Cyfrowy dowód istnienia firmy — jakie sygnały odróżniają realny biznes od fikcyjnej marki?

Strona może wyglądać profesjonalnie po jednym weekendzie pracy. Logo da się wygenerować w kilka minut, kilkadziesiąt opinii kupić lub sztucznie wyprodukować, a zdjęcia zespołu stworzyć bez udziału fotografa. Dlatego pytanie „czy ta firma wygląda wiarygodnie?” jest źle postawione. Trzeba sprawdzić, czy zostawia ślady, których nie może w pełni kontrolować sama.

Realny biznes zwykle tworzy pewien cyfrowy osad: wpisy w rejestrach, historię domeny, dokumenty, rachunki, ludzi, realizacje, komentarze klientów, stare wersje strony, wzmianki kontrahentów i powiązania między tymi elementami. Pojedynczy sygnał niewiele znaczy. Firma wpisana do KRS może być wydmuszką. Stara domena może zmienić właściciela. Zdjęcie biura może pochodzić z banku zdjęć. Nawet prawdziwy numer NIP można skopiować z danych innego przedsiębiorcy.

Dlatego proof of existence, czyli cyfrowy dowód faktycznego istnienia biznesu, powinien działać jak weryfikacja krzyżowa. Nie pytamy, czy marka posiada konkretny element. Pytamy, czy niezależne elementy potwierdzają tę samą historię.

Rejestr, domena i dane kontaktowe: najpierw sprawdza się tożsamość, dopiero później marketing

Pierwszy etap nie wymaga analizowania Instagrama ani czytania stu komentarzy w Google. Trzeba ustalić, kto prawnie stoi za marką.

W przypadku jednoosobowej działalności gospodarczej punktem wyjścia jest CEIDG. Przy spółkach i innych podmiotach rejestrowych — KRS. W elektronicznej wyszukiwarce KRS można bezpłatnie i od razu pobrać aktualne dane podmiotu. Rejestr pokazuje nie tylko nazwę i adres. W kolejnych działach znajdują się m.in. dane o reprezentacji, przedmiocie działalności, złożonych dokumentach finansowych, zaległościach ujawnionych w rejestrze, likwidacji, restrukturyzacji czy zawieszeniu działalności.

To znacznie ważniejsze niż samo znalezienie numeru KRS w stopce strony.

Jeżeli marka podaje na stronie „XYZ Studio”, a regulamin wskazuje spółkę ABC sp. z o.o., nie musi to być problem. Marka handlowa nie musi być nazwą przedsiębiorcy. Musi jednak istnieć czytelne połączenie między nimi. Problem zaczyna się wtedy, gdy regulamin podaje jedną firmę, faktura ma dane drugiej, przelew ma trafić do trzeciej osoby, a numer NIP ze strony należy do podmiotu działającego w zupełnie innej branży.

W przypadku spółek warto dodatkowo sprawdzić CRBR, czyli Centralny Rejestr Beneficjentów Rzeczywistych. Pozwala zestawić osoby faktycznie kontrolujące podmiot z zarządem, osobami występującymi na stronie i ludźmi przedstawiającymi się jako założyciele. Sam rozjazd nie przesądza o oszustwie — struktury właścicielskie bywają bardziej skomplikowane — ale powinien mieć logiczne wyjaśnienie.

Kolejna warstwa to Wykaz podatników VAT. Weryfikacja ma sens zwłaszcza przy relacji B2B i przed wykonaniem większego przelewu. Można sprawdzić podmiot po NIP, REGON albo numerze rachunku. Ministerstwo Finansów udostępnia również API: metoda pełna pozwala obecnie na 100 zapytań dziennie, po maksymalnie 30 podmiotów w jednym zapytaniu, a metoda uproszczona obsługuje do 5000 podmiotów. Dla firmy, która automatyzuje onboarding setek kontrahentów, to znacznie lepsze rozwiązanie niż ręczne kopiowanie numerów do wyszukiwarki.

Rejestr prawny nadal nie jest jednak dowodem, że biznes realnie prowadzi działalność. Założenie spółki jest prostsze niż zbudowanie działającej organizacji. Dlatego dane rejestrowe traktuję jako filtr wejściowy: jeżeli nie zgadza się podstawowa tożsamość podmiotu, nie ma sensu usprawiedliwiać jej świetnymi opiniami.

Następnie sprawdzam domenę.

Dla polskich domen punktem technicznym jest baza WHOIS Rejestru domeny .pl prowadzonego przez NASK. Dane są udostępniane z opóźnieniem nie większym niż 15 minut względem centralnego systemu rejestracji. WHOIS pomaga ustalić status domeny, rejestratora i część danych dotyczących abonenta, przy czym zakres widocznych informacji zależy również od ochrony danych osobowych.

