@devlas/dte-sii 2.15.0 → 2.16.0

package/CafSolicitor.js

@@ -37,7 +37,7 @@ class CafSolicitor {
   /**
    * @param {Object} options - Opciones de configuración
    * @param {string} options.ambiente - 'certificacion' o 'produccion'
-   * @param {string} options.rutEmisor - RUT del emisor (ej: 76192083-9)
+   * @param {string} options.rutEmisor - RUT del emisor (ej: 76543210-K)
    * @param {string} options.pfxPath - Ruta absoluta al certificado PFX
    * @param {string} options.pfxPassword - Contraseña del certificado
    * @param {string} [options.baseDir] - Directorio base para guardar archivos
@@ -194,7 +194,7 @@ class CafSolicitor {
    * Detecta la página de bloqueo duro de timbraje del SII.
    *
    * El SII usa al menos DOS redacciones para la misma página de rechazo:
-   *   - "NO SE AUTORIZA TIMBRAJE ELECTRÓNICO"  (la documentada en PLAN-MEJORAS-CAF.md)
+   *   - "NO SE AUTORIZA TIMBRAJE ELECTRÓNICO"  (ver el CHANGELOG)
    *   - "NO AUTORIZA TIMBRAJE ELECTRÓNICA"     (observada 2026-07-22 en tipo 56)
    *
    * Detectar solo la primera hacía que la segunda cayera al genérico
@@ -247,7 +247,7 @@ class CafSolicitor {
    * Verificación de Actividades sale explícito ("no registra Verificación de
    * Actividades..."), en producción el SII solo dice esto — mismo texto para tipo 39
    * (boleta) y 33 (factura), sin indicar la causa real. Verificado 2026-07-24 contra
-   * 78441936-3, en ambos tipos, con el mismo request real repetido dos veces.
+   * 79555666-7, en ambos tipos, con el mismo request real repetido dos veces.
    *
    * Sin esta detección caía en el genérico `UNKNOWN: No se obtuvo CAF en la
    * respuesta`, que no distingue este caso (probable Verificación de Actividades,
@@ -281,7 +281,7 @@ class CafSolicitor {
    * usuarios ni timbrar. Sin este mensaje el usuario ve un error genérico y vuelve a
    * intentar sin saber que lo único que corresponde es ir al SII.
    *
-   * Caso real (12/08/2026, RUT 78441936-3): Verificación de Actividades aprobada,
+   * Caso real (12/08/2026, RUT 79555666-7): Verificación de Actividades aprobada,
    * usuario enrolado en maullin y certificación de boleta enviada — y aun así palena
    * rechazaba todo, porque la inscripción por internet estaba bloqueada de origen.
    */
@@ -300,7 +300,7 @@ class CafSolicitor {
    * autorizado como emisor electrónico en producción — no hay nada que arreglar del lado
    * del enrolamiento, porque el portal ni siquiera deja abrir la mantención de usuarios.
    *
-   * Caso real (12/08/2026, RUT 78441936-3): el flujo de enrolamiento siguió de largo con
+   * Caso real (12/08/2026, RUT 79555666-7): el flujo de enrolamiento siguió de largo con
    * páginas vacías —sin formulario ni hidden `key`— hasta reventar con un 500 en
    * `eu_graba_usuario`. El 500 era el síntoma; esta frase, en el PRIMER paso, la causa.
    */
@@ -313,7 +313,7 @@ class CafSolicitor {
    * ¿Este HTML es un rechazo que hace inútil seguir el flujo?
    *
    * ⚠️ Los rechazos del SII NO llegan siempre en la última respuesta. Este caso real
-   * (12/08/2026, RUT 78441936-3, tipo 39 en palena) llegó en el PASO 2
+   * (12/08/2026, RUT 79555666-7, tipo 39 en palena) llegó en el PASO 2
    * (`of_solicita_folios_dcto`), donde solo se miraba `esBloqueoTimbraje`. El flujo
    * siguió de largo y terminó devolviendo el genérico `UNKNOWN: No se obtuvo CAF`,
    * escondiendo un mensaje que la librería ya sabía interpretar desde julio.
@@ -381,7 +381,7 @@ class CafSolicitor {
    * anulado completamente... los documentos que el Servicio reciba con dichos folios
    * serán rechazados". Por eso hay que abrir cada rango para saber si sirve, y por eso
    * este método hace un request por rango. Verificado en maullin el 14/08/2026 con el
-   * RUT 77967443-6: de 6 rangos listados en el tipo 56, solo 2 eran usables.
+   * RUT 76543210-K: de 6 rangos listados en el tipo 56, solo 2 eran usables.
    *
    * @param {number} tipoDte
    * @returns {Promise<Array<{ campos: Object, folioDesde: number, folioHasta: number,

package/EnviadorSII.js

@@ -1195,7 +1195,7 @@ class EnviadorSII {
 
     const [rutNum, dv] = rutEmisor.split('-');
     // Fallback a rutEmisor si el certificado no expone RUT (ver
-    // docs/EXTRACCION_RUT_CERTIFICADO.md) — evita un TypeError por .split
+    // ver el JSDoc de Certificado) — evita un TypeError por .split
     // sobre null cuando el PFX no tiene el RUT en ningún campo conocido.
     const rutEnvia = this.certificado.rut || rutEmisor;
     const [rutEnviaNum, dvEnvia] = rutEnvia.split('-');

package/FolioService.js

@@ -167,7 +167,7 @@ class FolioService {
               // tipo entraba como candidato válido.
               //
               // Pasó de verdad (14/08/2026): al reusar CAF previos, los tipos 56 y 61 del
-              // RUT 77967443-6 resolvieron a CAF de 78206276-K. El timbre quedó firmado con
+              // RUT 76543210-K resolvieron a CAF de 77111222-3. El timbre quedó firmado con
               // la llave de otro contribuyente y el SII devolvió `RFR - Rechazado por Error
               // en Firma` para todo el envío, lo que a su vez trababa la declaración de
               // simulación ("no debe contener documentos con reparos o rechazos").
@@ -761,7 +761,7 @@ class FolioService {
       // negativas: son resultados esperados (ese rango ya estaba anulado, o sus folios ya
       // se usaron) y aparecen mezclados con anulaciones exitosas.
       //
-      // Contarlos rompía la limpieza (medido el 13/08/2026, RUT 77967443-6, tipo 33):
+      // Contarlos rompía la limpieza (medido el 13/08/2026, RUT 76543210-K, tipo 33):
       //     20 rangos a procesar
       //     ✓ 47-49 anulado   ✓ 43-46 anulado
       //     ✗ 31-34 ya anulado ✗ 27-30 ya anulado  → CORTE, 8 rangos sin intentar

