@baruk/core 0.5.0 → 0.6.0

package/dist/fiscal/credentials/inspect.d.ts

@@ -0,0 +1,114 @@
+/**
+ * O que dá para saber sobre um certificado SEM falar com ninguém.
+ *
+ * ## Por que a validação local existe, e o que ela não é
+ *
+ * Um A1 recém-cadastrado tem duas perguntas em aberto, e elas têm custos
+ * opostos. "A senha abre o arquivo?" custa milissegundos e nenhuma consequência
+ * externa. "A Receita aceita este titular?" custa uma requisição autenticada em
+ * nome de um terceiro — e, se ela for feita fora de hora, custa ao CLIENTE um
+ * CNPJ bloqueado.
+ *
+ * Este módulo responde só a primeira família de perguntas. O produto inteiro
+ * depende de nunca confundir as duas: `verified_at` (1004) continua significando
+ * "o ambiente oficial já aceitou", e nada aqui o preenche.
+ *
+ * ## Por que o SecureContext, e não uma biblioteca de PKCS#12
+ *
+ * O Node não expõe leitor de PKCS#12 na API pública — `X509Certificate` lê PEM e
+ * DER, não `.pfx`. As saídas óbvias seriam uma dependência nova (superfície
+ * grande para uma tela de upload) ou chamar o binário `openssl` (que exige o
+ * binário na imagem, e cuja saída de erro cita caminho de arquivo e sujeito do
+ * certificado).
+ *
+ * A saída usada aqui é o leitor de PKCS#12 que já está no processo: o do OpenSSL
+ * que o próprio Node embute. `tls.createSecureContext({ pfx, passphrase })` o
+ * invoca e LANÇA na hora se a senha não abrir — esse é o teste de senha, e ele
+ * não custa nem um socket. O contexto resultante guarda o certificado carregado,
+ * e o handle nativo o devolve em DER.
+ *
+ * A propriedade que isso compra é um ORÁCULO CORRETO: "abre aqui" passa a
+ * significar exatamente "abre no handshake real", porque é o mesmo código de
+ * OpenSSL, com os mesmos parâmetros, que o transporte de mTLS usaria. Um parser
+ * de terceiro poderia aceitar um arquivo que o handshake recusa — e a diferença
+ * apareceria só contra o servidor da Receita.
+ *
+ * ## A primeira escrita usava um servidor TLS em loopback, e estava errada
+ *
+ * Ela subia um servidor com o `pfx` em `127.0.0.1`, conectava um cliente do
+ * mesmo processo e lia o certificado apresentado. Funcionava — e exigia
+ * `rejectUnauthorized: false` no cliente, porque um A1 é assinado por uma AC da
+ * ICP-Brasil que não está no truststore e o nome nunca seria `localhost`.
+ *
+ * O guarda `tls-no-bypass` reprovou, e com razão. A resposta certa não era
+ * abrir uma exceção nominal para este arquivo: um controle com uma exceção tem
+ * duas na semana seguinte. Era não precisar da exceção — o que este caminho
+ * consegue, com menos código e sem socket nenhum.
+ *
+ * Nada toca o disco e nada toca a rede: `pfx` é um `Buffer`, e tudo acontece
+ * dentro do processo.
+ */
+/** Classe da falha. CLASSE — a mensagem do OpenSSL cita sujeito e caminho. */
+export type CertificateInspectionFailure = 'wrong_password' | 'malformed_material' | 'unsupported_material' | 'inspection_failed';
+export interface CertificateFacts {
+    /** sha256 do DER do certificado apresentado, minúsculo e sem dois-pontos. */
+    fingerprintSha256: string;
+    subjectCommonName: string | null;
+    issuerCommonName: string | null;
+    /** Últimos 8 caracteres do serial. O serial inteiro identifica sem acrescentar. */
+    serialTail: string | null;
+    validFrom: string;
+    validTo: string;
+    /** Já venceu, medido contra o relógio de quem inspeciona. */
+    expired: boolean;
+    /**
+     * CNPJ/CPF lido DO MATERIAL — nunca o digitado no cadastro.
+     * `null` quando o certificado não o carrega em forma reconhecível.
+     */
+    document: string | null;
+}
+export type CertificateInspection = {
+    status: 'ok';
+    facts: CertificateFacts;
+} | {
+    status: 'failed';
+    reason: CertificateInspectionFailure;
+};
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ */
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ *
+ * `async` sem `await` é deliberado: o contrato é assíncrono porque a primeira
+ * implementação precisava de um handshake, e porque uma leitura de material
+ * criptográfico é o tipo de operação que pode voltar a precisar. Mudar a
+ * assinatura para síncrona obrigaria todo chamador a mudar junto, por nenhum
+ * ganho.
+ */
+export declare function inspectPkcs12(pfx: Buffer, passphrase: string | undefined): Promise<CertificateInspection>;
+/**
+ * O certificado é DESTE cliente?
+ *
+ * Três respostas, e a do meio é a que impede o vínculo silencioso:
+ *
+ *   `match`          os dois documentos existem e são o mesmo.
+ *   `mismatch`       os dois existem e são diferentes. Exige assinatura humana
+ *                    (a restrição está na 0060, não aqui).
+ *   `indeterminate`  falta um dos dois. Não é aprovação.
+ *
+ * A comparação é por DÍGITOS: o cadastro do produto guarda o documento sem
+ * máscara, o certificado o traz sem máscara, e uma comparação textual passaria a
+ * reprovar no dia em que alguém colasse um CNPJ pontuado num dos dois lados.
