige por la Ley 1266 de 2008 y exige autorización expresa del titular. Y la consulta de afiliación del ADRES quedó bloqueada por su captcha, con evidencia de que los resolvedores comerciales no lo vencen; la pregunta de a qué EPS está afiliada una persona la responde el RUAF, que sí está vivo.

¿En qué orden se encadenan las consultas para no gastar créditos de más?

Empieza siempre por la consulta de nombre por documento. Cuesta 1 crédito, responde en menos de un segundo en el caso mayoritario y hace dos cosas que ninguna otra hace: confirma que el documento existe y devuelve el nombre. Si no existe, responde 404 sin cobrar y ahí se acaba la cadena. Un dígito mal digitado deja de costar diez consultas y, sobre todo, deja de producir un informe limpio sobre una persona que no es.

Con el nombre en la mano ya se pueden lanzar las consultas que buscan por nombre y no por documento: las listas de OFAC, que son la única vía para las sanciones internacionales, y los procesos judiciales cuando no se tiene el radicado. Sin ese paso previo hay que confiar en el nombre que escribió el usuario, que es justamente donde entran los homónimos y los errores de digitación.

Después van las de documento, y conviene lanzarlas en paralelo porque son independientes entre sí: disciplinarios, fiscales, judiciales y Sisbén. Las de antecedentes se cachean 24 horas —mucho menos que los 30 días de lo vehicular, y a propósito: un antecedente cambia y una ficha técnica no—, así que reconsultar a la misma persona dentro del día no vuelve a cobrar.

Deja el RUAF para el final y fuera de la petición web. Cuesta 2 créditos, exige la fecha de expedición del documento —que hay que pedirle al usuario porque no sale de ninguna otra consulta— y tarda decenas de segundos. Es el candidato natural a una cola de trabajos, no a un formulario con alguien mirando un indicador de carga.

Para verificar una empresa el orden es otro y más corto. El registro mercantil confirma que la matrícula existe, si está activa y quién es el representante legal, con su documento; con ese documento se arranca de nuevo la cadena de persona sobre el representante, que es donde suele estar el riesgo real; y los contratos con el Estado dicen si además le ha vendido al sector público y por cuánto.

¿Qué es una API de verificación de identidad y qué resuelve en Colombia?

Es un conjunto de endpoints REST que consultan registros oficiales para responder tres preguntas: si un documento existe y a quién pertenece, si esa persona o empresa tiene anotaciones que impidan contratarla o vincularla, y qué relación tiene con el Estado. En Colombia esos datos viven repartidos entre la Procuraduría, la Contraloría, la Policía, el DNP, el Ministerio de Salud, las cámaras de comercio, Colombia Compra Eficiente, la Función Pública y la Rama Judicial, cada uno con su captcha y su formato. PlacApi los normaliza en once consultas con el mismo contrato JSON y cobro por consulta.

¿Es legal consultar la cédula o los antecedentes de otra persona?

La consulta se hace sobre registros que las propias entidades publican para verificación, no sobre bases privadas. Aun así, quien consulta es responsable de tener una finalidad legítima y de cumplir la Ley 1581 de 2012 de protección de datos: que un registro sea público no vuelve legítimo cualquier uso de él. En el uso por API, PlacApi actúa como encargado del tratamiento y el cliente como responsable; las condiciones y los tiempos de retención están en los términos y en el acuerdo de nivel de servicio.

Ejemplo de solicitud

POST https://placapi.com/api/cedula. Autenticación por API key en el header x-api-key. Los datos del ejemplo son ficticios.

curl -X POST 'https://placapi.com/api/cedula' \
  -H 'x-api-key: pk_live_TU_CLAVE' \
  -H 'content-type: application/json' \
  -d '{"docType":"CC","docNumber":"1020304050"}'

Ejemplo de respuesta

Respuesta JSON (fragmento con los campos de esta consulta; la API integral devuelve todas las fuentes en el mismo objeto).

{
  "source": "identidad",
  "status": "info",
  "data": {
    "documento": "1020304050",
    "tipoDocumento": "Cédula de ciudadanía",
    "nombre": "JUAN CARLOS PEREZ GOMEZ",
    "partes": [
      "JUAN",
      "CARLOS",
      "PEREZ",
      "GOMEZ"
    ],
    "sexo": "Masculino",
    "edad": 38,
    "municipio": "CALI",
    "departamento": "VALLE DEL CAUCA",
    "origen": "registro-social"
  },
  "mode": "live",
  "fetchedAt": "2026-07-24T15:04:05.000Z",
  "cost": 1
}

Explicación campo por campo

Limitaciones y posibles errores

• Ninguna de estas consultas es un certificado de antecedentes penales. Por la Sentencia SU-458 de 2012 la consulta de un tercero no revela condenas cumplidas o prescritas; ese certificado solo lo puede solicitar el propio titular.
• La Contraloría certifica «no reportado» también para documentos inexistentes, y su respuesta no trae nombre. Sin cruzar antes contra la consulta de nombre por documento, un error de digitación produce un certificado limpio sobre nadie.
• La consulta de antecedentes judiciales falla entre el 3 % y el 6 % de las veces en régimen normal, y sube al 33-45 % después de tandas grandes: el portal de la Policía limita por IP. Está verificado que no es la concurrencia ni el largo del documento; conviene reintentar espaciado y no en ráfaga.
• Las notificaciones rojas de INTERPOL responden 503 y no cobran: la fuente rechaza todas nuestras salidas de red. El endpoint está escrito y apagado hasta conseguir una que acepte.
• El RUAF exige la fecha de expedición del documento y tarda decenas de segundos. Su fecha de corte no es la fecha de la consulta: el Ministerio consolida con rezago, y publicarlas como si fueran la misma haría creer que el dato es de hoy.
• No hay biometría, fotografía, huella ni estado de la cédula ante la Registraduría, ni historial crediticio de las centrales de riesgo, que exige autorización expresa del titular bajo la Ley 1266 de 2008.
• Los registros por nombre —OFAC y procesos judiciales— pueden devolver homónimos. El puntaje de coincidencia y el documento embebido en las observaciones ayudan a descartar, pero la decisión final es de quien consulta.

Códigos de error del endpoint (401, 402, 429, 5xx) en la referencia de errores.

Otras preguntas frecuentes

Seguir explorando

• API de nombre por cédula: quién es el titular de un documento→
• API de antecedentes judiciales (Policía Nacional)→
• API de antecedentes disciplinarios (Procuraduría)→
• API de antecedentes fiscales (Contraloría)→
• API de listas restrictivas y lista Clinton (OFAC)→
• API de procesos judiciales de la Rama Judicial→
• API del RUES: registro mercantil por NIT→
• API del SECOP II: contratos con el Estado→
• API de declaraciones de bienes y rentas (Función Pública)→
• API del RUAF: EPS, pensión, ARL y caja de compensación→
• API del Sisbén IV: grupo y nivel por documento→
• API del RUI: Registro Universal de Ingresos→
• API de licencias de conducción por cédula→
• Sandbox, API key y documentación→
• API de puesto de votación por cédula→