@baruk/core 0.4.2 → 0.6.0

package/dist/cjs/fiscal/transport/synthetic-tls.js

@@ -0,0 +1,380 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.SYNTHETIC_CERTIFICATE_CNPJ = void 0;
+exports.createSyntheticPki = createSyntheticPki;
+exports.syntheticPki = syntheticPki;
+exports.startSyntheticTlsServer = startSyntheticTlsServer;
+const node_child_process_1 = require("node:child_process");
+const node_fs_1 = require("node:fs");
+const node_os_1 = require("node:os");
+const node_path_1 = require("node:path");
+const node_crypto_1 = require("node:crypto");
+const node_https_1 = require("node:https");
+/**
+ * O CNPJ sintético dos testes de identidade.
+ *
+ * Inventado, e propositalmente distinto de qualquer contribuinte real: um número
+ * de verdade num fixture vira, mais cedo ou mais tarde, um cadastro de verdade.
+ */
+exports.SYNTHETIC_CERTIFICATE_CNPJ = '11222333000181';
+function openssl(args, cwd) {
+    try {
+        (0, node_child_process_1.execFileSync)('openssl', [...args], { cwd, stdio: 'pipe' });
+    }
+    catch {
+        // O erro original é DESCARTADO de propósito: `err.stderr` do OpenSSL cita
+        // caminhos de arquivo e sujeitos de certificado. O que importa para
+        // depurar é qual subcomando falhou, e isso cabe na mensagem própria.
+        throw new Error(`openssl ${args[0] ?? '?'} falhou ao gerar material sintético`);
+    }
+}
+const CA_CONFIG = `[ca]
+default_ca = CA_default
+[CA_default]
+database = index.txt
+serial = serial
+new_certs_dir = .
+certificate = ca.crt
+private_key = ca.key
+default_md = sha256
+policy = policy_any
+email_in_dn = no
+rand_serial = yes
+unique_subject = no
+[policy_any]
+commonName = supplied
+`;
+/**
+ * Gera a ICP sintética inteira.
+ *
+ * Lenta (segundos): gera seis pares de chaves. Quem usa deve guardar o
+ * resultado — `syntheticPki()` abaixo faz isso por processo.
+ */
+function createSyntheticPki() {
+    if (process.env.NODE_ENV === 'production' || process.env.BARUK_APP_ENV === 'production') {
+        throw new Error('ICP sintética não é gerada em produção.');
+    }
+    const dir = (0, node_fs_1.mkdtempSync)((0, node_path_1.join)((0, node_os_1.tmpdir)(), 'baruk-synthetic-pki-'));
+    const passphrase = `synthetic_${(0, node_crypto_1.randomBytes)(12).toString('hex')}`;
+    try {
+        // ── CA legítima ────────────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'ca.key',
+            '-out',
+            'ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=Baruk Synthetic Root',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        // ── Servidor, com SAN para localhost e 127.0.0.1 ───────────────────────
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'srv.ext'), 'subjectAltName=DNS:localhost,IP:127.0.0.1\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'srv.key',
+            '-out',
+            'srv.csr',
+            '-subj',
+            '/CN=localhost',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'srv.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'srv.crt',
+            '-days',
+            '3',
+            '-extfile',
+            'srv.ext',
+        ], dir);
+        // ── Cliente legítimo ───────────────────────────────────────────────────
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'cli.key',
+            '-out',
+            'cli.csr',
+            '-subj',
+            '/CN=Contribuinte Sintetico',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'cli.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'cli.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'cli.key',
+            '-in',
+            'cli.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'cli.p12',
+        ], dir);
+        // ── Cliente VENCIDO ────────────────────────────────────────────────────
+        //
+        // `openssl x509 -req` não sabe datar no passado em todas as versões; `ca`
+        // sabe desde a 1.1.1, com `-startdate`/`-enddate`. É por isso que existe o
+        // arquivo de configuração acima — e não por gosto por configuração.
