@devlas/dte-sii 2.12.9 → 2.12.10

package/SiiSession.js

@@ -14,6 +14,8 @@ const {
   loadPfxFromBuffer,
   loadPfxFromFile,
   createTlsOptions,
+  createTlsAgent,
+  createTlsAgentFromPem,
   validateAmbiente,
   getHost,
   createScopedLogger,
@@ -44,6 +46,10 @@ class SiiSession {
     this.baseHost = getHost(this.ambiente);
     this.cookieJar = '';
     this.tlsOptions = null;
+    // Agent nativo con el certificado + flags TLS legacy del SII. got no reenvía
+    // secureOptions/maxVersion a través de su opción `https` bajo ningún nombre de
+    // clave, así que estos flags solo se pueden aplicar vía un https.Agent nativo.
+    this.tlsAgent = null;
 
     // Configurar TLS desde certificado
     if (options.certificado) {
@@ -61,15 +67,19 @@ class SiiSession {
    */
   _configureTlsFromCertificado(certificado) {
     try {
+      const keyPem = certificado.getPrivateKeyPEM();
+      const certPem = certificado.getCertificatePEM();
       this.tlsOptions = {
-        key: certificado.getPrivateKeyPEM(),
-        cert: certificado.getCertificatePEM(),
-        certificate: certificado.getCertificatePEM(),
+        key: keyPem,
+        cert: certPem,
+        certificate: certPem,
         rejectUnauthorized: false,
       };
+      this.tlsAgent = createTlsAgentFromPem(keyPem, certPem);
     } catch (error) {
       log.error('Error configurando TLS desde certificado:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -81,9 +91,11 @@ class SiiSession {
     try {
       const pfxData = loadPfxFromBuffer(pfxBuffer, password);
       this.tlsOptions = createTlsOptions(pfxData);
+      this.tlsAgent = createTlsAgent(pfxData);
     } catch (error) {
       log.error('Error configurando TLS desde PFX:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -95,9 +107,11 @@ class SiiSession {
     try {
       const pfxData = loadPfxFromFile(pfxPath, password);
       this.tlsOptions = createTlsOptions(pfxData);
+      this.tlsAgent = createTlsAgent(pfxData);
     } catch (error) {
       log.error('Error configurando TLS desde archivo PFX:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -215,6 +229,11 @@ class SiiSession {
       followRedirect: false,
       throwHttpErrors: false,
       https: this.tlsOptions || { rejectUnauthorized: false },
+      // got remapea `https` a un set fijo de claves y NO reenvía secureOptions/
+      // maxVersion bajo ningún nombre — sin el Agent nativo aquí, el certificado
+      // cliente se autentica con handshake TLS incompleto contra el SII (ver
+      // utils/pfx.js createTlsAgent).
+      ...(this.tlsAgent ? { agent: { https: this.tlsAgent } } : {}),
       responseType: 'buffer',
       timeout: { request: options.timeoutMs ?? 20000 },
     });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@devlas/dte-sii",
-  "version": "2.12.9",
+  "version": "2.12.10",
   "description": "Facturación y boletas electrónicas para el SII de Chile. Genera, timbra, firma y envía DTEs, libros electrónicos y automatiza la certificación.",
   "main": "index.js",
   "types": "dte-sii.d.ts",

package/utils/pfx.js

@@ -10,9 +10,24 @@
  */
 
 const fs = require('fs');
+const https = require('https');
+const crypto = require('crypto');
 const forge = require('node-forge');
 const { certError, ERROR_CODES } = require('./error');
 
+/**
+ * Flags TLS que la infraestructura legacy del SII requiere para completar la
+ * autenticación con certificado cliente (mismo set que SiiPortalAuth.SII_TLS_OPTS).
+ * Sin `maxVersion: 'TLSv1.2'` + renegociación insegura habilitada, el handshake
+ * de client-cert contra los servidores del SII no se completa correctamente.
+ */
+const SII_LEGACY_TLS_FLAGS = {
+  maxVersion: 'TLSv1.2',
+  secureOptions:
+    crypto.constants.SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION |
+    crypto.constants.SSL_OP_LEGACY_SERVER_CONNECT,
+};
+
 /**
  * Resultado de cargar un PFX
  * @typedef {Object} PfxData
@@ -217,17 +232,56 @@ function getDaysUntilExpiry(notAfter) {
 
 /**
  * Crear opciones TLS desde datos PFX
+ *
+ * IMPORTANTE: `got` (usado por SiiSession) remapea su opción `https` a un set
+ * fijo de claves y solo reconoce `certificate` para el certificado cliente —
+ * NO `cert` (ver got/dist/source/core/index.js, "HTTPS options remapping").
+ * Se incluyen ambas claves (`cert` para consumidores que usan `https` nativo,
+ * `certificate` para got) para que el certificado se envíe en ambos casos.
+ *
  * @param {PfxData} pfxData - Datos del PFX
  * @returns {Object} Opciones TLS para https/got
  */
 function createTlsOptions(pfxData) {
+  const certPem = pfxData.certificateChainPem || pfxData.certificatePem;
   return {
     key: pfxData.privateKeyPem,
-    cert: pfxData.certificateChainPem || pfxData.certificatePem,
+    cert: certPem,
+    certificate: certPem,
     rejectUnauthorized: false,
   };
 }
 
+/**
+ * Crea un https.Agent nativo con el certificado cliente + los flags TLS legacy
+ * que el SII requiere. `got` no reenvía `secureOptions`/`maxVersion` a través de
+ * su opción `https` bajo ningún nombre de clave — la única forma de aplicarlos
+ * es con un Agent nativo pasado como `agent.https` en las opciones de got.
+ *
+ * @param {PfxData} pfxData - Datos del PFX
+ * @returns {https.Agent}
+ */
+function createTlsAgent(pfxData) {
+  return createTlsAgentFromPem(pfxData.privateKeyPem, pfxData.certificateChainPem || pfxData.certificatePem);
+}
+
+/**
+ * Crea un https.Agent nativo desde un par key/cert PEM ya extraído (ej. desde
+ * una instancia de Certificado), con los mismos flags legacy que createTlsAgent.
+ *
+ * @param {string} keyPem
+ * @param {string} certPem
+ * @returns {https.Agent}
+ */
+function createTlsAgentFromPem(keyPem, certPem) {
+  return new https.Agent({
+    ...SII_LEGACY_TLS_FLAGS,
+    key: keyPem,
+    cert: certPem,
+    rejectUnauthorized: false,
+  });
+}
+
 module.exports = {
   loadPfxFromBuffer,
   loadPfxFromFile,
@@ -236,4 +290,6 @@ module.exports = {
   isCertificateExpired,
   getDaysUntilExpiry,
   createTlsOptions,
+  createTlsAgent,
+  createTlsAgentFromPem,
 };