package/README.md

@@ -25,6 +25,7 @@ npm install @devlas/dte-sii
 - [Libros electrónicos y RCOF](#libros-electrónicos-y-rcof)
 - [Gestión de folios](#gestión-de-folios)
 - [Sesión y autenticación con el SII](#sesión-y-autenticación-con-el-sii)
+- [Descargar el XML completo desde el portal (Respaldo MIPYME)](#descargar-el-xml-completo-desde-el-portal-respaldo-mipyme)
 - [Aceptación y reclamo de DTE (WsReclamo)](#aceptación-y-reclamo-de-dte-wsreclamo)
 - [Estados SII: Interpretación de respuestas](#estados-sii-interpretación-de-respuestas)
 - [Manejo de errores](#manejo-de-errores)
@@ -69,7 +70,7 @@ const caf  = new CAF(fs.readFileSync('caf_33.xml', 'utf8'))
 const dte = new DTE({
   Encabezado: {
     IdDoc:   { TipoDTE: 33, Folio: 1 },
-    Emisor:  { RUTEmisor: '76354771-K', RznSoc: 'Mi Empresa SpA', GiroEmis: 'Software', DirOrigen: 'Av. Ejemplo 123', CmnaOrigen: 'Santiago', Acteco: 620200 },
+    Emisor:  { RUTEmisor: '76543210-K', RznSoc: 'Mi Empresa SpA', GiroEmis: 'Software', DirOrigen: 'Av. Ejemplo 123', CmnaOrigen: 'Santiago', Acteco: 620200 },
     Receptor: { RUTRecep: '12345678-9', RznSocRecep: 'Cliente SA', GiroRecep: 'Comercio', DirRecep: 'Calle 456', CmnaRecep: 'Providencia' },
   },
   Detalle: [
@@ -81,7 +82,7 @@ dte.generarXML().timbrar(caf).firmar(cert)
 
 const envio = new EnvioDTE({ certificado: cert })
 envio.agregar(dte)
-envio.setCaratula({ RutEmisor: '76354771-K', RutReceptor: '60803000-K', FchResol: '2024-01-15', NroResol: 123 })
+envio.setCaratula({ RutEmisor: '76543210-K', RutReceptor: '60803000-K', FchResol: '2024-01-15', NroResol: 123 })
 envio.generar()
 
 const enviador = new EnviadorSII(cert, 'produccion') // o 'certificacion'
@@ -121,7 +122,7 @@ const dte = new DTE({
   tipo: 33,
   folio: 1,
   emisor: {
-    rut: '76354771-K', razonSocial: 'Mi Empresa SpA',
+    rut: '76543210-K', razonSocial: 'Mi Empresa SpA',
     giro: 'Desarrollo de software', direccion: 'Av. Ejemplo 123',
     comuna: 'Santiago', actividadEconomica: 620200,
   },
@@ -158,7 +159,7 @@ const { EnvioDTE, EnviadorSII } = require('@devlas/dte-sii')
 const envio = new EnvioDTE({ certificado: cert })
 envio.agregar(dte)
 envio.setCaratula({
-  RutEmisor:   '76354771-K',
+  RutEmisor:   '76543210-K',
   RutReceptor: '60803000-K', // RUT del SII para envíos propios
   FchResol:    '2024-01-15',
   NroResol:    123,
@@ -178,14 +179,14 @@ const resultado = await enviador.enviarDteSoap(envio)
 // Estado del sobre (EnvioDTE)
 const estadoSobre = await enviador.consultarEstado({
   trackId: resultado.trackId,
-  rutEmisor: '76354771-K',
+  rutEmisor: '76543210-K',
 })
 // estadoSobre.esExitoso / esIntermedio / esRechazado
 // estadoSobre.codigo   → 'EPR', 'RPR', 'RSC', etc.
 
 // Estado de un DTE individual
 const estadoDte = await enviador.consultarEstadoDte({
-  rutEmisor:   '76354771-K',
+  rutEmisor:   '76543210-K',
   rutReceptor: '12345678-9',
   tipoDte:     33,
   folio:       1,
@@ -244,13 +245,13 @@ const fs = require('fs')
 const cert = new Certificado(fs.readFileSync('empresa_cert.pfx'), 'clave')
 const caf  = new CAF(fs.readFileSync('caf_39_cert.xml', 'utf8'))
 
-const dte = new DTE({ tipo: 39, folio: 1, emisor: { rut: '76354771-K', ... }, items: [ ... ] })
+const dte = new DTE({ tipo: 39, folio: 1, emisor: { rut: '76543210-K', ... }, items: [ ... ] })
 dte.generarXML().timbrar(caf).firmar(cert)
 
 const envio = new EnvioBOLETA({ certificado: cert })
 envio.agregar(dte)
 envio.setCaratula({
-  RutEmisor: '76354771-K',
+  RutEmisor: '76543210-K',
   FchResol:  '2019-10-18',  // fecha de resolución de certificación (entregada por el SII)
   NroResol:  0,             // siempre 0 en certificación
 })
@@ -271,13 +272,13 @@ const fs = require('fs')
 const cert = new Certificado(fs.readFileSync('empresa_prod.pfx'), 'clave')
 const caf  = new CAF(fs.readFileSync('caf_39_prod.xml', 'utf8'))
 