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'ca.cnf'), CA_CONFIG);
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'index.txt'), '');
+        (0, node_fs_1.writeFileSync)((0, node_path_1.join)(dir, 'serial'), '01\n');
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'exp.key',
+            '-out',
+            'exp.csr',
+            '-subj',
+            '/CN=Contribuinte Vencido',
+        ], dir);
+        openssl([
+            'ca',
+            '-batch',
+            '-config',
+            'ca.cnf',
+            '-in',
+            'exp.csr',
+            '-out',
+            'exp.crt',
+            '-notext',
+            '-startdate',
+            '200101000000Z',
+            '-enddate',
+            '200201000000Z',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'exp.key',
+            '-in',
+            'exp.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'exp.p12',
+        ], dir);
+        // ── CA estrangeira e seu cliente ───────────────────────────────────────
+        openssl([
+            'req',
+            '-x509',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign-ca.key',
+            '-out',
+            'foreign-ca.crt',
+            '-days',
+            '3',
+            '-subj',
+            '/CN=CA Nao Confiada',
+            '-addext',
+            'basicConstraints=critical,CA:TRUE,pathlen:0',
+        ], dir);
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'foreign.key',
+            '-out',
+            'foreign.csr',
+            '-subj',
+            '/CN=Contribuinte de Outra Cadeia',
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'foreign.csr',
+            '-CA',
+            'foreign-ca.crt',
+            '-CAkey',
+            'foreign-ca.key',
+            '-CAcreateserial',
+            '-out',
+            'foreign.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'foreign.key',
+            '-in',
+            'foreign.crt',
+            '-certfile',
+            'foreign-ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'foreign.p12',
+        ], dir);
+        // ── Cliente com CNPJ no CN ─────────────────────────────────────────────
+        openssl([
+            'req',
+            '-newkey',
+            'rsa:2048',
+            '-nodes',
+            '-keyout',
+            'doc.key',
+            '-out',
+            'doc.csr',
+            '-subj',
+            `/CN=CONTRIBUINTE SINTETICO LTDA:${exports.SYNTHETIC_CERTIFICATE_CNPJ}`,
+        ], dir);
+        openssl([
+            'x509',
+            '-req',
+            '-in',
+            'doc.csr',
+            '-CA',
+            'ca.crt',
+            '-CAkey',
+            'ca.key',
+            '-CAcreateserial',
+            '-out',
+            'doc.crt',
+            '-days',
+            '3',
+        ], dir);
+        openssl([
+            'pkcs12',
+            '-export',
+            '-inkey',
+            'doc.key',
+            '-in',
+            'doc.crt',
+            '-certfile',
+            'ca.crt',
+            '-passout',
+            `pass:${passphrase}`,
+            '-out',
+            'doc.p12',
+        ], dir);
+        const pki = {
+            caCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'ca.crt')),
+            serverKeyPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'srv.key')),
+            serverCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'srv.crt')),
+            clientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'cli.p12')),
+            clientPassphrase: passphrase,
+            expiredClientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'exp.p12')),
+            foreignCaCertPem: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'foreign-ca.crt')),
+            foreignClientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'foreign.p12')),
+            corruptPfx: Buffer.from('isto nao e um pkcs12, e e essa a graca', 'utf8'),
+            documentClientPfx: (0, node_fs_1.readFileSync)((0, node_path_1.join)(dir, 'doc.p12')),
+            documentClientCnpj: exports.SYNTHETIC_CERTIFICATE_CNPJ,
+            dispose() {
+                (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+            },
+        };
+        // O diretório é removido AGORA: o material já está em memória, e deixar
+        // chave privada no disco — ainda que sintética e em `tmp` — é o hábito que
+        // um dia se repete com material real.
+        (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+        return { ...pki, dispose: () => undefined };
+    }
+    catch (err) {
+        (0, node_fs_1.rmSync)(dir, { recursive: true, force: true });
+        throw err;
+    }
+}
+let cached = null;
+/** A mesma ICP para o processo inteiro. Gerar seis chaves RSA custa segundos. */
+function syntheticPki() {
+    cached ??= createSyntheticPki();
+    return cached;
+}
+/** Sobe um servidor TLS real na porta local. */
+async function startSyntheticTlsServer(options) {
+    const { pki } = options;
+    const estado = {
+        url: '',
+        handshakes: 0,
+        seen: [],
+        close: async () => undefined,
+    };
+    const server = (0, node_https_1.createServer)({
+        key: pki.serverKeyPem,
+        cert: pki.serverCertPem,
+        ca: [pki.caCertPem],
+        requestCert: options.requireClientCert ?? false,
+        // `rejectUnauthorized` aqui é do SERVIDOR sobre o CLIENTE — o inverso do
+        // que o transporte configura. Verdadeiro quando o certificado é exigido:
+        // é exatamente esse comportamento do ADN que precisa ser reproduzido.