W 2026 r. doszedł tu istotny szczegół. Nowe wymagania dla domen .pl obejmują obowiązkową weryfikację danych abonentów oraz uzupełnianie danych kontaktowych. Okres przejściowy trwa do 2 kwietnia 2027 r. Nie należy więc oczekiwać, że każda domena już dziś pokaże kompletną, publicznie dostępną kartę właściciela.

Sama data rejestracji domeny też łatwo prowadzi do błędnych wniosków. Marka założona miesiąc temu może być całkowicie prawdziwa, a domena zarejestrowana dziesięć lat temu mogła zostać odkupiona tydzień temu. Mocniejszym sygnałem jest ciągłość treści.

Jeżeli firma twierdzi, że działa od 2018 r., sprawdzam, czy:

• domena lub wcześniejsza domena marki pozostawia ślady z poprzednich lat;

• archiwalne wersje strony pokazują podobną działalność, nazwę i dane;

• stare profile społecznościowe prowadzą do tej samej domeny;

• adresy e-mail pracowników używały firmowej domeny również wcześniej;

• zmiany nazwy, właściciela albo profilu biznesu dają się logicznie odtworzyć.

Nieobecność strony w archiwum internetowym nie jest automatycznie dowodem problemu. Nie każda witryna jest regularnie archiwizowana. Znacznie bardziej podejrzana jest sytuacja odwrotna: przedsiębiorstwo reklamuje „12 lat doświadczenia”, domena pojawia się niedawno, profile powstały w podobnym terminie, a najstarsze realizacje istnieją wyłącznie jako wpisy opublikowane w ciągu ostatnich kilku tygodni.

Zdjęcia, opinie, realizacje i pracownicy: liczy się ciągłość śladów, nie ich liczba

Najłatwiej sfałszować elementy, które firma publikuje samodzielnie. Dlatego galeria z pięćdziesięcioma zdjęciami mówi mniej niż trzy fotografie, które da się powiązać z prawdziwym miejscem, klientem i datą.

Przy realizacjach interesuje mnie przede wszystkim łańcuch potwierdzeń. Jeżeli agencja pokazuje stronę stworzoną dla restauracji, sprawdzam, czy restauracja istnieje i czy w stopce albo archiwalnej wersji witryny rzeczywiście występowała dana agencja. Jeśli producent pokazuje halę klienta, szukam tej samej inwestycji na profilu inwestora, wykonawcy generalnego albo dostawcy technologii.

Jedna realizacja potwierdzona po dwóch stronach jest mocniejszym dowodem niż piętnaście anonimowych kafelków „Case study #01”.

Zdjęcia warto przepuszczać przez wyszukiwanie obrazem, np. Google Lens. Jeżeli fotografia rzekomego biura warszawskiej firmy pojawia się wcześniej na stronie dewelopera w Hiszpanii albo w banku zdjęć, sytuacja jest jasna. Trudniejsze są materiały generowane przez AI. Tu automatyczne detektory nie powinny rozstrzygać sprawy samodzielnie. Znacznie lepiej badać kontekst: czy to samo pomieszczenie pojawia się w różnych ujęciach, czy pracownicy publikowali fotografie z tego miejsca, czy lokal można powiązać z konkretnym adresem.

Metadane EXIF mają ograniczoną wartość, bo Facebook, Instagram i inne serwisy często przetwarzają albo usuwają część danych pliku. Brak EXIF nie jest sygnałem oszustwa.

Podobnie jest z opiniami. Średnia 4,9/5 wygląda efektownie, ale przy weryfikacji firmy jest właściwie punktem wyjścia, nie wynikiem analizy.

Patrzę przede wszystkim na rozkład w czasie. Firma działająca od trzech lat, która zebrała 80 proc. wszystkich opinii w ciągu jednego tygodnia, powinna zostać sprawdzona dokładniej. Szczególnie jeśli recenzje mają podobną długość, używają tych samych sformułowań, a profile autorów nie mają żadnej wcześniejszej aktywności.

Nie oznacza to, że nagły wzrost opinii zawsze jest manipulacją. Firma mogła przeprowadzić kampanię posprzedażową i poprosić dotychczasowych klientów o recenzje. Wtedy powinny jednak istnieć dodatkowe ślady aktywności: większa liczba zamówień, kampania marketingowa, publikacje klientów albo zauważalny wzrost ruchu w mediach społecznościowych.

Dobre opinie stają się mocniejsze, gdy zawierają szczegóły trudne do napisania bez znajomości transakcji: imię opiekuna, model produktu, nazwę inwestycji, termin wykonania, konkretny problem techniczny albo sposób rozwiązania reklamacji.

