@devlas/dte-sii 2.12.9 → 2.12.12

package/CafSolicitor.js

@@ -224,6 +224,8 @@ class CafSolicitor {
       // parsear <form action> + hidden fields → submit con esos campos + los propios.
       const authResponse = await this.session.ensureSession('/cvc_cgi/dte/of_solicita_folios');
 
+      this._saveDebug(debugDir, 'step0-ensureSession.html', authResponse.body || '');
+
       let response;
       if (this._requiresAuthentication(authResponse.body)) {
         // Sesión sigue inválida tras ensureSession — el chequeo de más abajo
@@ -235,6 +237,8 @@ class CafSolicitor {
         response = await this.session.submitForm(formAction, { ...hiddenFields, ...fields });
       }
 
+      this._saveDebug(debugDir, 'step1-submit.html', response.body || '');
+
       // Guardar sesión para reutilización
       if (this.sessionPath) {
         this.session.saveSession(this.sessionPath);
@@ -371,6 +375,19 @@ class CafSolicitor {
    */
   async _processMultiStepFlow(response, rut, dv, tipoDte, cantidad, debugDir) {
     let currentHtml = response.body || '';
+    const realFormAction = SiiSession.extractFormAction(currentHtml);
+
+    // Si el <form> real ya apunta a of_confirma_folio, el SII preseleccionó
+    // COD_DOCTO server-side (coincide con el tipoDte enviado en el paso 1) y no
+    // hace falta pasar por of_solicita_folios_dcto. Ese endpoint solo se dispara
+    // vía JS (changeRegregion) si el usuario cambia el <select> a mano — su sola
+    // presencia como string dentro de un <script> no significa que sea el
+    // próximo paso real. Ir directo a _processStep3, que ya arma COD_DOCTO/
+    // CANT_DOCTOS explícitamente (extractInputValues no lee <select>, así que
+    // dejarlo entrar a la rama de abajo pierde el tipo de documento).
+    if (realFormAction && realFormAction.includes('of_confirma_folio')) {
+      return this._processStep3(response, rut, dv, tipoDte, cantidad, debugDir);
+    }
 
     // Paso 2: of_solicita_folios_dcto
     if (currentHtml.includes('of_solicita_folios_dcto')) {

package/SiiSession.js

@@ -14,6 +14,8 @@ const {
   loadPfxFromBuffer,
   loadPfxFromFile,
   createTlsOptions,
+  createTlsAgent,
+  createTlsAgentFromPem,
   validateAmbiente,
   getHost,
   createScopedLogger,
@@ -44,6 +46,10 @@ class SiiSession {
     this.baseHost = getHost(this.ambiente);
     this.cookieJar = '';
     this.tlsOptions = null;
+    // Agent nativo con el certificado + flags TLS legacy del SII. got no reenvía
+    // secureOptions/maxVersion a través de su opción `https` bajo ningún nombre de
+    // clave, así que estos flags solo se pueden aplicar vía un https.Agent nativo.
+    this.tlsAgent = null;
 
     // Configurar TLS desde certificado
     if (options.certificado) {
@@ -61,15 +67,19 @@ class SiiSession {
    */
   _configureTlsFromCertificado(certificado) {
     try {
+      const keyPem = certificado.getPrivateKeyPEM();
+      const certPem = certificado.getCertificatePEM();
       this.tlsOptions = {
-        key: certificado.getPrivateKeyPEM(),
-        cert: certificado.getCertificatePEM(),
-        certificate: certificado.getCertificatePEM(),
+        key: keyPem,
+        cert: certPem,
+        certificate: certPem,
         rejectUnauthorized: false,
       };
+      this.tlsAgent = createTlsAgentFromPem(keyPem, certPem);
     } catch (error) {
       log.error('Error configurando TLS desde certificado:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -81,9 +91,11 @@ class SiiSession {
     try {
       const pfxData = loadPfxFromBuffer(pfxBuffer, password);
       this.tlsOptions = createTlsOptions(pfxData);
+      this.tlsAgent = createTlsAgent(pfxData);
     } catch (error) {
       log.error('Error configurando TLS desde PFX:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -95,9 +107,11 @@ class SiiSession {
     try {
       const pfxData = loadPfxFromFile(pfxPath, password);
       this.tlsOptions = createTlsOptions(pfxData);
+      this.tlsAgent = createTlsAgent(pfxData);
     } catch (error) {
       log.error('Error configurando TLS desde archivo PFX:', error.message);
       this.tlsOptions = null;
+      this.tlsAgent = null;
     }
   }
 
@@ -215,6 +229,11 @@ class SiiSession {
       followRedirect: false,
       throwHttpErrors: false,
       https: this.tlsOptions || { rejectUnauthorized: false },
+      // got remapea `https` a un set fijo de claves y NO reenvía secureOptions/
+      // maxVersion bajo ningún nombre — sin el Agent nativo aquí, el certificado
+      // cliente se autentica con handshake TLS incompleto contra el SII (ver
+      // utils/pfx.js createTlsAgent).
+      ...(this.tlsAgent ? { agent: { https: this.tlsAgent } } : {}),
       responseType: 'buffer',
       timeout: { request: options.timeoutMs ?? 20000 },
     });
@@ -437,6 +456,22 @@ class SiiSession {
       }
     }
 