+        rejectUnauthorized: options.requireClientCert ?? false,
+    }, (req, res) => {
+        const cert = req.socket.getPeerCertificate?.();
+        estado.seen.push({ path: req.url ?? '/', clientCn: cert?.subject?.CN ?? null });
+        const r = options.respond?.(req.url ?? '/') ?? { status: 200, body: 'ok' };
+        const enviar = () => {
+            res.writeHead(r.status, { 'content-type': 'application/xml', ...(r.headers ?? {}) });
+            res.end(r.body ?? '');
+        };
+        if (options.delayMs)
+            setTimeout(enviar, options.delayMs).unref?.();
+        else
+            enviar();
+    });
+    server.on('secureConnection', () => {
+        estado.handshakes += 1;
+    });
+    // Sem isto, um handshake recusado derruba o processo de teste inteiro com um
+    // erro não tratado — e o teste que EXISTE para provar a recusa vira um crash.
+    server.on('tlsClientError', () => undefined);
+    await new Promise((resolve) => server.listen(0, '127.0.0.1', resolve));
+    const { port } = server.address();
+    estado.url = `https://127.0.0.1:${port}`;
+    estado.close = () => new Promise((resolve) => {
+        server.closeAllConnections?.();
+        server.close(() => resolve());
+    });
+    return estado;
+}
+//# sourceMappingURL=synthetic-tls.js.map

package/dist/cjs/fiscal/transport/synthetic-tls.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"synthetic-tls.js","sourceRoot":"","sources":["../../../../src/fiscal/transport/synthetic-tls.ts"],"names":[],"mappings":";;;AA2GA,gDAwUC;AAID,oCAGC;AAuBD,0DAoDC;AArgBD,2DAAkD;AAClD,qCAA2E;AAC3E,qCAAiC;AACjC,yCAAiC;AACjC,6CAA0C;AAC1C,2CAAuD;AA4DvD;;;;;GAKG;AACU,QAAA,0BAA0B,GAAG,gBAAgB,CAAC;AAE3D,SAAS,OAAO,CAAC,IAAuB,EAAE,GAAW;IACnD,IAAI,CAAC;QACH,IAAA,iCAAY,EAAC,SAAS,EAAE,CAAC,GAAG,IAAI,CAAC,EAAE,EAAE,GAAG,EAAE,KAAK,EAAE,MAAM,EAAE,CAAC,CAAC;IAC7D,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,oEAAoE;QACpE,qEAAqE;QACrE,MAAM,IAAI,KAAK,CAAC,WAAW,IAAI,CAAC,CAAC,CAAC,IAAI,GAAG,qCAAqC,CAAC,CAAC;IAClF,CAAC;AACH,CAAC;AAED,MAAM,SAAS,GAAG;;;;;;;;;;;;;;;CAejB,CAAC;AAEF;;;;;GAKG;AACH,SAAgB,kBAAkB;IAChC,IAAI,OAAO,CAAC,GAAG,CAAC,QAAQ,KAAK,YAAY,IAAI,OAAO,CAAC,GAAG,CAAC,aAAa,KAAK,YAAY,EAAE,CAAC;QACxF,MAAM,IAAI,KAAK,CAAC,yCAAyC,CAAC,CAAC;IAC7D,CAAC;IACD,MAAM,GAAG,GAAG,IAAA,qBAAW,EAAC,IAAA,gBAAI,EAAC,IAAA,gBAAM,GAAE,EAAE,sBAAsB,CAAC,CAAC,CAAC;IAChE,MAAM,UAAU,GAAG,aAAa,IAAA,yBAAW,EAAC,EAAE,CAAC,CAAC,QAAQ,CAAC,KAAK,CAAC,EAAE,CAAC;IAElE,IAAI,CAAC;QACH,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,MAAM;YACN,QAAQ;YACR,OAAO;YACP,GAAG;YACH,OAAO;YACP,0BAA0B;YAC1B,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,EAAE,6CAA6C,CAAC,CAAC;QACnF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;YACH,UAAU;YACV,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,4BAA4B;SAC7B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,EAAE;QACF,0EAA0E;QAC1E,2EAA2E;QAC3E,oEAAoE;QACpE,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,SAAS,CAAC,CAAC;QAC9C,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,WAAW,CAAC,EAAE,EAAE,CAAC,CAAC;QAC1C,IAAA,uBAAa,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,EAAE,MAAM,CAAC,