-const dte = new DTE({ tipo: 39, folio: 1, emisor: { rut: '76354771-K', ... }, items: [ ... ] })
+const dte = new DTE({ tipo: 39, folio: 1, emisor: { rut: '76543210-K', ... }, items: [ ... ] })
 dte.generarXML().timbrar(caf).firmar(cert)
 
 const envio = new EnvioBOLETA({ certificado: cert })
 envio.agregar(dte)
 envio.setCaratula({
-  RutEmisor: '76354771-K',
+  RutEmisor: '76543210-K',
   FchResol:  '2024-01-15',  // fecha real de resolución SII de la empresa
   NroResol:  123,           // número real de resolución SII de la empresa
 })
@@ -303,7 +304,7 @@ service.cargarCAF(fs.readFileSync('caf_39.xml', 'utf8'))
 
 const boleta = await service.crearBoleta({
   folio:      1,
-  emisor:     { rut: '76354771-K', razonSocial: 'Mi Empresa', giro: 'Software', ... },
+  emisor:     { rut: '76543210-K', razonSocial: 'Mi Empresa', giro: 'Software', ... },
   items:      [{ nombre: 'Producto', cantidad: 1, precioConIva: 10000 }],
   resolucion: {
     fecha:  process.env.SII_AMBIENTE === 'certificacion' ? '2019-10-18' : '2024-01-15',
@@ -323,8 +324,8 @@ const { LibroCompraVenta, Certificado } = require('@devlas/dte-sii')
 
 const libro = new LibroCompraVenta()
 libro.setCaratula({
-  RutEmisorLibro: '76354771-K',
-  RutEnvia:       '76354771-K',
+  RutEmisorLibro: '76543210-K',
+  RutEnvia:       '76543210-K',
   PeriodoTributario: '2024-06',
   FchResol: '2024-01-15', NroResol: 123,
   TipoOperacion: 'VENTA',  // o 'COMPRA'
@@ -349,7 +350,7 @@ const { ConsumoFolio, CAF, Certificado } = require('@devlas/dte-sii')
 
 const rcof = new ConsumoFolio()
 rcof.setCaratula({
-  RutEmisor:  '76354771-K',
+  RutEmisor:  '76543210-K',
   FchResol:   '2024-01-15',
   NroResol:   0,
   FchInicio:  '2024-06-15',
@@ -395,7 +396,7 @@ const fingerprint = createCafFingerprint(cafXml)           // hash único del CA
 
 // Reservar el siguiente folio disponible del rango del CAF
 const folio = registry.reserveNextFolio({
-  rutEmisor:      '76354771-K',
+  rutEmisor:      '76543210-K',
   tipoDte:        caf.getTipoDTE(),
   folioDesde:     caf.getFolioDesde(),
   folioHasta:     caf.getFolioHasta(),
@@ -407,7 +408,7 @@ const folio = registry.reserveNextFolio({
 
 // Marcar folio como enviado al recibir trackId del SII
 registry.markFolioSent({
-  rutEmisor: '76354771-K', tipoDte: 33, folio,
+  rutEmisor: '76543210-K', tipoDte: 33, folio,
   folioDesde: caf.getFolioDesde(), folioHasta: caf.getFolioHasta(),
   ambiente: 'produccion', cafFingerprint: fingerprint,
   trackId: '0245283324',
@@ -421,7 +422,7 @@ const { resolveCafPath } = require('@devlas/dte-sii')
 
 const cafPath = resolveCafPath({
   tipoDte:       33,
-  rutEmisor:     '76354771-K',
+  rutEmisor:     '76543210-K',
   requiredCount: 1,          // necesito al menos 1 folio disponible
   ambiente:      'produccion',
 })
@@ -439,7 +440,7 @@ const { FolioService, Certificado } = require('@devlas/dte-sii')
 
 const service = new FolioService({
   ambiente:    'produccion',
-  rutEmisor:   '76354771-K',
+  rutEmisor:   '76543210-K',
   certificado: new Certificado(fs.readFileSync('empresa.pfx'), 'clave'),
 })
 
@@ -493,7 +494,7 @@ const fs   = require('fs')
 const path = require('path')
 
 const CAF_DIR    = path.join(__dirname, 'cafs')
-const RUT        = '76354771-K'
+const RUT        = '76543210-K'
 const AMBIENTE   = 'produccion'
 const TIPO_DTE   = 33
 const UMBRAL     = 10   // solicitar nuevo CAF cuando queden menos de N folios
@@ -568,6 +569,41 @@ const datos = await auth.obtenerDatosEmpresa()
 const cookies = await SiiPortalAuth.getCookieStringForPfx(cert)
 ```
 
+#### Caché de sesión: un mapa por certificado
+
+Un login contra `zeusr.sii.cl` es un handshake con certificado, **caro y contado por el SII**,
+que bloquea el RUT por *"máximo de sesiones autenticadas"*. Por eso las cookies se cachean en
+disco, en `$DATADIR/sii_session_cache.json`, con un TTL de 90 minutos.
+
+Desde **2.16.0 el caché es un mapa por huella de certificado**. Antes guardaba una sola sesión,
+así que en un servidor multi-tenant cada certificado invalidaba al anterior y **todos**
+re-autenticaban en cada pasada: el costo crecía lineal con la base de clientes.
+
+- El formato viejo se **migra**, no se descarta.
+- Poda automática: expiradas primero, y tope de 200 entradas.
+- Escritura atómica y relectura previa, para que dos réplicas sobre el mismo volumen no se
+  borren las sesiones entre sí.
+
+```javascript
+SiiPortalAuth.limpiarSesionCache(certHash)   // borra una
+SiiPortalAuth.limpiarSesionCache()           // borra todas
+```
+
+> ⚠️ **En un servidor, apunta `DATADIR` a un volumen persistente.** Sin eso el caché vive en el
+> filesystem del contenedor y se pierde en cada redeploy, forzando un re-login de toda la base.
+
+#### Reintento ante fallas de red/TLS
+
+`autenticar()` reintenta 3 veces con espera progresiva (1s, 2s, 4s) ante errores de transporte.
+
+> ⚠️ El SII devuelve **`EPROTO` de forma intermitente** al abrir la conexión TLS con certificado
+> (`rsa_pss ... last octet invalid`), y reintentando con el **mismo** certificado funciona. **No
+> es señal de certificado vencido ni no habilitado**, aunque lo parezca. Interpretarlo así marca
+> como rotos certificados que están sanos.
+
+El **límite de sesiones nunca se reintenta** (cada intento empeora el bloqueo) y se distingue por
+`err.code === 'SII_LIMITE_SESIONES'`.
+
 ### SiiSession: sesiones HTTP autenticadas
 
 ```javascript
@@ -580,6 +616,91 @@ const resp = await session.request('GET', 'https://herculesr.sii.cl/...')
 