+ */
+export type IdentityMatch = 'match' | 'mismatch' | 'indeterminate';
+export declare function matchIdentity(certificateDocument: string | null, clientDocument: string | null | undefined): IdentityMatch;
+//# sourceMappingURL=inspect.d.ts.map

package/dist/fiscal/credentials/inspect.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"inspect.d.ts","sourceRoot":"","sources":["../../../src/fiscal/credentials/inspect.ts"],"names":[],"mappings":"AAGA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAiDG;AAEH,8EAA8E;AAC9E,MAAM,MAAM,4BAA4B,GACtC,gBAAgB,GAAG,oBAAoB,GAAG,sBAAsB,GAAG,mBAAmB,CAAC;AAEzF,MAAM,WAAW,gBAAgB;IAC/B,6EAA6E;IAC7E,iBAAiB,EAAE,MAAM,CAAC;IAC1B,iBAAiB,EAAE,MAAM,GAAG,IAAI,CAAC;IACjC,gBAAgB,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,mFAAmF;IACnF,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,SAAS,EAAE,MAAM,CAAC;IAClB,OAAO,EAAE,MAAM,CAAC;IAChB,6DAA6D;IAC7D,OAAO,EAAE,OAAO,CAAC;IACjB;;;OAGG;IACH,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;CACzB;AAED,MAAM,MAAM,qBAAqB,GAC7B;IAAE,MAAM,EAAE,IAAI,CAAC;IAAC,KAAK,EAAE,gBAAgB,CAAA;CAAE,GACzC;IAAE,MAAM,EAAE,QAAQ,CAAC;IAAC,MAAM,EAAE,4BAA4B,CAAA;CAAE,CAAC;AAe/D;;;;;;GAMG;AACH;;;;;;;;;;;;GAYG;AACH,wBAAsB,aAAa,CACjC,GAAG,EAAE,MAAM,EACX,UAAU,EAAE,MAAM,GAAG,SAAS,GAC7B,OAAO,CAAC,qBAAqB,CAAC,CAyBhC;AA+GD;;;;;;;;;;;;;GAaG;AACH,MAAM,MAAM,aAAa,GAAG,OAAO,GAAG,UAAU,GAAG,eAAe,CAAC;AAEnE,wBAAgB,aAAa,CAC3B,mBAAmB,EAAE,MAAM,GAAG,IAAI,EAClC,cAAc,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,GACxC,aAAa,CAKf"}

package/dist/fiscal/credentials/inspect.js

@@ -0,0 +1,178 @@
+import { createSecureContext } from 'node:tls';
+import { X509Certificate } from 'node:crypto';
+/**
+ * OID 2.16.76.1.3.3 — o CNPJ da pessoa jurídica no `otherName` do
+ * `subjectAltName`, na forma que a ICP-Brasil padronizou (DOC-ICP-04).
+ *
+ * Em DER: tag `06`, comprimento `05`, e os componentes `2.16` colapsados em
+ * `0x60`. Procurar a sequência de bytes é mais confiável que ler
+ * `x509.subjectAltName`, que em várias versões do Node devolve `undefined` ou
+ * `othername:<unsupported>` justamente para os `otherName` do ICP-Brasil.
+ */
+const OID_CNPJ_ICP_BRASIL = Buffer.from([0x06, 0x05, 0x60, 0x4c, 0x01, 0x03, 0x03]);
+/** Janela de busca depois do OID: o valor vem logo em seguida, dentro do mesmo `otherName`. */
+const OID_VALUE_WINDOW = 48;
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ */
+/**
+ * Inspeciona o material, sem rede e sem disco.
+ *
+ * NUNCA lança: toda falha vira uma classe. Quem chama é uma rota de upload, e
+ * uma exceção com texto de OpenSSL atravessando até o handler é exatamente como
+ * o sujeito de um certificado acaba num log.
+ *
+ * `async` sem `await` é deliberado: o contrato é assíncrono porque a primeira
+ * implementação precisava de um handshake, e porque uma leitura de material
+ * criptográfico é o tipo de operação que pode voltar a precisar. Mudar a
+ * assinatura para síncrona obrigaria todo chamador a mudar junto, por nenhum
+ * ganho.
+ */
+export async function inspectPkcs12(pfx, passphrase) {
+    if (pfx.byteLength === 0)
+        return { status: 'failed', reason: 'malformed_material' };
+    // Primeiro portão: o contexto abre? Isto é a checagem de senha, e ela lança
+    // aqui — antes de existir qualquer outra coisa.
+    let context;
+    try {
+        context = createSecureContext({ pfx, passphrase, minVersion: 'TLSv1.2' });
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+    let der;
+    try {
+        der = certificateDerFrom(context);
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+    if (!der || der.byteLength === 0)
+        return { status: 'failed', reason: 'inspection_failed' };
+    try {
+        return { status: 'ok', facts: factsFrom(new X509Certificate(der)) };
+    }
+    catch (err) {
+        return { status: 'failed', reason: classify(err) };
+    }
+}
+/**
+ * O DER do certificado carregado no contexto.
+ *
+ * `context.getCertificate()` é o handle NATIVO do `SecureContext`, não a API
+ * pública documentada do Node. Por isso o acesso é defensivo em vez de direto: o
+ * dia em que uma versão do Node o renomear, o produto deve responder
+ * `inspection_failed` — e a suíte, que lê um PKCS#12 sintético de verdade, vai
+ * ficar vermelha na atualização, que é quando alguém pode agir.