CAAC;QAC3C,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,0BAA0B;SAC3B,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,IAAI;YACJ,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,KAAK;YACL,SAAS;YACT,MAAM;YACN,SAAS;YACT,SAAS;YACT,YAAY;YACZ,eAAe;YACf,UAAU;YACV,eAAe;SAChB,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,OAAO;YACP,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,gBAAgB;YAChB,MAAM;YACN,gBAAgB;YAChB,OAAO;YACP,GAAG;YACH,OAAO;YACP,qBAAqB;YACrB,SAAS;YACT,6CAA6C;SAC9C,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,aAAa;YACb,MAAM;YACN,aAAa;YACb,OAAO;YACP,kCAAkC;SACnC,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,aAAa;YACb,KAAK;YACL,gBAAgB;YAChB,QAAQ;YACR,gBAAgB;YAChB,iBAAiB;YACjB,MAAM;YACN,aAAa;YACb,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,aAAa;YACb,KAAK;YACL,aAAa;YACb,WAAW;YACX,gBAAgB;YAChB,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,aAAa;SACd,EACD,GAAG,CACJ,CAAC;QAEF,0EAA0E;QAC1E,OAAO,CACL;YACE,KAAK;YACL,SAAS;YACT,UAAU;YACV,QAAQ;YACR,SAAS;YACT,SAAS;YACT,MAAM;YACN,SAAS;YACT,OAAO;YACP,mCAAmC,kCAA0B,EAAE;SAChE,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,MAAM;YACN,MAAM;YACN,KAAK;YACL,SAAS;YACT,KAAK;YACL,QAAQ;YACR,QAAQ;YACR,QAAQ;YACR,iBAAiB;YACjB,MAAM;YACN,SAAS;YACT,OAAO;YACP,GAAG;SACJ,EACD,GAAG,CACJ,CAAC;QACF,OAAO,CACL;YACE,QAAQ;YACR,SAAS;YACT,QAAQ;YACR,SAAS;YACT,KAAK;YACL,SAAS;YACT,WAAW;YACX,QAAQ;YACR,UAAU;YACV,QAAQ,UAAU,EAAE;YACpB,MAAM;YACN,SAAS;SACV,EACD,GAAG,CACJ,CAAC;QAEF,MAAM,GAAG,GAAiB;YACxB,SAAS,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAC5C,YAAY,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAChD,aAAa,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACjD,SAAS,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YAC7C,gBAAgB,EAAE,UAAU;YAC5B,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACpD,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,gBAAgB,CAAC,CAAC;YAC3D,gBAAgB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,aAAa,CAAC,CAAC;YACxD,UAAU,EAAE,MAAM,CAAC,IAAI,CAAC,wCAAwC,EAAE,MAAM,CAAC;YACzE,iBAAiB,EAAE,IAAA,sBAAY,EAAC,IAAA,gBAAI,EAAC,GAAG,EAAE,SAAS,CAAC,CAAC;YACrD,kBAAkB,EAAE,kCAA0B;YAC9C,OAAO;gBACL,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;YAChD,CAAC;SACF,CAAC;QACF,wEAAwE;QACxE,2EAA2E;QAC3E,sCAAsC;QACtC,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,SAAS,EAAE,CAAC;IAC9C,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,IAAA,gBAAM,EAAC,GAAG,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QAC9C,MAAM,GAAG,CAAC;IACZ,CAAC;AACH,CAAC;AAED,IAAI,MAAM,GAAwB,IAAI,CAAC;AACvC,iFAAiF;AACjF,SAAgB,YAAY;IAC1B,MAAM,KAAK,kBAAkB,EAAE,CAAC;IAChC,OAAO,MAAM,CAAC;AAChB,CAAC;AAsBD,gDAAgD;AACzC,KAAK,UAAU,uBAAuB,CAC3C,OAAkC;IAElC,MAAM,EAAE,GAAG,EAAE,GAAG,OAAO,CAAC;IACxB,MAAM,MAAM,GAAuB;QACjC,GAAG,EAAE,EAAE;QACP,UAAU,EAAE,CAAC;QACb,IAAI,EAAE,EAAE;QACR,KAAK,EAAE,KAAK,IAAI,EAAE,CAAC,SAAS;KAC7B,CAAC;IAEF,MAAM,MAAM,GAAW,IAAA,yBAAY,EACjC;QACE,GAAG,EAAE,GAAG,CAAC,YAAY;QACrB,IAAI,EAAE,GAAG,CAAC,aAAa;QACvB,EAAE,EAAE,CAAC,GAAG,CAAC,SAAS,CAAC;QACnB,WAAW,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;QAC/C,yEAAyE;QACzE,yEAAyE;QACzE,sEAAsE;QACtE,kBAAkB,EAAE,OAAO,CAAC,iBAAiB,IAAI,KAAK;KACvD,EACD,CAAC,GAAG,EAAE,GAAG,EAAE,EAAE;QACX,MAAM,IAAI,GACR,GAAG,CAAC,MACL,CAAC,kBAAkB,EAAE,EAAE,CAAC;QACzB,MAAM,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,GAAG,IAAI,GAAG,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,IAAI,IAAI,EAAE,CAAC,CAAC;QAChF,MAAM,CAAC,GAAG,OAAO,CAAC,OAAO,EAAE,CAAC,GAAG,CAAC,GAAG,IAAI,GAAG,CAAC,IAAI,EAAE,MAAM,EAAE,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;QAC3E,MAAM,MAAM,GAAG,GAAS,EAAE;YACxB,GAAG,CAAC,SAAS,CAAC,CAAC,CAAC,MAAM,EAAE,EAAE,cAAc,EAAE,iBAAiB,EAAE,GAAG,CAAC,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,EAAE,CAAC,CAAC;YACrF,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC;QACxB,CAAC,CAAC;QACF,IAAI,OAAO,CAAC,OAAO;YAAE,UAAU,CAAC,MAAM,EAAE,OAAO,CAAC,OAAO,CAAC,CAAC,KAAK,EAAE,EAAE,CAAC;;YAC9D,MAAM,EAAE,CAAC;IAChB,CAAC,CACF,CAAC;IACF,MAAM,CAAC,EAAE,CAAC,kBAAkB,EAAE,GAAG,EAAE;QACjC,MAAM,CAAC,UAAU,IAAI,CAAC,CAAC;IACzB,CAAC,CAAC,CAAC;IACH,6EAA6E;IAC7E,8EAA8E;IAC9E,MAAM,CAAC,EAAE,CAAC,gBAAgB,EAAE,GAAG,EAAE,CAAC,SAAS,CAAC,CAAC;IAE7C,MAAM,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,EAAE,WAAW,EAAE,OAAO,CAAC,CAAC,CAAC;IAC7E,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,CAAC,OAAO,EAAiB,CAAC;IACjD,MAAM,CAAC,GAAG,GAAG,qBAAqB,IAAI,EAAE,CAAC;IACzC,MAAM,CAAC,KAAK,GAAG,GAAG,EAAE,CAClB,IAAI,OAAO,CAAO,CAAC,OAAO,EAAE,EAAE;QAC5B,MAAM,CAAC,mBAAmB,EAAE,EAAE,CAAC;QAC/B,MAAM,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,OAAO,EAAE,CAAC,CAAC;IAChC,CAAC,CAAC,CAAC;IACL,OAAO,MAAM,CAAC;AAChB,CAAC"}

package/dist/cjs/fiscal/transport/types.js

@@ -0,0 +1,93 @@
+"use strict";
+/**
+ * O transporte, separado do que trafega.
+ *
+ * ## Por que a fronteira fica exatamente aqui
+ *
+ * O adapter da NFS-e (`nfse-adn.ts`) recebia um `AdnTransport` cuja assinatura
+ * já falava de NSU e de lote — vocabulário FISCAL. Isso funcionou para provar a
+ * ingestão, mas amarra duas decisões que mudam por motivos diferentes: como se
+ * fala com o servidor (TLS mútuo, timeout, cabeçalho de espera) e o que se pede
+ * a ele (NSU, chave de acesso, evento).
+ *
+ * A prova de que são eixos independentes é o próprio Brasil fiscal: NF-e e CT-e
+ * usam SOAP; a NFS-e nacional usa REST; um provedor municipal usaria outra coisa
+ * ainda — e os TRÊS apresentam o mesmo certificado ICP-Brasil por TLS mútuo,
+ * respeitam a mesma classe de erro de rede e precisam do mesmo teto de espera.
+ * Um `if (provedor === 'x')` dentro de um cliente HTTP seria o sintoma da
+ * fronteira no lugar errado.
+ *
+ * Por isso esta camada não conhece NSU, não conhece documento e não conhece
+ * cliente. Ela conhece requisição, resposta, prazo e material de TLS.
+ *
+ * ## O que ela NÃO faz
+ *
+ * Não retenta. Não classifica erro fiscal. Não decide backoff. Essas decisões
+ * dependem do que estava sendo pedido — e um transporte que retentasse sozinho
+ * transformaria uma espera obrigatória de uma hora em três requisições, que é o
+ * caminho direto para o `cStat 656` e para o CNPJ do cliente bloqueado.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.FiscalTransportError = void 0;
+exports.parseRetryAfter = parseRetryAfter;
+/**
+ * Falha de transporte.