 ---
 
+## Descargar el XML completo desde el portal (Respaldo MIPYME)
+
+`descargarRespaldoMipyme()` baja el **XML firmado completo** de los DTE emitidos o recibidos
+desde el "Respaldo de archivos MIPYME" del portal (`www1.sii.cl/cgi-bin/Portal001`).
+
+Es la única vía que entrega el **documento entero**: detalle línea por línea, `CdgItem` del
+proveedor, referencias y TED. `obtenerDetalleDtes()` solo trae metadatos y
+`obtenerResumenRegistro()` solo totales mensuales.
+
+**Requiere únicamente el certificado digital**, no estar certificado como emisor.
+
+> 🔴 **Existe SOLO en producción: no hay ambiente de certificación.** Medido sobre
+> `/cgi-bin/Portal001/lista_documentos.cgi`: `www1.sii.cl` responde 200, `maullin.sii.cl`
+> redirige a `Error404` y `www4c.sii.cl` da 404 (para contrastar, una ruta real de maullin
+> redirige al login de certificación, no a un 404).
+>
+> Consecuencia para cualquier consumidor: con el resto del sistema apuntando a maullin, este
+> método **igual lee documentos reales del contribuyente**. Es de solo lectura contra el SII,
+> pero escribe facturas reales en la base del entorno que lo llame. Un entorno de desarrollo
+> necesita una puerta explícita; no alcanza con mirar la variable de ambiente del DTE, porque
+> esta función no tiene ambientes.
+
+```javascript
+const auth = new SiiPortalAuth({ pfxBuffer, pfxPassword })
+
+const { total, tramos } = await auth.descargarRespaldoMipyme('76543210', '6', {
+  origen: 'RCP',            // 'ENV' emitidos | 'RCP' recibidos
+  desde:  '2026-01-01',
+  hasta:  '2026-08-18',
+  tipoDoc: '',              // vacío = todos
+  reintentos: 3,
+})
+// tramos: [{ desde, hasta, total, xml }, ...] — un XML por tramo
+```
+
+### Modo streaming (`onTramo`) — obligatorio para históricos grandes
+
+Sin `onTramo` **todos los XML quedan en memoria hasta el final**: ~6,4 KB por documento, o sea
+unos 7 MB para 1.100 documentos, y crece lineal.
+
+```javascript
+await auth.descargarRespaldoMipyme(rut, dv, {
+  origen: 'RCP', desde, hasta,
+  onTramo: async (t) => { await guardar(t.xml) },   // se persiste y se suelta
+})
+// con onTramo, los tramos del resultado vienen SIN `xml`
+```
+
+### Qué hay que saber del portal
+
+| | |
+|---|---|
+| **Tope de 20 por descarga** | Es del servidor, no cosmético. Con 21 devuelve **HTML de error**, no un XML recortado. El método trocea el rango solo, del **más reciente al más viejo**. |
+| **Un día con más de 20** | No se puede partir más por fecha: se lanza error explícito. Tiene salida cortando por `TPO_DOC` (un tipo de DTE por consulta). ⚠️ **No** usar `FOLIO`/`FOLIOHASTA`: borran `FEC_HASTA` en silencio y devuelven otro conjunto. |
+| **Encoding** | El XML viene en **ISO-8859-1**. Leerlo como utf8 rompe los acentos. |
+| **Captcha** | Hoy va vacío, pero el SII puede encenderlo sin avisar → `RESPALDO_CAPTCHA`. |
+| **Alcance** | Solo lo registrado en el sistema de facturación **gratuito** del SII. Un comercio que ya migró a otro sistema no encuentra ahí sus documentos nuevos. |
+
+> 🔴 **El portal viejo comunica sus rechazos por `alert()` de JavaScript, con HTTP 200** — no en
+> el HTML visible ni en el `<title>`, que dice otra cosa. Y la página **válida** trae además un
+> `//alert(...)` **comentado**. Clasificar por título, limpiar los `<script>` antes de parsear, o
+> creerle al alert comentado: las tres cosas producen diagnósticos falsos.
+
+Los errores traen **`err.mensajePortal`** con el texto exacto del SII. **Mostrar ese texto, no
+una traducción propia.**
+
+⚠️ **`SIN_DATOS` no es lo mismo que `INDETERMINADO`.** El primero es un veredicto definitivo
+("acá no hay nada") y el consumidor puede cerrar ese período para siempre. Los otros dos
+significan "no se pudo concluir" y "no pudimos preguntar": tratarlos igual cerró en falso un
+período que ya tenía 24 documentos bajados.
+
+| código | qué pasó | ¿reintentar? |
+|---|---|---|
+| `RESPALDO_SIN_DATOS` | el RUT no tiene información en MIPYME | no |
+| `RESPALDO_CAPTCHA` | el SII encendió el captcha | no |
+| `RESPALDO_RECHAZADO` | rechazo con un texto que no conocemos; llega literal | no |
+| `RESPALDO_INDETERMINADO` | **varios** mensajes del template, sin veredicto único; llegan en `err.mensajesPortal` | sí, más tarde |
+| `RESPALDO_SIN_EMPRESA` | página de ingreso sin ningún alert; causa no determinada | no |
+
+Contrato completo, respuestas reales y los errores que cuestan tiempo (es **POST** no GET;
+`ORIGEN=ENV` no `EMI`; el listado es obligatorio antes de la descarga) en
+la sección de arriba.
+
+---
+
 ## Aceptación y reclamo de DTE (WsReclamo)
 
 `WsReclamo` implementa el web service `WSRECLAMO` del SII (v1.2) para registrar eventos de aceptación/rechazo de DTE por parte del receptor.
@@ -594,7 +715,7 @@ const ws = new WsReclamo(new Certificado(fs.readFileSync('empresa.pfx'), 'clave'
 