+ *
+ * A alternativa — depender do binário `openssl` na imagem — troca este risco por
+ * um pior: uma falha que só aparece em produção, num contêiner onde ninguém
+ * conferiu o que está instalado.
+ */
+function certificateDerFrom(context) {
+    const handle = context.context;
+    const der = handle?.getCertificate?.();
+    return Buffer.isBuffer(der) ? der : null;
+}
+function factsFrom(cert) {
+    const validTo = new Date(cert.validTo);
+    return {
+        fingerprintSha256: cert.fingerprint256.replace(/:/g, '').toLowerCase(),
+        subjectCommonName: commonName(cert.subject),
+        issuerCommonName: commonName(cert.issuer),
+        serialTail: cert.serialNumber ? cert.serialNumber.slice(-8) : null,
+        validFrom: new Date(cert.validFrom).toISOString(),
+        validTo: validTo.toISOString(),
+        expired: validTo.getTime() <= Date.now(),
+        document: documentFrom(cert),
+    };
+}
+/** `CN=` do DN multilinha que o Node devolve. `null` quando não há. */
+function commonName(dn) {
+    if (!dn)
+        return null;
+    for (const line of dn.split('\n')) {
+        const m = /^\s*CN\s*=\s*(.+?)\s*$/.exec(line);
+        if (m?.[1])
+            return m[1];
+    }
+    return null;
+}
+/**
+ * O documento do titular, do material.
+ *
+ * Duas fontes, nesta ordem — e a ordem importa:
+ *
+ * 1. O `otherName` do OID da ICP-Brasil, varrido no DER. É onde a norma manda
+ *    escrever, é o que a Receita valida, e é o único lugar que não depende de
+ *    convenção de quem emitiu.
+ * 2. O sufixo `:<14 dígitos>` do `CN`, convenção quase universal dos e-CNPJ.
+ *
+ * Não há terceira fonte. Procurar "14 dígitos em qualquer lugar do sujeito"
+ * casaria com um CEP colado a um telefone e devolveria um CNPJ inventado — que
+ * é pior que `null`, porque `null` deixa a comparação `indeterminate` e essa é
+ * a resposta honesta.
+ */
+function documentFrom(cert) {
+    const fromOid = documentFromDer(cert.raw);
+    if (fromOid)
+        return fromOid;
+    const cn = commonName(cert.subject);
+    const m = cn ? /:(\d{11}|\d{14})\s*$/.exec(cn) : null;
+    return m?.[1] ?? null;
+}
+function documentFromDer(der) {
+    let from = 0;
+    for (;;) {
+        const at = der.indexOf(OID_CNPJ_ICP_BRASIL, from);
+        if (at < 0)
+            return null;
+        const window = der
+            .subarray(at + OID_CNPJ_ICP_BRASIL.length, at + OID_CNPJ_ICP_BRASIL.length + OID_VALUE_WINDOW)
+            .toString('latin1');
+        const digits = /(\d{14})/.exec(window);
+        if (digits?.[1])
+            return digits[1];
+        from = at + 1;
+    }
+}
+/**
+ * Traduz a falha do OpenSSL em classe, olhando SÓ os fragmentos conhecidos.
+ *
+ * A mensagem inteira nunca é propagada nem registrada. `mac verify failure` é a
+ * resposta do PKCS#12 a uma senha que não abre o MAC — é o único caso em que se
+ * pode dizer ao operador "a senha está errada" com alguma confiança.
+ */
+function classify(err) {
+    const raw = err instanceof Error ? err.message : '';
+    const message = raw.toLowerCase();
+    if (message.includes('mac verify failure') || message.includes('invalid password')) {
+        return 'wrong_password';
+    }
+    if (message.includes('not enough data') ||
+        message.includes('wrong tag') ||
+        message.includes('header too long') ||
+        message.includes('nested asn1') ||
+        message.includes('asn1')) {
+        return 'malformed_material';
+    }
+    if (message.includes('unsupported') || message.includes('unknown cipher')) {
+        return 'unsupported_material';
+    }
+    return 'inspection_failed';
+}
+export function matchIdentity(certificateDocument, clientDocument) {
+    const a = digitsOnly(certificateDocument);
+    const b = digitsOnly(clientDocument);
+    if (!a || !b)
+        return 'indeterminate';
+    return a === b ? 'match' : 'mismatch';
+}
+function digitsOnly(v) {
+    return (v ?? '').replace(/\D/g, '');
+}
+//# sourceMappingURL=inspect.js.map