+ *
+ * A mensagem é montada por NÓS a partir da classe e de um código curto. O erro
+ * original NÃO é encadeado, e isso é deliberado: `Error.message` de TLS cita o
+ * caminho do arquivo do certificado e o sujeito do titular, e `err.stack` de um
+ * cliente HTTP já carregou a URL inteira com credencial embutida neste
+ * ecossistema. Redigir o campo não bastaria — a defesa é não copiar o texto.
+ */
+class FiscalTransportError extends Error {
+    errorClass;
+    code;
+    retryAfter;
+    constructor(errorClass, 
+    /** Código curto e estável (`ETIMEDOUT`, `CERT_HAS_EXPIRED`). Nunca texto livre do sistema. */
+    code, 
+    /** Espera pedida pelo servidor (`Retry-After`), quando houver. */
+    retryAfter = null) {
+        super(`transporte ${errorClass} (${code})`);
+        this.errorClass = errorClass;
+        this.code = code;
+        this.retryAfter = retryAfter;
+        this.name = 'FiscalTransportError';
+    }
+}
+exports.FiscalTransportError = FiscalTransportError;
+/**
+ * Lê `Retry-After` como a RFC 9110 §10.2.3 o define: segundos OU data HTTP.
+ *
+ * Existe aqui, e não dentro do cliente HTTP, porque o cabeçalho é a única parte
+ * da resposta que o motor de retentativa consulta — e ela precisa ser lida
+ * igual venha de onde vier. Valor ausente, negativo ou ilegível devolve `null`:
+ * inventar uma espera a partir de lixo é pior do que não ter espera nenhuma,
+ * porque a inventada parece autorizada.
+ */
+function parseRetryAfter(raw, now = new Date()) {
+    if (!raw)
+        return null;
+    const trimmed = raw.trim();
+    if (trimmed === '')
+        return null;
+    if (/^\d+$/.test(trimmed)) {
+        const seconds = Number(trimmed);
+        // Um teto de 24h impede que um cabeçalho absurdo (ou hostil) congele um
+        // cliente por semanas. O valor continua sendo do servidor; o teto é nosso.
+        if (!Number.isFinite(seconds) || seconds < 0)
+            return null;
+        const capped = Math.min(seconds, 86_400);
+        return new Date(now.getTime() + capped * 1000);
+    }
+    const asDate = new Date(trimmed);
+    if (Number.isNaN(asDate.getTime()))
+        return null;
+    // Data no passado significa "pode agora". Devolver `null` diz exatamente isso
+    // sem obrigar quem chama a comparar de novo.
+    if (asDate.getTime() <= now.getTime())
+        return null;
+    const cap = new Date(now.getTime() + 86_400_000);
+    return asDate.getTime() > cap.getTime() ? cap : asDate;
+}
+//# sourceMappingURL=types.js.map

package/dist/cjs/fiscal/transport/types.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../../../../src/fiscal/transport/types.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2BG;;;AAiHH,0CAwBC;AA9FD;;;;;;;;GAQG;AACH,MAAa,oBAAqB,SAAQ,KAAK;IAElC;IAEA;IAEA;IALX,YACW,UAAqC;IAC9C,8FAA8F;IACrF,IAAY;IACrB,kEAAkE;IACzD,aAA0B,IAAI;QAEvC,KAAK,CAAC,cAAc,UAAU,KAAK,IAAI,GAAG,CAAC,CAAC;QANnC,eAAU,GAAV,UAAU,CAA2B;QAErC,SAAI,GAAJ,IAAI,CAAQ;QAEZ,eAAU,GAAV,UAAU,CAAoB;QAGvC,IAAI,CAAC,IAAI,GAAG,sBAAsB,CAAC;IACrC,CAAC;CACF;AAXD,oDAWC;AAyCD;;;;;;;;GAQG;AACH,SAAgB,eAAe,CAC7B,GAA8B,EAC9B,MAAY,IAAI,IAAI,EAAE;IAEtB,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IACtB,MAAM,OAAO,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC;IAC3B,IAAI,OAAO,KAAK,EAAE;QAAE,OAAO,IAAI,CAAC;IAEhC,IAAI,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,EAAE,CAAC;QAC1B,MAAM,OAAO,GAAG,MAAM,CAAC,OAAO,