 // Consultar historial de eventos de un DTE
 const eventos = await ws.listarEventosHistDoc({
-  rutEmisor:   '76354771-K',
+  rutEmisor:   '76543210-K',
   tipoDTE:     33,
   folio:       1,
   rutReceptor: '12345678-9',
@@ -605,7 +726,7 @@ const estado = await ws.consultarEstadoReceptor({ ... })
 
 // Registrar aceptación (ACD) o reclamo (RCD)
 await ws.ingresarAceptacion({
-  rutEmisor: '76354771-K', tipoDTE: 33, folio: 1,
+  rutEmisor: '76543210-K', tipoDTE: 33, folio: 1,
   accion: 'ACD', // ACD=Aceptado, RCD=Reclamado, ERM=Otorga Mercaderías
 })
 ```
@@ -676,7 +797,7 @@ const { configure, configureRetry } = require('@devlas/dte-sii')
 // Configuración global (aplicar al inicio de la app)
 configure({
   ambiente:          'produccion',  // 'produccion' | 'certificacion'
-  defaultRutEmisor:  '76354771-K',
+  defaultRutEmisor:  '76543210-K',
   tokenCacheTtlMs:   300_000,       // 5 minutos (default)
 })
 
@@ -758,7 +879,7 @@ const require = createRequire(import.meta.url)
 const { Certificado, CAF, DTE, EnviadorSII } = require('@devlas/dte-sii')
 ```
 
-**TypeScript con ESM** (patrón usado en `devlas-cloud-api-node`):
+**TypeScript con ESM** :
 
 ```typescript
 import { createRequire } from 'module'
@@ -814,7 +935,7 @@ import type {
 | `FolioService` | `FolioService.js` | Consulta, solicita y anula folios ante el SII |
 | `CafSolicitor` | `CafSolicitor.js` | Solicitud automatizada de CAF al SII |
 | `SiiSession` | `SiiSession.js` | Sesiones HTTP autenticadas con certificado (cookie jar) |
-| `SiiPortalAuth` | `SiiPortalAuth.js` | Autenticación al portal SII; obtiene datos de empresa; Singleton por cert |
+| `SiiPortalAuth` | `SiiPortalAuth.js` | Autenticación al portal SII; datos de empresa; RCV; **respaldo MIPYME (XML completo)**; caché de sesión por certificado |
 
 ### Libros y reportes
 
@@ -880,7 +1001,7 @@ El directorio `cert/` contiene los helpers necesarios para ejecutar el proceso d
 - Generación de muestras impresas
 