package/dist/fiscal/credentials/inspect.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"inspect.js","sourceRoot":"","sources":["../../../src/fiscal/credentials/inspect.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,mBAAmB,EAAsB,MAAM,UAAU,CAAC;AACnE,OAAO,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AA+E9C;;;;;;;;GAQG;AACH,MAAM,mBAAmB,GAAG,MAAM,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC;AACpF,+FAA+F;AAC/F,MAAM,gBAAgB,GAAG,EAAE,CAAC;AAE5B;;;;;;GAMG;AACH;;;;;;;;;;;;GAYG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,GAAW,EACX,UAA8B;IAE9B,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;IAEpF,4EAA4E;IAC5E,gDAAgD;IAChD,IAAI,OAAsB,CAAC;IAC3B,IAAI,CAAC;QACH,OAAO,GAAG,mBAAmB,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,UAAU,EAAE,SAAS,EAAE,CAAC,CAAC;IAC5E,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IAED,IAAI,GAAkB,CAAC;IACvB,IAAI,CAAC;QACH,GAAG,GAAG,kBAAkB,CAAC,OAAO,CAAC,CAAC;IACpC,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;IACD,IAAI,CAAC,GAAG,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;QAAE,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAE3F,IAAI,CAAC;QACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,SAAS,CAAC,IAAI,eAAe,CAAC,GAAG,CAAC,CAAC,EAAE,CAAC;IACtE,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,MAAM,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,EAAE,CAAC;IACrD,CAAC;AACH,CAAC;AAED;;;;;;;;;;;;GAYG;AACH,SAAS,kBAAkB,CAAC,OAAsB;IAChD,MAAM,MAAM,GAAI,OAAuE,CAAC,OAAO,CAAC;IAChG,MAAM,GAAG,GAAG,MAAM,EAAE,cAAc,EAAE,EAAE,CAAC;IACvC,OAAO,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC;AAC3C,CAAC;AAED,SAAS,SAAS,CAAC,IAAqB;IACtC,MAAM,OAAO,GAAG,IAAI,IAAI,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACvC,OAAO;QACL,iBAAiB,EAAE,IAAI,CAAC,cAAc,CAAC,OAAO,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC,WAAW,EAAE;QACtE,iBAAiB,EAAE,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC;QAC3C,gBAAgB,EAAE,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC;QACzC,UAAU,EAAE,IAAI,CAAC,YAAY,CAAC,CAAC,CAAC,IAAI,CAAC,YAAY,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI;QAClE,SAAS,EAAE,IAAI,IAAI,CAAC,IAAI,CAAC,SAAS,CAAC,CAAC,WAAW,EAAE;QACjD,OAAO,EAAE,OAAO,CAAC,WAAW,EAAE;QAC9B,OAAO,EAAE,OAAO,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE;QACxC,QAAQ,EAAE,YAAY,CAAC,IAAI,CAAC;KAC7B,CAAC;AACJ,CAAC;AAED,uEAAuE;AACvE,SAAS,UAAU,CAAC,EAAsB;IACxC,IAAI,CAAC,EAAE;QAAE,OAAO,IAAI,CAAC;IACrB,KAAK,MAAM,IAAI,IAAI,EAAE,CAAC,KAAK,CAAC,IAAI,CAAC,EAAE,CAAC;QAClC,MAAM,CAAC,GAAG,wBAAwB,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;QAC9C,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,CAAC,CAAC,CAAC,CAAC,CAAC;IAC1B,CAAC;IACD,OAAO,IAAI,CAAC;AACd,CAAC;AAED;;;;;;;;;;;;;;GAcG;AACH,SAAS,YAAY,CAAC,IAAqB;IACzC,MAAM,OAAO,GAAG,eAAe,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;IAC1C,IAAI,OAAO;QAAE,OAAO,OAAO,CAAC;IAE5B,MAAM,EAAE,GAAG,UAAU,CAAC,IAAI,CAAC,OAAO,CAAC,CAAC;IACpC,MAAM,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,sBAAsB,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC;IACtD,OAAO,CAAC,EAAE,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC;AACxB,CAAC;AAED,SAAS,eAAe,CAAC,GAAW;IAClC,IAAI,IAAI,GAAG,CAAC,CAAC;IACb,SAAS,CAAC;QACR,MAAM,EAAE,GAAG,GAAG,CAAC,OAAO,CAAC,mBAAmB,EAAE,IAAI,CAAC,CAAC;QAClD,IAAI,EAAE,GAAG,CAAC;YAAE,OAAO,IAAI,CAAC;QACxB,MAAM,MAAM,GAAG,GAAG;aACf,QAAQ,CAAC,EAAE,GAAG,mBAAmB,CAAC,MAAM,EAAE,EAAE,GAAG,mBAAmB,CAAC,MAAM,GAAG,gBAAgB,CAAC;aAC7F,QAAQ,CAAC,QAAQ,CAAC,CAAC;QACtB,MAAM,MAAM,GAAG,UAAU,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC;QACvC,IAAI,MAAM,EAAE,CAAC,CAAC,CAAC;YAAE,OAAO,MAAM,CAAC,CAAC,CAAC,CAAC;QAClC,IAAI,GAAG,EAAE,GAAG,CAAC,CAAC;IAChB,CAAC;AACH,CAAC;AAED;;;;;;GAMG;AACH,SAAS,QAAQ,CAAC,GAAY;IAC5B,MAAM,GAAG,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,CAAC;IACpD,MAAM,OAAO,GAAG,GAAG,CAAC,WAAW,EAAE,CAAC;IAClC,IAAI,OAAO,CAAC,QAAQ,CAAC,oBAAoB,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,kBAAkB,CAAC,EAAE,CAAC;QACnF,OAAO,gBAAgB,CAAC;IAC1B,CAAC;IACD,IACE,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,WAAW,CAAC;QAC7B,OAAO,CAAC,QAAQ,CAAC,iBAAiB,CAAC;QACnC,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC;QAC/B,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAC,EACxB,CAAC;QACD,OAAO,oBAAoB,CAAC;IAC9B,CAAC;IACD,IAAI,OAAO,CAAC,QAAQ,CAAC,aAAa,CAAC,IAAI,OAAO,CAAC,QAAQ,CAAC,gBAAgB,CAAC,EAAE,CAAC;QAC1E,OAAO,sBAAsB,CAAC;IAChC,CAAC;IACD,OAAO,mBAAmB,CAAC;AAC7B,CAAC;AAkBD,MAAM,UAAU,aAAa,CAC3B,mBAAkC,EAClC,cAAyC;IAEzC,MAAM,CAAC,GAAG,UAAU,CAAC,mBAAmB,CAAC,CAAC;IAC1C,MAAM,CAAC,GAAG,UAAU,CAAC,cAAc,CAAC,CAAC;IACrC,IAAI,CAAC,CAAC,IAAI,CAAC,CAAC;QAAE,OAAO,eAAe,CAAC;IACrC,OAAO,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,UAAU,CAAC;AACxC,CAAC;AAED,SAAS,UAAU,CAAC,CAA4B;IAC9C,OAAO,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;AACtC,CAAC"}

package/dist/fiscal/credentials/material.js

@@ -1,5 +1,5 @@
 import { createHash } from 'node:crypto';
-import { revealSecret } from '../../vault/repository.js';
+import { revealWriteOnlySecretForProcess } from '../../vault/repository.js';
 import { FiscalSecretBoundaryError, assertFiscalSecretAccess, } from '../sync/secret-boundary.js';
 /**
  * Constrói o material a partir do envelope decifrado.