+    // Pantalla "ESCOJA COMO DESEA INGRESAR" — aparece cuando el certificado está
+    // habilitado para representación electrónica de otros RUT. No es un fallo de
+    // autenticación (aunque su <title> genérico "Autenticación" coincida con el
+    // check de más arriba y por eso el caller podría malinterpretarlo como tal):
+    // hay que seguir el link "Continuar" (GET al mismo recurso) para llegar al
+    // formulario real.
+    if (response.body && response.body.includes('ESCOJA COMO DESEA INGRESAR')) {
+      const continuarMatch = response.body.match(/<a\s+href="([^"]+)"[^>]*>\s*Continuar\s*<\/a>/i);
+      if (continuarMatch) {
+        const continuarUrl = new URL(continuarMatch[1], targetUrl).toString();
+        const continuado = await this.request(continuarUrl, { method: 'GET' });
+        const continuadoResult = await this.followRedirects(continuado);
+        response = continuadoResult.response;
+      }
+    }
+
     // Si hay redirección a af_anular1
     if (response.body && response.body.includes('/cvc_cgi/dte/af_anular1')) {
       const continued = await this.request(targetUrl, { method: 'GET' });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@devlas/dte-sii",
-  "version": "2.12.9",
+  "version": "2.12.12",
   "description": "Facturación y boletas electrónicas para el SII de Chile. Genera, timbra, firma y envía DTEs, libros electrónicos y automatiza la certificación.",
   "main": "index.js",
   "types": "dte-sii.d.ts",

package/utils/pfx.js

@@ -10,9 +10,24 @@
  */
 
 const fs = require('fs');
+const https = require('https');
+const crypto = require('crypto');
 const forge = require('node-forge');
 const { certError, ERROR_CODES } = require('./error');
 
+/**
+ * Flags TLS que la infraestructura legacy del SII requiere para completar la
+ * autenticación con certificado cliente (mismo set que SiiPortalAuth.SII_TLS_OPTS).
+ * Sin `maxVersion: 'TLSv1.2'` + renegociación insegura habilitada, el handshake
+ * de client-cert contra los servidores del SII no se completa correctamente.
+ */
+const SII_LEGACY_TLS_FLAGS = {
+  maxVersion: 'TLSv1.2',
+  secureOptions:
+    crypto.constants.SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION |
+    crypto.constants.SSL_OP_LEGACY_SERVER_CONNECT,
+};
+
 /**
  * Resultado de cargar un PFX
  * @typedef {Object} PfxData
@@ -217,17 +232,56 @@ function getDaysUntilExpiry(notAfter) {
 
 /**
  * Crear opciones TLS desde datos PFX
+ *
+ * IMPORTANTE: `got` (usado por SiiSession) remapea su opción `https` a un set
+ * fijo de claves y solo reconoce `certificate` para el certificado cliente —
+ * NO `cert` (ver got/dist/source/core/index.js, "HTTPS options remapping").
+ * Se incluyen ambas claves (`cert` para consumidores que usan `https` nativo,
+ * `certificate` para got) para que el certificado se envíe en ambos casos.
+ *
  * @param {PfxData} pfxData - Datos del PFX
  * @returns {Object} Opciones TLS para https/got
  */
 function createTlsOptions(pfxData) {
+  const certPem = pfxData.certificateChainPem || pfxData.certificatePem;
   return {
     key: pfxData.privateKeyPem,
-    cert: pfxData.certificateChainPem || pfxData.certificatePem,
+    cert: certPem,
+    certificate: certPem,
     rejectUnauthorized: false,
   };
 }
 
+/**
+ * Crea un https.Agent nativo con el certificado cliente + los flags TLS legacy
+ * que el SII requiere. `got` no reenvía `secureOptions`/`maxVersion` a través de
+ * su opción `https` bajo ningún nombre de clave — la única forma de aplicarlos
+ * es con un Agent nativo pasado como `agent.https` en las opciones de got.
+ *
+ * @param {PfxData} pfxData - Datos del PFX
+ * @returns {https.Agent}
+ */
+function createTlsAgent(pfxData) {
+  return createTlsAgentFromPem(pfxData.privateKeyPem, pfxData.certificateChainPem || pfxData.certificatePem);
+}
+
+/**
+ * Crea un https.Agent nativo desde un par key/cert PEM ya extraído (ej. desde
+ * una instancia de Certificado), con los mismos flags legacy que createTlsAgent.
+ *
+ * @param {string} keyPem
+ * @param {string} certPem
+ * @returns {https.Agent}
+ */
+function createTlsAgentFromPem(keyPem, certPem) {
+  return new https.Agent({
+    ...SII_LEGACY_TLS_FLAGS,
+    key: keyPem,
+    cert: certPem,
+    rejectUnauthorized: false,
+  });
+}
+
 module.exports = {
   loadPfxFromBuffer,
   loadPfxFromFile,
@@ -236,4 +290,6 @@ module.exports = {
   isCertificateExpired,
   getDaysUntilExpiry,
   createTlsOptions,
+  createTlsAgent,
+  createTlsAgentFromPem,
 };