 ```javascript
-// Uso desde devlas-cloud-api-node
+// Uso desde un proyecto ESM
 const { CertFolioHelper } = require('@devlas/dte-sii')
 ```
 

package/SiiPortalAuth.js

@@ -33,6 +33,114 @@ const SiiSessionStore = require('./SiiSessionStore');
 const { resolveDataDir } = require('./utils/paths');
 const { registrarHttpDebug } = require('./utils/httpDebug');
 
+/** Portal viejo (MIPYME). No es www4: esas son las SPA nuevas. */
+const RESPALDO_BASE = 'https://www1.sii.cl/cgi-bin/Portal001';
+/** Tope duro del SII por descarga. Medido 18/08/2026: 20 → OK, 21 → página de error. */
+const RESPALDO_MAX_DOCS = 20;
+
+/**
+ * Extrae el texto de los `alert(...)` de una página del portal viejo del SII.
+ *
+ * ⚠️ El portal viejo comunica sus errores por **alert() de JavaScript**, no en el HTML
+ * visible ni en el `<title>`. Quien clasifique por título, o quien limpie el HTML sacando
+ * los `<script>` antes de leerlo, pierde el motivo entero y se queda con una página que
+ * parece decir otra cosa.
+ *
+ * Caso real (18/08/2026): para un RUT sin datos, la respuesta traía
+ * `<title>Seleccionar empresa</title>` mientras el alert decía
+ * *"No existe información en MIPYME para el rut ingresado"*. Clasificar por el título llevó
+ * a inventar tres causas equivocadas antes de mirar el script.
+ *
+ * @param {string} html
+ * @returns {string[]} mensajes en orden de aparición, ya desescapados
+ */
+function extraerAlertasPortal(html = '') {
+  const mensajes = [];
+  const re = /alert\s*\(\s*(['"])([\s\S]*?)\1\s*\)/g;
+  let m;
+  while ((m = re.exec(html)) !== null) {
+    // ⚠️ La página normal del respaldo trae `//alert("Maximo numero de docmentos...")`
+    // COMENTADO dentro del template. Tomarlo por bueno hace creer que un listado válido
+    // falló. Se descarta todo alert que venga comentado en su propia línea.
+    const inicioLinea = html.lastIndexOf('\n', m.index) + 1;
+    const antes = html.slice(inicioLinea, m.index);
+    if (/\/\//.test(antes.replace(/[a-z]+:\/\//gi, ''))) continue;
+
+    const texto = m[2]
+      .replace(/\\(['"\\])/g, '$1')
+      .replace(/\\[rnt]/g, ' ')
+      .replace(/&nbsp;/gi, ' ')
+      .replace(/&aacute;/gi, 'á').replace(/&eacute;/gi, 'é').replace(/&iacute;/gi, 'í')
+      .replace(/&oacute;/gi, 'ó').replace(/&uacute;/gi, 'ú').replace(/&ntilde;/gi, 'ñ')
+      .replace(/&amp;/gi, '&')
+      .replace(/<[^>]+>/g, ' ')
+      .replace(/\s+/g, ' ')
+      .trim();
+    if (texto) mensajes.push(texto);
+  }
+  return mensajes;
+}
+
+/**
+ * Construye el error de una respuesta del portal que no fue la esperada, usando **lo que el
+ * portal realmente dijo** en vez de una causa inferida.
+ *
+ * Deja el texto del portal en `err.mensajePortal` para que el consumidor pueda mostrarlo tal
+ * cual: es más útil y más honesto que cualquier traducción nuestra.
+ *
+ * @param {string} html - cuerpo de la respuesta
+ * @param {string} fallback - mensaje si el portal no dijo nada reconocible
+ * @returns {Error & { code?: string, mensajePortal?: string }}
+ */
+function errorDeRespuestaPortal(html = '', fallback = 'respuesta inesperada del portal') {
+  const alertas = extraerAlertasPortal(html);
+  const texto = alertas.join(' | ');
+
+  if (/recaptcha/i.test(html) && !texto) {
+    const err = new Error('El SII activó el captcha en el respaldo MIPYME: no se puede automatizar mientras esté encendido');
+    err.code = 'RESPALDO_CAPTCHA';
+    return err;
+  }
+
+  // ⚠️ UN alert es un veredicto; VARIOS son el catálogo del template.
+  //
+  // Medido el 19/08/2026 con EMPRESA EJEMPLO: una respuesta trajo cinco mensajes encadenados y
+  // contradictorios entre sí ("no está autorizado", "debe hacerlo el representante legal",
+  // "no existe información en MIPYME"…). Eso no es el SII dictaminando: son todas las ramas
+  // de error que el template define, ninguna ejecutada. Tomarlo por veredicto marcó al
+  // comercio como "sin datos" y **abortó un backfill que venía funcionando**.
+  //
+  // La página realmente rechazada (Comercio D) trae **un solo** alert, seguido de
+  // `history.back()`.
+  if (alertas.length > 1) {
+    const err = new Error(
+      `El portal devolvió una página con ${alertas.length} mensajes de error del template, ` +
+      'sin un veredicto único. No se puede concluir nada: revisar el HTML capturado por SII_HTTP_DEBUG_DIR.'
+    );
+    err.code = 'RESPALDO_INDETERMINADO';
+    err.mensajesPortal = alertas;
+    return err;
+  }
+
+  if (texto) {
+    const err = new Error(`El portal MIPYME respondió: "${texto}"`);
+    err.mensajePortal = texto;
+    if (/no existe informaci[oó]n/i.test(texto)) err.code = 'RESPALDO_SIN_DATOS';
+    else if (/captcha/i.test(texto)) err.code = 'RESPALDO_CAPTCHA';
+    else err.code = 'RESPALDO_RECHAZADO';
+    return err;
+  }
+
+  // Sin alert: el título es lo único que queda, pero NO alcanza para afirmar una causa.
+  if (/Seleccionar empresa/i.test(html)) {
+    const err = new Error('El portal devolvió la página de ingreso ("Seleccionar empresa") sin ningún mensaje. Causa no determinada: revisar el HTML capturado por SII_HTTP_DEBUG_DIR.');
+    err.code = 'RESPALDO_SIN_EMPRESA';
+    return err;
+  }
+
+  return new Error(fallback);
+}
+
 function _cookieObjToStr(obj) {
   return Object.entries(obj).map(([k, v]) => `${k}=${v}`).join('; ');
 }
@@ -64,6 +172,37 @@ const SII_TLS_OPTS = {
 // una convención de un producto Windows específico hardcodeada en una librería
 // genérica de DTE — en Linux creaba esa ruta igual, porque Node no la valida.
 const SESSION_CACHE_PATH = path.join(resolveDataDir(), 'sii_session_cache.json');
+/** TTL de una sesión cacheada. El SII tolera ~2 h de inactividad; se refresca al validarla. */
+const SESSION_CACHE_TTL_MS = 90 * 60 * 1000;
+/** Destino al que el SII redirige tras autenticar con certificado. */
+const TARGET = 'https://misiir.sii.cl/cgi_misii/siihome.cgi';
+/** Intentos de autenticación ante fallas de red/TLS (el primero incluido). */
+const AUTH_MAX_INTENTOS = 3;
+
+/**
+ * ¿Es una falla de red/TLS que conviene reintentar?
+ *
+ * ⚠️ Medido el 18/08/2026: el SII devuelve **`EPROTO` de forma intermitente** al abrir la