@@ -151,7 +151,7 @@ export async function loadFiscalTlsMaterial(tx, keyring, tenantId, input) {
         return { status: 'unavailable', reason: 'no_credential' };
     let secret;
     try {
-        ({ secret } = await revealSecret(tx, keyring, tenantId, pointer));
+        ({ secret } = await revealWriteOnlySecretForProcess(tx, keyring, tenantId, pointer));
     }
     catch {
         // Ponteiro pendurado, chave de cifra ausente, linha invisível sob RLS: os

package/dist/fiscal/credentials/material.js.map

@@ -1 +1 @@
-{"version":3,"file":"material.js","sourceRoot":"","sources":["../../../src/fiscal/credentials/material.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AAGzC,OAAO,EAAE,YAAY,EAAE,MAAM,2BAA2B,CAAC;AAGzD,OAAO,EACL,yBAAyB,EACzB,wBAAwB,GAEzB,MAAM,4BAA4B,CAAC;AAwDpC;;;;;GAKG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAAW;IAC1C,IAAI,QAA6B,CAAC;IAClC,IAAI,CAAC;QACH,QAAQ,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAwB,CAAC;IACpD,CAAC;IAAC,MAAM,CAAC;QACP,sEAAsE;QACtE,wDAAwD;QACxD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,IAAI,CAAC,QAAQ,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,CAAC,CAAC,QAAQ,IAAI,QAAQ,CAAC,EAAE,CAAC;QACzE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IAED,IAAI,CAAC;QACH,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YACjC,IAAI,OAAO,QAAQ,CAAC,QAAQ,KAAK,QAAQ,IAAI,QAAQ,CAAC,QAAQ,KAAK,EAAE,EAAE,CAAC;gBACtE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;YACrD,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;gBAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAC1F,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,EAAE,CAAC;QACtF,CAAC;QACD,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK,EAAE,CAAC;YAC9B,IAAI,OAAO,QAAQ,CAAC,IAAI,KAAK,QAAQ,IAAI,OAAO,QAAQ,CAAC,GAAG,KAAK,QAAQ,EAAE,CAAC;gBAC1E,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE,QAAQ,CAAC,CAAC;YAClD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAChD,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,QAAQ,CAAC,CAAC,CAAC;YACpE,IAAI,IAAI,CAAC,UAAU,KAAK,CAAC,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC,EAAE,CAAC;gBAClD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC;QAC/D,CAAC;IACH,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;AACjE,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,KAMf;IACC,MAAM,QAAQ,GAAG,KAAK,CAAC,GAAG,IAAI,KAAK,CAAC,IAAI,IAAI,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC5D,MAAM,iBAAiB,GAAG,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IAC9E,IAAI,QAAQ,GAAG,KAAK,CAAC;IAErB,OAAO;QACL,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,KAAK,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC7D,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC3C,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,EAAE,IAAI,KAAK,CAAC,EAAE,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC5D,iBAAiB;QACjB,OAAO;YACL,IAAI,QAAQ;gBAAE,OAAO;YACrB,QAAQ,GAAG,IAAI,CAAC;YAChB,0EAA0E;YAC1E,+DAA+D;YAC/D,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,MAAM,CAAC,IAAI,KAAK,CAAC,EAAE,IAAI,EAAE;gBAAE,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QAC5C,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAIC;IAED,wBAAwB,CAAC,KAAK,CAAC,aAAa,EAAE,uBAAuB,CAAC,CAAC;IACvE;;;;;;;;;;;;;;;;;OAiBG;IACH,IACE,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,QAAQ;QACzC,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,EAC/C,CAAC;QACD,MAAM,IAAI,yBAAyB,CAAC,6BAA6B,CAAC,CAAC;IACrE,CAAC;IACD,MAAM,QAAQ,GAAG,KAAK,CAAC,IAAI,KAAK,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAE/D,IAAI,IAA8C,CAAC;IACnD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA0C;;;2BAGlC,KAAK,CAAC,QAAQ;2BACd,QAAQ;;;;KAI9B,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,KAAK,OAAO,IAAI,IAAI,KAAK,OAAO,EAAE,CAAC;YACzC,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;QAC5D,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;IAED,MAAM,OAAO,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,mBAAmB,CAAC;IAC7C,IAAI,CAAC,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;IAExE,IAAI,MAAc,CAAC;IACnB,IAAI,CAAC;QACH,CAAC,EAAE,MAAM,EAAE,GAAG,MAAM,YAAY,CAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;IACpE,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,yEAAyE;QACzE,iEAAiE;QACjE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAChE,CAAC;IAED,OAAO,gBAAgB,CAAC,MAAM,CAAC,CAAC;AAClC,CAAC"}
