Generator numerów kart kredytowych

Generator kart kredytowych tworzy numery o budowie prawdziwych kart płatniczych. Każdy zaczyna się od zakresu należącego do wybranej sieci, na przykład 4 dla Visy, ma właściwą długość i kończy się cyfrą kontrolną policzoną algorytmem Luhna. Formularz płatności, który sprawdza numer przed wysłaniem, przyjmie go i rozpozna sieć.

Za wygenerowanym numerem nie stoi żadne konto, saldo ani zgoda banku, więc nie da się nim zapłacić. Generator nie łączy się z żadną bramką ani bankiem, a numery powstają w przeglądarce. Do testów przelewów przyda się generator IBAN, a do danych klienta generator PESEL albo generator danych testowych.

1. Wybierz sieć karty albo zostaw Dowolna sieć, żeby każdy numer dostał losową sieć.
2. Wybierz zapis. Grupy cyfr wyglądają jak na karcie (American Express i Diners Club mają inny podział niż pozostałe), a zapis ciągły pasuje do baz danych.
3. Zostaw włączoną opcję Data ważności i CVV, jeśli formularz wymaga wszystkich pól. Data zawsze wypada w ciągu najbliższych pięciu lat.
4. Ustaw liczbę numerów, od 1 do 100, i kliknij Generuj numery. Pojedynczy numer skopiujesz ikoną obok niego.

Pliki CSV i JSON zawierają numer bez spacji, nazwę sieci oraz datę ważności i CVV, jeśli są włączone. Plik TXT ma same numery. Pod listą wyników jest walidator: wklej dowolny numer, a narzędzie sprawdzi sumę Luhna i rozpozna sieć.

Bramki płatnicze w trybie testowym zwykle nie przyjmują dowolnego numeru z poprawną sumą Luhna. Każda ma własną listę numerów testowych w dokumentacji i od nich zależy wynik symulowanej płatności: akceptacja, odmowa albo prośba o 3-D Secure. Stripe podaje na przykład:

Visa

4242 4242 4242 4242

Mastercard

5555 5555 5555 4444

Data i CVC

dowolna przyszła data, np. 12/34, i dowolne 3 cyfry (4 dla American Express)

Numery z tego generatora przydają się wcześniej: przy testach formularza, maski wprowadzania, rozpoznawania sieci i walidacji po stronie przeglądarki i serwera, zanim dane trafią do bramki. Do testów integracji z konkretną bramką używaj numerów z jej dokumentacji.

Numer karty opisuje norma ISO/IEC 7812. Pierwsze cyfry to numer wydawcy (IIN, często nazywany BIN), po którym rozpoznaje się sieć i bank. Dalej jest numer rachunku karty, a na końcu cyfra kontrolna. Tak wyglądają zakresy sieci obsługiwanych przez generator:

Mastercard używa zakresu 2221–2720 od 2016 roku, więc formularz, który rozpoznaje Mastercard tylko po cyfrach 51–55, odrzuci część prawdziwych kart. To dobry przypadek testowy: wybierz Mastercard i wygeneruj kilkanaście numerów, a część z nich zacznie się od 2.

Algorytm opracował Hans Peter Luhn z IBM, a patent USA nr 2 950 048 udzielono mu w 1960 roku. Sprawdzenie numeru przebiega tak:

1. Idąc od prawej, podwój co drugą cyfrę, zaczynając od przedostatniej.
2. Jeśli po podwojeniu wyjdzie więcej niż 9, odejmij 9 (16 daje 7, 12 daje 3).
3. Dodaj wszystkie cyfry, podwojone i niepodwojone.
4. Numer jest poprawny, jeśli suma dzieli się przez 10.

Dla numeru 4532 1488 0343 6464 suma wynosi 70, więc numer jest poprawny. Generator robi to samo w drugą stronę: losuje wszystkie cyfry oprócz ostatniej i dobiera ostatnią tak, żeby suma była wielokrotnością 10.

Algorytm Luhna wykrywa każdą pomyłkę w jednej cyfrze i prawie każdą zamianę dwóch sąsiednich cyfr. Nie zauważy zamiany 09 na 90. Nie jest też zabezpieczeniem: cyfrę kontrolną może policzyć każdy, więc poprawna suma mówi tylko, że numer nie ma literówki.

Walidacja w kodzie

function isValidCardNumber(input) {
  const digits = input.replace(/[\s-]/g, '');
  if (!/^\d{12,19}$/.test(digits)) return false;
  let sum = 0;
  for (let i = 0; i < digits.length; i++) {
    let d = Number(digits[digits.length - 1 - i]);
    if (i % 2 === 1) {
      d *= 2;
      if (d > 9) d -= 9;
    }
    sum += d;
  }
  return sum % 10 === 0;
}

isValidCardNumber('4532 1488 0343 6464'); // true

Formularze płatności zwykle wymagają też daty ważności i trzycyfrowego kodu z tyłu karty (w American Express czterocyfrowego, z przodu). Generator dopisuje do każdego numeru datę z najbliższych pięciu lat i losowy kod.

CVV nie da się policzyć ani sprawdzić wzorem. Wylicza go bank wydawcy z numeru karty, daty ważności i tajnych kluczy, a weryfikuje dopiero podczas autoryzacji płatności. Formularz może więc sprawdzić tylko długość kodu: 3 cyfry albo 4 dla American Express.

• Rozpoznawanie sieci po pierwszych cyfrach, także Mastercard z zakresu 2221–2720 i kart innych niż Visa i Mastercard.
• Długość numeru: 15 cyfr American Express i 14 cyfr Diners Club obok standardowych 16.
• Maskę wprowadzania, która wstawia spacje w innych miejscach dla American Express (4-6-5) i dla pozostałych kart (4-4-4-4).
• Odrzucanie literówek: zmień jedną cyfrę wygenerowanego numeru, a walidator powinien zgłosić błąd.
• Pole CVV, które dla American Express wymaga 4 cyfr, a dla pozostałych sieci 3.

Numery testowe też warto traktować jak dane kart: nie zapisywać ich w logach ani w zrzutach błędów. Dzięki temu ten sam kod nie zacznie przypadkiem logować prawdziwych numerów po wdrożeniu. Zasady przechowywania danych kart opisuje standard PCI DSS.