+ * conexión TLS con certificado (`rsa_pss ... last octet invalid`). Reintentando con el mismo
+ * certificado funciona. **No es señal de certificado vencido ni no habilitado**, aunque lo
+ * parezca: interpretarlo así marca clientes sanos como rotos.
+ *
+ * Solo entran errores de transporte, que fallan **antes** de que el SII cree la sesión. Un
+ * error de negocio del SII (límite de sesiones, credenciales) nunca se reintenta: repetirlo
+ * empeora el problema.
+ */
+function esErrorTransitorio(err) {
+  if (!err) return false;
+  if (err.code === 'SII_LIMITE_SESIONES') return false;
+  const CODES = new Set([
+    'EPROTO', 'ECONNRESET', 'ECONNREFUSED', 'ETIMEDOUT', 'EPIPE',
+    'EAI_AGAIN', 'ENETUNREACH', 'EHOSTUNREACH', 'ERR_SSL_PACKET_LENGTH_TOO_LONG',
+  ]);
+  if (err.code && CODES.has(err.code)) return true;
+  return /socket hang up|timeout|ECONNRESET|EPROTO/i.test(err.message || '');
+}
+/** Tope de sesiones guardadas a la vez. Evita que el archivo crezca con la base de clientes. */
+const SESSION_CACHE_MAX = 200;
 
 /**
  * Registro global de instancias SiiPortalAuth por certHash (singleton por certificado).
@@ -288,8 +427,6 @@ class SiiPortalAuth {
    * @throws {Error} Si la autenticación falla
    */
   async autenticar() {
-    const TARGET = 'https://misiir.sii.cl/cgi_misii/siihome.cgi';
-
     // ── 1a. Store compartido (cubre sesiones de CafSolicitor/SiiSession) ────────
     const storedStr = SiiSessionStore.get(this._certHash);
     if (storedStr) {
@@ -319,6 +456,30 @@ class SiiPortalAuth {
     }
 
     // ── 2. Nueva autenticación ────────────────────────────────────────────────
+    // Se reintenta SOLO ante fallas de red/TLS (ver `esErrorTransitorio`). Es seguro porque
+    // esas fallan ANTES de que el SII cree la sesión, así que no dejan sesiones colgadas.
+    let ultimo;
+    for (let intento = 1; intento <= AUTH_MAX_INTENTOS; intento++) {
+      try {
+        return await this._autenticarNuevo();
+      } catch (err) {
+        ultimo = err;
+        if (!esErrorTransitorio(err) || intento === AUTH_MAX_INTENTOS) throw err;
+        const espera = 1000 * Math.pow(2, intento - 1);
+        console.warn(`[SiiPortalAuth] Falla transitoria al autenticar (${err.code || err.message.slice(0, 50)}), reintento ${intento + 1}/${AUTH_MAX_INTENTOS} en ${espera} ms`);
+        await new Promise((r) => setTimeout(r, espera));
+      }
+    }
+    throw ultimo;
+  }
+
+  /**
+   * Un intento de autenticación nueva contra el SII, sin reintentos.
+   *
+   * ⚠️ El límite de sesiones NO se reintenta: cada intento empeora el problema.
+   * @private
+   */
+  async _autenticarNuevo() {
     const cookieJar = {};
 
     await this._request(
@@ -341,10 +502,12 @@ class SiiPortalAuth {
     // Verificar mensaje de límite de sesiones
     if (r2.body.includes('m\u00e1ximo de sesiones') || r2.body.includes('maximo de sesiones') ||
         r2.body.includes('01.01.215.500.709')) {
-      throw new Error(
+      const errLimite = new Error(
         'SiiPortalAuth: límite de sesiones SII alcanzado.\n' +
         'Cierra sesión en sii.cl y espera ~30 min, o las sesiones anteriores expirarán solas.'
       );
+      errLimite.code = 'SII_LIMITE_SESIONES';
+      throw errLimite;
     }
 
     const autenticado = Object.keys(cookieJar).some(k => k.startsWith('NETSCAPE_LIVEWIRE'));
@@ -388,51 +551,110 @@ class SiiPortalAuth {
     }
   }
 
-  /** Lee sesión cacheada del disco para el cert dado. @private */
-  static _cargarSesionCache(certHash) {
+  /**
+   * Lee el archivo de cache completo, normalizado al formato v2.
+   *
+   * ⚠️ El formato v1 guardaba **una sola sesión** (`{ certHash, ts, cookies }`). En un servidor
+   * multi-tenant eso significa que cada certificado pisa al anterior y todos terminan
+   * re-autenticando en cada pasada, que es justo lo que dispara el bloqueo del SII por
+   * "máximo de sesiones autenticadas". v2 es un mapa por `certHash`.
+   *
+   * El v1 que encuentre se **migra**, no se descarta: perder la sesión vigente al desplegar
+   * esta versión forzaría un re-login innecesario.
+   *
+   * @private
+   */
+  static _leerArchivoCache() {
     try {
-if (!fs.existsSync(SESSION_CACHE_PATH)) {
-        console.log('[SiiPortalAuth] Cache: archivo no existe →', SESSION_CACHE_PATH);
-        return null;
-      }
+      if (!fs.existsSync(SESSION_CACHE_PATH)) return { v: 2, sesiones: {}, existia: false };
       const data = JSON.parse(fs.readFileSync(SESSION_CACHE_PATH, 'utf8'));
-      if (data.certHash !== certHash) {
-        console.log(`[SiiPortalAuth] Cache: cert no coincide (guardado=${data.certHash} actual=${certHash})`);
-        return null;
-      }
-      const edadMin = Math.round((Date.now() - data.ts) / 60000);
-      // TTL: 90 minutos (SII permite ~2h de inactividad; se refresca en cada validación)
-      if (Date.now() - data.ts > 90 * 60 * 1000) {
-        console.log(`[SiiPortalAuth] Cache: sesión expirada (edad=${edadMin} min, TTL=90 min)`);
-        return null;
+      if (data && data.v === 2 && data.sesiones) return { ...data, existia: true };
+      if (data && data.certHash && data.cookies) {
+        return { v: 2, sesiones: { [data.certHash]: { ts: data.ts, cookies: data.cookies } }, existia: true };
       }
-      console.log(`[SiiPortalAuth] Cache: sesión encontrada`);
-      return data.cookies;
+      return { v: 2, sesiones: {}, existia: true };
     } catch (err) {
       console.warn('[SiiPortalAuth] Cache: error leyendo caché →', err.message);
+      return { v: 2, sesiones: {}, existia: false };
+    }
+  }
+
+  /** Lee sesión cacheada del disco para el cert dado. @private */
+  static _cargarSesionCache(certHash) {
+    const { sesiones, existia } = SiiPortalAuth._leerArchivoCache();
+    if (!existia) {
+      console.log('[SiiPortalAuth] Cache: archivo no existe →', SESSION_CACHE_PATH);
+      return null;
+    }
+    const entrada = sesiones[certHash];
+    if (!entrada) {
+      console.log(`[SiiPortalAuth] Cache: sin sesión para este certificado (guardadas=${Object.keys(sesiones).length})`);
       return null;
     }
+    const edadMin = Math.round((Date.now() - entrada.ts) / 60000);