+{"version":3,"file":"material.js","sourceRoot":"","sources":["../../../src/fiscal/credentials/material.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AAGzC,OAAO,EAAE,+BAA+B,EAAE,MAAM,2BAA2B,CAAC;AAG5E,OAAO,EACL,yBAAyB,EACzB,wBAAwB,GAEzB,MAAM,4BAA4B,CAAC;AAwDpC;;;;;GAKG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAAW;IAC1C,IAAI,QAA6B,CAAC;IAClC,IAAI,CAAC;QACH,QAAQ,GAAG,IAAI,CAAC,KAAK,CAAC,GAAG,CAAwB,CAAC;IACpD,CAAC;IAAC,MAAM,CAAC;QACP,sEAAsE;QACtE,wDAAwD;QACxD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,IAAI,CAAC,QAAQ,IAAI,OAAO,QAAQ,KAAK,QAAQ,IAAI,CAAC,CAAC,QAAQ,IAAI,QAAQ,CAAC,EAAE,CAAC;QACzE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IAED,IAAI,CAAC;QACH,IAAI,QAAQ,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YACjC,IAAI,OAAO,QAAQ,CAAC,QAAQ,KAAK,QAAQ,IAAI,QAAQ,CAAC,QAAQ,KAAK,EAAE,EAAE,CAAC;gBACtE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,QAAQ,EAAE,QAAQ,CAAC,CAAC;YACrD,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC;gBAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAC1F,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,GAAG,EAAE,UAAU,EAAE,QAAQ,CAAC,UAAU,EAAE,CAAC,EAAE,CAAC;QACtF,CAAC;QACD,IAAI,QAAQ,CAAC,MAAM,KAAK,KAAK,EAAE,CAAC;YAC9B,IAAI,OAAO,QAAQ,CAAC,IAAI,KAAK,QAAQ,IAAI,OAAO,QAAQ,CAAC,GAAG,KAAK,QAAQ,EAAE,CAAC;gBAC1E,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,IAAI,EAAE,QAAQ,CAAC,CAAC;YAClD,MAAM,GAAG,GAAG,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;YAChD,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,QAAQ,CAAC,CAAC,CAAC;YACpE,IAAI,IAAI,CAAC,UAAU,KAAK,CAAC,IAAI,GAAG,CAAC,UAAU,KAAK,CAAC,EAAE,CAAC;gBAClD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;YAClE,CAAC;YACD,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,IAAI,EAAE,GAAG,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC;QAC/D,CAAC;IACH,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAClE,CAAC;IACD,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,oBAAoB,EAAE,CAAC;AACjE,CAAC;AAED;;;;;;GAMG;AACH,SAAS,MAAM,CAAC,KAMf;IACC,MAAM,QAAQ,GAAG,KAAK,CAAC,GAAG,IAAI,KAAK,CAAC,IAAI,IAAI,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC5D,MAAM,iBAAiB,GAAG,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;IAC9E,IAAI,QAAQ,GAAG,KAAK,CAAC;IAErB,OAAO;QACL,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,KAAK,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC7D,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,KAAK,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC3C,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,KAAK,CAAC,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACxC,GAAG,CAAC,KAAK,CAAC,EAAE,IAAI,KAAK,CAAC,EAAE,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,EAAE,EAAE,KAAK,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC5D,iBAAiB;QACjB,OAAO;YACL,IAAI,QAAQ;gBAAE,OAAO;YACrB,QAAQ,GAAG,IAAI,CAAC;YAChB,0EAA0E;YAC1E,+DAA+D;YAC/D,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACpB,KAAK,CAAC,GAAG,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC;YACnB,KAAK,MAAM,CAAC,IAAI,KAAK,CAAC,EAAE,IAAI,EAAE;gBAAE,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QAC5C,CAAC;KACF,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;GAqBG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAIC;IAED,wBAAwB,CAAC,KAAK,CAAC,aAAa,EAAE,uBAAuB,CAAC,CAAC;IACvE;;;;;;;;;;;;;;;;;OAiBG;IACH,IACE,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,QAAQ;QACzC,KAAK,CAAC,aAAa,CAAC,QAAQ,KAAK,KAAK,CAAC,QAAQ,EAC/C,CAAC;QACD,MAAM,IAAI,yBAAyB,CAAC,6BAA6B,CAAC,CAAC;IACrE,CAAC;IACD,MAAM,QAAQ,GAAG,KAAK,CAAC,IAAI,KAAK,gBAAgB,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;IAE/D,IAAI,IAA8C,CAAC;IACnD,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,EAAE,CAA0C;;;2BAGlC,KAAK,CAAC,QAAQ;2BACd,QAAQ;;;;KAI9B,CAAC;IACJ,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,MAAM,IAAI,GAAI,GAAgC,EAAE,IAAI,CAAC;QACrD,IAAI,IAAI,KAAK,OAAO,IAAI,IAAI,KAAK,OAAO,EAAE,CAAC;YACzC,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;QAC5D,CAAC;QACD,MAAM,GAAG,CAAC;IACZ,CAAC;IAED,MAAM,OAAO,GAAG,IAAI,CAAC,CAAC,CAAC,EAAE,mBAAmB,CAAC;IAC7C,IAAI,CAAC,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,eAAe,EAAE,CAAC;IAExE,IAAI,MAAc,CAAC;IACnB,IAAI,CAAC;QACH,CAAC,EAAE,MAAM,EAAE,GAAG,MAAM,+BAA+B,CAAC,EAAE,EAAE,OAAO,EAAE,QAAQ,EAAE,OAAO,CAAC,CAAC,CAAC;IACvF,CAAC;IAAC,MAAM,CAAC;QACP,0EAA0E;QAC1E,yEAAyE;QACzE,iEAAiE;QACjE,OAAO,EAAE,MAAM,EAAE,aAAa,EAAE,MAAM,EAAE,mBAAmB,EAAE,CAAC;IAChE,CAAC;IAED,OAAO,gBAAgB,CAAC,MAAM,CAAC,CAAC;AAClC,CAAC"}

package/dist/fiscal/credentials/onboarding.d.ts

@@ -0,0 +1,119 @@
+import type { Tx } from '../../db/client.js';
+import type { Keyring } from '../../vault/crypto.js';
+import { type IdentityMatch } from './inspect.js';
+/**
+ * O caminho de entrada do certificado digital — o único.