Pracownicy są kolejnym użytecznym testem, ale również tu łatwo przecenić LinkedIn. Profil można założyć w godzinę. Pięć pustych profili utworzonych niedawno nie dowodzi istnienia zespołu.

Znacznie mocniejsze są osoby posiadające kilkuletnią historię zawodową, sieć kontaktów i aktywność również poza badaną firmą. Jeżeli czterech pracowników deklaruje zatrudnienie w marce od dwóch lat, a ich profile pokazują konferencje, projekty, komentarze klientów i wzajemne interakcje z tego okresu, koszt sfabrykowania całej historii gwałtownie rośnie.

To właśnie koszt stworzenia spójnego fałszerstwa jest dobrym miernikiem jakości dowodu.

Opinie można kupić. Zdjęcia można wygenerować. Profil pracownika można stworzyć. Rejestr można założyć. Ale znacznie trudniej jednocześnie stworzyć kilkuletnią historię domeny, prawidłowe dane przedsiębiorcy, realnych pracowników, potwierdzone realizacje, wzmianki klientów i zewnętrzne dokumenty — i jeszcze utrzymać między nimi zgodność dat.

Pięć poziomów proof of existence: jak oceniać nową markę bez karania jej za krótki staż

Największy problem pojawia się przy nowych firmach. Marka działająca od czterech miesięcy z definicji nie będzie miała pięciu lat opinii, archiwalnych wersji strony ani dziesiątek partnerów. Odrzucanie jej tylko z powodu wieku premiowałoby stare przedsiębiorstwa, również te nierzetelne.

Dlatego stosuję model punktowy, ale z jednym zastrzeżeniem: sygnały miękkie nie mogą przykrywać braku podstawowej tożsamości prawnej.

Model ma 100 punktów. Do 30 punktów przyznaję za warstwę formalną: zgodność CEIDG/KRS, NIP, REGON, sposób reprezentacji, status VAT tam, gdzie ma zastosowanie, rachunek oraz — przy odpowiednich formach prawnych — dane CRBR i dokumenty finansowe. Kolejne 15 punktów przypada na domenę i ciągłość techniczną, 25 na rzeczywiste realizacje i ślady operacyjne, 10 na osoby stojące za biznesem, a ostatnie 20 na niezależne potwierdzenia: klientów, partnerów, wydarzenia branżowe, media, postępowania zakupowe i wiarygodne opinie.

Przy sprawdzaniu spójności danych kontaktowych pomocny jest model NAP — Name, Address, Phone, czyli nazwa, adres i telefon. Te trzy dane powinny pozostawać możliwie zgodne między stroną, rejestrami, mapami, katalogami i profilami. Jednym z dodatkowych miejsc porównania może być firmowy katalog NAP, ale sam wpis katalogowy nie powinien otrzymywać dużej liczby punktów: katalog potwierdza publikację danych, nie rzeczywiste prowadzenie działalności.

W praktyce poziomy wyglądają tak.

0–24 punkty — obecność deklarowana. Istnieje strona albo profil, lecz trudno potwierdzić operatora, ludzi i faktyczną działalność. Przy przedpłacie, drogiej usłudze albo długim kontrakcie ryzyko jest zbyt wysokie.

25–49 punktów — podmiot istnieje formalnie, ale biznes pozostaje słabo udokumentowany. Taki wynik jest normalny dla części bardzo młodych działalności, jednak wymaga ograniczenia ryzyka: mniejszego pierwszego zamówienia, płatności etapami albo osobistej rozmowy z osobą odpowiedzialną.

50–69 punktów — wiarygodna nowa lub niewielka firma. Dane prawne są spójne, są konkretni ludzie i da się potwierdzić przynajmniej kilka elementów działalności poza własną stroną. Brak wieloletniej historii nie przekreśla przedsiębiorstwa.

70–84 punkty — silny proof of existence. Firma posiada niezależne ślady rozłożone w czasie, potwierdzone realizacje, rozpoznawalnych pracowników i spójność między rejestrem, domeną oraz komunikacją.

85–100 punktów — wysoka odporność na falsyfikację. Oprócz formalnej zgodności istnieje długa historia operacyjna i wiele niezależnych źródeł. Fałszowanie całego obrazu wymagałoby kontrolowania klientów, pracowników, partnerów, dokumentów i historii technicznej jednocześnie.

Wynik nie powinien działać mechanicznie. Są również warunki odcinające, przy których przestaję liczyć punkty.

Jeżeli NIP należy do innego przedsiębiorcy niż podmiot wskazany w umowie, ktoś żąda płatności na konto osoby niemającej jasnego związku z transakcją albo portfolio okazuje się skopiowane z cudzych stron, zatrzymuję weryfikację. Sto pozytywnych opinii nie równoważy takiej sprzeczności.