CAAC,CAAC;QAChC,wEAAwE;QACxE,2EAA2E;QAC3E,IAAI,CAAC,MAAM,CAAC,QAAQ,CAAC,OAAO,CAAC,IAAI,OAAO,GAAG,CAAC;YAAE,OAAO,IAAI,CAAC;QAC1D,MAAM,MAAM,GAAG,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,MAAM,CAAC,CAAC;QACzC,OAAO,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,MAAM,GAAG,IAAI,CAAC,CAAC;IACjD,CAAC;IAED,MAAM,MAAM,GAAG,IAAI,IAAI,CAAC,OAAO,CAAC,CAAC;IACjC,IAAI,MAAM,CAAC,KAAK,CAAC,MAAM,CAAC,OAAO,EAAE,CAAC;QAAE,OAAO,IAAI,CAAC;IAChD,8EAA8E;IAC9E,6CAA6C;IAC7C,IAAI,MAAM,CAAC,OAAO,EAAE,IAAI,GAAG,CAAC,OAAO,EAAE;QAAE,OAAO,IAAI,CAAC;IACnD,MAAM,GAAG,GAAG,IAAI,IAAI,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,UAAU,CAAC,CAAC;IACjD,OAAO,MAAM,CAAC,OAAO,EAAE,GAAG,GAAG,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC;AACzD,CAAC"}

package/dist/cjs/import/br-documents.js

@@ -0,0 +1,85 @@
+"use strict";
+/**
+ * CPF e CNPJ — validação por dígito verificador.
+ *
+ * Contar dígitos não valida documento. `00000000000` tem onze dígitos e não é
+ * CPF de ninguém; `11222333000182` tem catorze e não fecha o DV. Num importador
+ * de carteira, aceitar por comprimento significa que um erro de digitação vira
+ * cliente, e o erro só aparece na primeira cobrança devolvida — quando já há
+ * honorário, obrigação e um e-mail enviado ao titular errado.
+ *
+ * Os dois algoritmos são o módulo 11 oficial da Receita. Ficam no CORE, e não na
+ * vertical contábil, pela mesma razão que `client.document_number` está no core:
+ * CPF e CNPJ identificam pessoa no Brasil inteiro, não no segmento contábil.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.onlyDigits = void 0;
+exports.isValidCpf = isValidCpf;
+exports.isValidCnpj = isValidCnpj;
+exports.classifyDocument = classifyDocument;
+/** Remove tudo que não é dígito. Aceita máscara, ponto, barra e traço. */
+const onlyDigits = (v) => v.replace(/\D/g, '');
+exports.onlyDigits = onlyDigits;
+function dv(base, pesoInicial) {
+    let soma = 0;
+    let peso = pesoInicial;
+    for (const c of base) {
+        soma += Number(c) * peso;
+        peso--;
+        if (peso < 2)
+            peso = 9;
+    }
+    const resto = soma % 11;
+    return resto < 2 ? 0 : 11 - resto;
+}
+function isValidCpf(value) {
+    const d = (0, exports.onlyDigits)(value);
+    if (d.length !== 11)
+        return false;
+    // Repetidos passam no módulo 11 por construção — são recusados por regra.
+    if (/^(\d)\1{10}$/.test(d))
+        return false;
+    const base = d.slice(0, 9);
+    let soma = 0;
+    for (let i = 0; i < 9; i++)
+        soma += Number(base[i]) * (10 - i);
+    let r = (soma * 10) % 11;
+    if (r === 10)
+        r = 0;
+    if (r !== Number(d[9]))
+        return false;
+    soma = 0;
+    for (let i = 0; i < 10; i++)
+        soma += Number(d[i]) * (11 - i);
+    r = (soma * 10) % 11;
+    if (r === 10)
+        r = 0;
+    return r === Number(d[10]);
+}
+function isValidCnpj(value) {
+    const d = (0, exports.onlyDigits)(value);
+    if (d.length !== 14)
+        return false;
+    if (/^(\d)\1{13}$/.test(d))
+        return false;
+    const d1 = dv(d.slice(0, 12), 5);
+    if (d1 !== Number(d[12]))
+        return false;
+    const d2 = dv(d.slice(0, 13), 6);
+    return d2 === Number(d[13]);
+}
+/**
+ * Classifica pelo próprio documento.
+ *
+ * O comprimento já diz se a linha é pessoa física ou jurídica; uma coluna
+ * `tipo` que discorde disso é conflito de dado, não preferência do usuário.