+ *
+ * ## O que esta frente entrega, e por que ela existe
+ *
+ * Até aqui o produto sabia USAR um certificado (`material.ts`) e sabia dizer se
+ * ele estava pronto (`readiness.ts`). O que não existia era como ele ENTRA:
+ * `POST /v1/compliance/certificates` aceitava um `vaultCredentialId` já
+ * existente, e nada no produto criava esse ponteiro. Na prática, a única forma
+ * de cadastrar um A1 era alguém colar o base64 do `.pfx` — e a senha — na tela
+ * genérica do cofre, ou digitá-los num terminal.
+ *
+ * Uma senha de certificado digitada num terminal é uma senha no histórico do
+ * shell, no scrollback e, se o comando falhar, na mensagem de erro. O objetivo
+ * declarado desta fase é que ela nunca precise sair do navegador.
+ *
+ * ## Três recusas que acontecem ANTES de qualquer escrita
+ *
+ * **Senha que não abre.** Sem isso, o cadastro fica `active` e o defeito só
+ * aparece no dia em que o worker apresentar o material à Receita.
+ *
+ * **Certificado vencido.** Guardar material vencido é assumir o risco de
+ * custodiar uma chave privada sem nenhum uso possível em troca.
+ *
+ * **Certificado de outra empresa.** É o caso que a arquitetura precisa impedir
+ * em silêncio total: cliente A com o certificado da empresa B consulta a Receita
+ * em nome de quem não autorizou. Aqui ele exige assinatura — nome e motivo —, e
+ * a 0060 repete a exigência como CHECK, para o caminho que ainda não foi escrito.
+ *
+ * ## O que NUNCA sai daqui
+ *
+ * Nenhum retorno desta função carrega material nem senha. O que volta é
+ * metadata: sujeito, emissor, validade, impressão digital e estado. É essa
+ * estrutura que a tela mostra, e é por isso que ela não tem como mostrar mais.
+ */
+export type CertificateRejection = 'wrong_password' | 'malformed_material' | 'unsupported_material' | 'inspection_failed' | 'expired' | 'identity_mismatch' | 'client_not_found';
+/** Metadata segura para tela, trilha e resposta de API. Nunca há material aqui. */
+export interface FiscalCertificateSummary {
+    id: string;
+    clientId: string;
+    certType: 'A1' | 'A3';
+    status: string;
+    subjectCommonName: string | null;
+    issuerCommonName: string | null;
+    serialTail: string | null;
+    /** sha256 do certificado apresentado, truncado — identifica sem revelar. */
+    fingerprint: string;
+    certificateDocument: string | null;
+    identityMatch: IdentityMatch;
+    identityOverrideReason: string | null;
+    issuedAt: string | null;
+    expiresOn: string;
+    uploadedAt: string | null;
+    /** Já exercido contra o ambiente oficial? Preenchido por execução, nunca aqui. */
+    verifiedAt: string | null;
+    /** `true` quando esta chamada substituiu material que já existia. */
+    replaced: boolean;
+}
+export type CertificateOnboardingResult = {
+    status: 'stored';
+    certificate: FiscalCertificateSummary;
+} | {
+    status: 'rejected';
+    reason: CertificateRejection;
+    identityMatch?: IdentityMatch;
+};
+export interface CertificateOnboardingInput {
+    clientId: string;
+    certType?: 'A1' | 'A3';
+    /** O `.pfx`/`.p12` em bytes. Nunca um caminho de arquivo: não há arquivo. */
+    material: Buffer;
+    passphrase?: string;
+    actorId: string;
+    /**
+     * A assinatura humana que destrava um titular divergente. Sem ela, divergência
+     * é recusa — e é assim que "cliente A + certificado B" deixa de ser possível
+     * por distração.
+     */
+    identityOverrideReason?: string;
+}
+/**
+ * Nome determinístico da credencial no cofre.
+ *
+ * Determinístico porque a substituição precisa ENCONTRAR o que já existe: o
+ * índice único do cofre é `(tenant, cliente, lower(nome))`, e um nome novo a
+ * cada upload deixaria uma trilha de chaves privadas órfãs, todas ainda
+ * decifráveis, nenhuma referenciada.
