4. Quando o operador deve consultar a API?

Obrigatoriamente em três momentos:
a) Na abertura de cadastro do usuário (onboarding);
b) No primeiro login do dia de cada usuário;
c) A cada 15 (quinze) dias, sobre toda a base de usuários cadastrados – inclusive aqueles temporariamente bloqueados –, para identificar eventuais novas inclusões na lista de impedidos. Contas permanentemente encerradas não precisam entrar na varredura periódica 

Posicionamento na jornada de cadastro (boa prática):

• Evite usar a API como “oráculo público” de CPFs. Não exiba mensagens enganosas (ex.: “CPF inválido”). Prefira texto neutro e verdadeiro, do tipo: “Estamos concluindo verificações regulatórias. Você será avisado(a) em breve.”
• Se a API estiver indisponível no momento da checagem, registre a ocorrência e refaça a consulta assim que normalizar, sem liberar o uso do sistema para apostar até a validação.
• Registre evidências (data/hora, usuário, resultado e, quando houver, idRequisicao) para auditoria.
• No reingresso (usuário que deixou de constar na lista), aplique novo onboarding e repita a consulta antes de liberar o acesso.