+ */
+function classifyDocument(value) {
+    const d = (0, exports.onlyDigits)(value);
+    if (d.length === 11)
+        return isValidCpf(d) ? 'cpf' : 'invalid';
+    if (d.length === 14)
+        return isValidCnpj(d) ? 'cnpj' : 'invalid';
+    return 'invalid';
+}
+//# sourceMappingURL=br-documents.js.map

package/dist/cjs/import/br-documents.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"br-documents.js","sourceRoot":"","sources":["../../../src/import/br-documents.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;GAYG;;;AAiBH,gCAgBC;AAED,kCAQC;AAUD,4CAKC;AAxDD,0EAA0E;AACnE,MAAM,UAAU,GAAG,CAAC,CAAS,EAAU,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;AAAzD,QAAA,UAAU,cAA+C;AAEtE,SAAS,EAAE,CAAC,IAAY,EAAE,WAAmB;IAC3C,IAAI,IAAI,GAAG,CAAC,CAAC;IACb,IAAI,IAAI,GAAG,WAAW,CAAC;IACvB,KAAK,MAAM,CAAC,IAAI,IAAI,EAAE,CAAC;QACrB,IAAI,IAAI,MAAM,CAAC,CAAC,CAAC,GAAG,IAAI,CAAC;QACzB,IAAI,EAAE,CAAC;QACP,IAAI,IAAI,GAAG,CAAC;YAAE,IAAI,GAAG,CAAC,CAAC;IACzB,CAAC;IACD,MAAM,KAAK,GAAG,IAAI,GAAG,EAAE,CAAC;IACxB,OAAO,KAAK,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,GAAG,KAAK,CAAC;AACpC,CAAC;AAED,SAAgB,UAAU,CAAC,KAAa;IACtC,MAAM,CAAC,GAAG,IAAA,kBAAU,EAAC,KAAK,CAAC,CAAC;IAC5B,IAAI,CAAC,CAAC,MAAM,KAAK,EAAE;QAAE,OAAO,KAAK,CAAC;IAClC,0EAA0E;IAC1E,IAAI,cAAc,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,IAAI,GAAG,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IAC3B,IAAI,IAAI,GAAG,CAAC,CAAC;IACb,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,CAAC,EAAE,CAAC,EAAE;QAAE,IAAI,IAAI,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC;IAC/D,IAAI,CAAC,GAAG,CAAC,IAAI,GAAG,EAAE,CAAC,GAAG,EAAE,CAAC;IACzB,IAAI,CAAC,KAAK,EAAE;QAAE,CAAC,GAAG,CAAC,CAAC;IACpB,IAAI,CAAC,KAAK,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC;QAAE,OAAO,KAAK,CAAC;IACrC,IAAI,GAAG,CAAC,CAAC;IACT,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,EAAE,EAAE,CAAC,EAAE;QAAE,IAAI,IAAI,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC;IAC7D,CAAC,GAAG,CAAC,IAAI,GAAG,EAAE,CAAC,GAAG,EAAE,CAAC;IACrB,IAAI,CAAC,KAAK,EAAE;QAAE,CAAC,GAAG,CAAC,CAAC;IACpB,OAAO,CAAC,KAAK,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;AAC7B,CAAC;AAED,SAAgB,WAAW,CAAC,KAAa;IACvC,MAAM,CAAC,GAAG,IAAA,kBAAU,EAAC,KAAK,CAAC,CAAC;IAC5B,IAAI,CAAC,CAAC,MAAM,KAAK,EAAE;QAAE,OAAO,KAAK,CAAC;IAClC,IAAI,cAAc,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,OAAO,KAAK,CAAC;IACzC,MAAM,EAAE,GAAG,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC;IACjC,IAAI,EAAE,KAAK,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;QAAE,OAAO,KAAK,CAAC;IACvC,MAAM,EAAE,GAAG,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC;IACjC,OAAO,EAAE,KAAK,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;AAC9B,CAAC;AAID;;;;;GAKG;AACH,SAAgB,gBAAgB,CAAC,KAAa;IAC5C,MAAM,CAAC,GAAG,IAAA,kBAAU,EAAC,KAAK,CAAC,CAAC;IAC5B,IAAI,CAAC,CAAC,MAAM,KAAK,EAAE;QAAE,OAAO,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC;IAC9D,IAAI,CAAC,CAAC,MAAM,KAAK,EAAE;QAAE,OAAO,WAAW,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,SAAS,CAAC;IAChE,OAAO,SAAS,CAAC;AACnB,CAAC"}