Trzeba też oceniać podatność poszczególnych dowodów na manipulację. W uproszczeniu wpis KRS, CEIDG, informacje z CRBR czy zgodność rachunku z oficjalnym wykazem mają niską podatność na proste fałszowanie, chociaż nie gwarantują uczciwości właścicieli. Historia domeny i potwierdzone realizacje mają podatność średnią. Samodzielnie publikowane zdjęcia, licznik klientów, logotypy partnerów i wpisy społecznościowe — średnią lub wysoką. Pojedyncza anonimowa opinia jest bardzo słabym dowodem.

Najmocniejsze są wzmianki publikowane przez podmioty, których badana firma nie kontroluje. Jeżeli producent twierdzi, że dostarczał urządzenia dla konkretnej sieci hotelowej, znacznie bardziej interesuje mnie strona hotelu, komunikat inwestora albo dokument wykonawcy niż zakładka „Nasi klienci” producenta.

Dobry standard dla większej transakcji to co najmniej trzy niezależne klasy dowodów: warstwa formalna, ślady rzeczywistej działalności oraz potwierdzenie zewnętrzne. Trzy katalogi firm kopiujące te same dane nie są trzema źródłami. To jeden pierwotny rekord powielony trzy razy.

Adres również wymaga rozsądku. Wirtualne biuro nie jest automatycznie podejrzane — korzystają z niego tysiące legalnych spółek. Jeżeli jednak przedsiębiorstwo reklamuje „własne centrum serwisowe o powierzchni 2000 m²”, a podany adres prowadzi do biura coworkingowego, trzeba znaleźć lokalizację tego centrum. Brak odpowiedzi jest ważniejszy niż sam fakt posiadania wirtualnego adresu.

Ostatecznie proof of existence nie odpowiada na pytanie: „czy firma na pewno mnie nie oszuka?”. Takiej gwarancji nie daje żaden publiczny rejestr. Odpowiada na bardziej użyteczne pytanie: ile niezależnych elementów trzeba byłoby sfałszować, aby przedstawiona historia przedsiębiorstwa była nieprawdziwa?

Im więcej takich elementów, im dłuższy okres obejmują i im mniej kontroluje je sama marka, tym mocniejszy dowód istnienia.

FAQ: najczęstsze pytania przy sprawdzaniu firmy

Czy sam wpis w CEIDG albo KRS wystarcza, żeby uznać firmę za wiarygodną?
Nie. Potwierdza przede wszystkim formalne istnienie podmiotu. Nie potwierdza jakości usług, wypłacalności, faktycznych kompetencji ani tego, że osoba kontaktująca się z klientem rzeczywiście reprezentuje daną firmę.

Czy nowa domena oznacza podejrzaną firmę?
Nie. Nowa marka może mieć nową domenę i działać całkowicie legalnie. Alarm pojawia się dopiero wtedy, gdy krótka historia domeny przeczy deklaracjom firmy, np. marka twierdzi, że prowadzi działalność pod tą nazwą od dziesięciu lat.

Ile opinii wystarczy do potwierdzenia działalności?
Nie ma bezpiecznej liczby. Dziesięć szczegółowych recenzji rozłożonych na dwa lata może mieć większą wartość niż 300 anonimowych ocen dodanych w ciągu miesiąca. Liczy się rozkład w czasie, historia kont autorów i zgodność recenzji z innymi śladami działalności.

Czy brak pracowników na LinkedIn jest sygnałem ostrzegawczym?
Przy jednoosobowym biznesie nie. Przy firmie deklarującej 80-osobowy zespół — zdecydowanie wymaga wyjaśnienia. Skala cyfrowych śladów powinna być mniej więcej proporcjonalna do deklarowanej wielkości organizacji.

Czy można w 100 procentach potwierdzić, że firma nie jest oszustwem?
Nie. Można natomiast znacząco podnieść koszt stworzenia wiarygodnej fikcji i wykryć większość prostych niespójności przed przekazaniem pieniędzy, danych albo podpisaniem umowy.

Co sprawdzić jako pierwsze przed zakupem lub podpisaniem umowy?
Najpierw ustal dokładną nazwę podmiotu odpowiedzialnego za transakcję i porównaj NIP, KRS albo CEIDG, adres, reprezentację oraz dane do płatności. Dopiero gdy ta warstwa jest spójna, przechodź do domeny, realizacji, ludzi i opinii. Najczęstszy błąd to rozpoczęcie od recenzji w Google. To jeden z najłatwiejszych elementów do manipulowania, podczas gdy niezgodność numeru NIP lub strony umowy potrafi zakończyć weryfikację w kilka minut.