+ */
+export declare function fiscalCertificateCredentialName(clientId: string, certType: 'A1' | 'A3'): string;
+export declare function onboardFiscalCertificate(tx: Tx, keyring: Keyring, tenantId: string, input: CertificateOnboardingInput): Promise<CertificateOnboardingResult>;
+/** Os certificados de um cliente, só metadata. É o que a tela lê. */
+export declare function listFiscalCertificates(tx: Tx, clientId: string): Promise<FiscalCertificateSummary[]>;
+/**
+ * Revoga o uso do certificado DENTRO deste produto.
+ *
+ * Não toca a ICP-Brasil, e é por isso que a função se chama assim. Revogar de
+ * verdade um certificado é um ato junto à Autoridade Certificadora que o emitiu;
+ * apagar a linha daqui apenas garante que este produto pare de apresentá-lo. A
+ * tela repete a distinção, porque um operador que acredite ter revogado o
+ * certificado do cliente não vai à AC — e o certificado segue válido no mundo.
+ *
+ * O material sai do cofre no mesmo movimento (`deleted_at`), de modo que a
+ * revogação não deixa chave privada decifrável para trás.
+ */
+export declare function revokeFiscalCertificate(tx: Tx, clientId: string, certificateId: string): Promise<{
+    revoked: boolean;
+}>;
+/**
+ * Impressão digital do material recebido, antes de qualquer decisão.
+ *
+ * Serve à trilha do upload recusado: registrar "tentaram subir algo" sem
+ * registrar o quê. É o mesmo cálculo de `material.ts`, e é seguro por
+ * construção — um hash não volta a ser um certificado.
+ */
+export declare function materialFingerprint(material: Buffer): string;
+//# sourceMappingURL=onboarding.d.ts.map

package/dist/fiscal/credentials/onboarding.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"onboarding.d.ts","sourceRoot":"","sources":["../../../src/fiscal/credentials/onboarding.ts"],"names":[],"mappings":"AAEA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,oBAAoB,CAAC;AAC7C,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,uBAAuB,CAAC;AAErD,OAAO,EAAgC,KAAK,aAAa,EAAE,MAAM,cAAc,CAAC;AAEhF;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AAEH,MAAM,MAAM,oBAAoB,GAC5B,gBAAgB,GAChB,oBAAoB,GACpB,sBAAsB,GACtB,mBAAmB,GACnB,SAAS,GACT,mBAAmB,GACnB,kBAAkB,CAAC;AAEvB,mFAAmF;AACnF,MAAM,WAAW,wBAAwB;IACvC,EAAE,EAAE,MAAM,CAAC;IACX,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,EAAE,IAAI,GAAG,IAAI,CAAC;IACtB,MAAM,EAAE,MAAM,CAAC;IACf,iBAAiB,EAAE,MAAM,GAAG,IAAI,CAAC;IACjC,gBAAgB,EAAE,MAAM,GAAG,IAAI,CAAC;IAChC,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,4EAA4E;IAC5E,WAAW,EAAE,MAAM,CAAC;IACpB,mBAAmB,EAAE,MAAM,GAAG,IAAI,CAAC;IACnC,aAAa,EAAE,aAAa,CAAC;IAC7B,sBAAsB,EAAE,MAAM,GAAG,IAAI,CAAC;IACtC,QAAQ,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,SAAS,EAAE,MAAM,CAAC;IAClB,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,kFAAkF;IAClF,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,qEAAqE;IACrE,QAAQ,EAAE,OAAO,CAAC;CACnB;AAED,MAAM,MAAM,2BAA2B,GACnC;IAAE,MAAM,EAAE,QAAQ,CAAC;IAAC,WAAW,EAAE,wBAAwB,CAAA;CAAE,GAC3D;IAAE,MAAM,EAAE,UAAU,CAAC;IAAC,MAAM,EAAE,oBAAoB,CAAC;IAAC,aAAa,CAAC,EAAE,aAAa,CAAA;CAAE,CAAC;AAExF,MAAM,WAAW,0BAA0B;IACzC,QAAQ,EAAE,MAAM,CAAC;IACjB,QAAQ,CAAC,EAAE,IAAI,GAAG,IAAI,CAAC;IACvB,6EAA6E;IAC7E,QAAQ,EAAE,MAAM,CAAC;IACjB,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,OAAO,EAAE,MAAM,CAAC;IAChB;;;;OAIG;IACH,sBAAsB,CAAC,EAAE,MAAM,CAAC;CACjC;AAOD;;;;;;;GAOG;AACH,wBAAgB,+BAA+B,CAAC,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,IAAI,GAAG,IAAI,GAAG,MAAM,CAE/F;AAED,wBAAsB,wBAAwB,CAC5C,EAAE,EAAE,EAAE,EACN,OAAO,EAAE,OAAO,EAChB,QAAQ,EAAE,MAAM,EAChB,KAAK,EAAE,0BAA0B,GAChC,OAAO,CAAC,2BAA2B,CAAC,CA0HtC;AAiHD,qEAAqE;AACrE,wBAAsB,sBAAsB,CAC1C,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,GACf,OAAO,CAAC,wBAAwB,EAAE,CAAC,CAQrC;AAED;;;;;;;;;;;GAWG;AACH,wBAAsB,uBAAuB,CAC3C,EAAE,EAAE,EAAE,EACN,QAAQ,EAAE,MAAM,EAChB,aAAa,EAAE,MAAM,GACpB,OAAO,CAAC;IAAE,OAAO,EAAE,OAAO,CAAA;CAAE,CAAC,CAgB/B;AAED;;;;;;GAMG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,GAAG,MAAM,CAE5D"}