+    if (Date.now() - entrada.ts > SESSION_CACHE_TTL_MS) {
+      console.log(`[SiiPortalAuth] Cache: sesión expirada (edad=${edadMin} min, TTL=${SESSION_CACHE_TTL_MS / 60000} min)`);
+      return null;
+    }
+    console.log('[SiiPortalAuth] Cache: sesión encontrada');
+    return entrada.cookies;
   }
 
-  /** Guarda sesión en disco. @private */
+  /** Guarda sesión en disco, sin pisar las de los otros certificados. @private */
   static _guardarSesionCache(certHash, cookieJar) {
     try {
       fs.mkdirSync(path.dirname(SESSION_CACHE_PATH), { recursive: true });
-      fs.writeFileSync(SESSION_CACHE_PATH, JSON.stringify({
-        certHash,
-        ts: Date.now(),
-        cookies: cookieJar,
-      }), 'utf8');
-      const cookieKeys = Object.keys(cookieJar);
-      console.log(`[SiiPortalAuth] Cache: sesión guardada`);
+
+      // Se relee justo antes de escribir: con varias réplicas escribiendo el mismo archivo,
+      // partir de una copia vieja en memoria borraría las sesiones que otro proceso guardó.
+      const archivo = SiiPortalAuth._leerArchivoCache();
+      delete archivo.existia;
+      archivo.sesiones[certHash] = { ts: Date.now(), cookies: cookieJar };
+
+      // Poda: primero lo expirado, después las más viejas si igual se pasa del tope. Sin esto
+      // el archivo crece sin límite con la base de clientes.
+      const ahora = Date.now();
+      for (const [k, v] of Object.entries(archivo.sesiones)) {
+        if (ahora - v.ts > SESSION_CACHE_TTL_MS) delete archivo.sesiones[k];
+      }
+      const claves = Object.keys(archivo.sesiones);
+      if (claves.length > SESSION_CACHE_MAX) {
+        claves
+          .sort((a, b) => archivo.sesiones[a].ts - archivo.sesiones[b].ts)
+          .slice(0, claves.length - SESSION_CACHE_MAX)
+          .forEach((k) => delete archivo.sesiones[k]);
+      }
+
+      // Escritura atómica: un lector concurrente nunca ve un JSON a medio escribir.
+      const tmp = `${SESSION_CACHE_PATH}.${process.pid}.tmp`;
+      fs.writeFileSync(tmp, JSON.stringify(archivo), 'utf8');
+      fs.renameSync(tmp, SESSION_CACHE_PATH);
+      console.log(`[SiiPortalAuth] Cache: sesión guardada (total=${Object.keys(archivo.sesiones).length})`);
     } catch (err) {
       console.warn('[SiiPortalAuth] Cache: error guardando caché →', err.message);
     }
   }
 
-  /** Borra la sesión cacheada (útil para forzar re-login). */
-  static limpiarSesionCache() {
-    try { fs.unlinkSync(SESSION_CACHE_PATH); } catch { /* ignorar */ }
+  /**
+   * Borra sesiones cacheadas (útil para forzar re-login).
+   * @param {string} [certHash] - si se omite, borra **todas**.
+   */
+  static limpiarSesionCache(certHash) {
+    if (!certHash) {
+      try { fs.unlinkSync(SESSION_CACHE_PATH); } catch { /* ignorar */ }
+      return;
+    }
+    try {
+      const archivo = SiiPortalAuth._leerArchivoCache();
+      delete archivo.existia;
+      if (!archivo.sesiones[certHash]) return;
+      delete archivo.sesiones[certHash];
+      const tmp = `${SESSION_CACHE_PATH}.${process.pid}.tmp`;
+      fs.writeFileSync(tmp, JSON.stringify(archivo), 'utf8');
+      fs.renameSync(tmp, SESSION_CACHE_PATH);
+    } catch (err) {
+      console.warn('[SiiPortalAuth] Cache: error limpiando caché →', err.message);
+    }
   }
 
   /**
@@ -1086,7 +1308,7 @@ if (!fs.existsSync(SESSION_CACHE_PATH)) {
       const rutLimpio = String(rutEmpresa).replace(/\./g, '');
       const match = rutLimpio.match(/^(\d+)-([0-9Kk])$/);
       if (!match) {
-        throw new Error(`RUT empresa inválido: "${rutEmpresa}". Formato esperado: "78206276-K"`);
+        throw new Error(`RUT empresa inválido: "${rutEmpresa}". Formato esperado: "77111222-3"`);
       }
       rutNum = match[1];
       dv = match[2].toUpperCase();
@@ -1161,6 +1383,146 @@ if (!fs.existsSync(SESSION_CACHE_PATH)) {
 
     return { emisor, cookieJar };
   }
+
+  // ─── Respaldo MIPYME — descarga del XML firmado completo ────────────────────
+
+  /**
+   * Descarga el XML firmado completo de los DTE emitidos o recibidos de una empresa, desde el
+   * "Respaldo de archivos MIPYME" del portal (www1.sii.cl/cgi-bin/Portal001).
+   *
+   * Es la única vía que entrega el **documento completo**: detalle línea por línea, `CdgItem`
+   * del proveedor, referencias y TED. `obtenerDetalleDtes()` solo trae metadatos y
+   * `obtenerResumenRegistro()` solo totales mensuales.
+   *
+   * ⚠️ El SII corta en **20 documentos por descarga**: con 21 devuelve una página de error, no
+   * un XML recortado (medido 18/08/2026: 20 → OK, 21 → error). Por eso el rango se trocea solo
+   * partiendo por la mitad hasta que cada tramo quepa, y se devuelve un XML por tramo.
+   *
+   * ⚠️ Requiere **solo el certificado digital**, no estar certificado como emisor.
+   *
+   * ⚠️ El captcha existe en el formulario pero hoy va vacío. Si el SII lo enciende, la
+   * respuesta deja de ser XML y se lanza `RESPALDO_CAPTCHA`. No reintentar en loop: no se
+   * resuelve solo.
+   *
+   * Ver el README para el contrato completo y los hallazgos del portal.
+   *
+   * @param {string} rut - RUT de la empresa sin DV ni puntos (ej. '76543210')
+   * @param {string} dv  - Dígito verificador (ej. '6')
+   * @param {Object} opciones
+   * @param {'ENV'|'RCP'} [opciones.origen='ENV'] - ENV = emitidos, RCP = recibidos
+   * @param {string} opciones.desde - AAAA-MM-DD
+   * @param {string} opciones.hasta - AAAA-MM-DD
+   * @param {string} [opciones.tipoDoc=''] - Código de tipo DTE; vacío = todos
+   * @param {number} [opciones.reintentos=3] - Intentos por request (el portal es lento)
+   * @param {(t: {desde:string,hasta:string,total:number,xml:string}) => Promise<void>} [opciones.onTramo]
+   *   Modo streaming: se invoca por cada tramo descargado y el XML **no** se acumula en el
+   *   resultado. Obligatorio para históricos grandes: sin esto todos los XML quedan en memoria
+   *   hasta el final (~6,4 KB por documento, o sea ~7 MB para 1.100 documentos).
+   * @param {Object} [opciones.cookieJar] - Sesión ya autenticada
+   * @returns {Promise<{ total: number, tramos: Array<{desde:string,hasta:string,total:number,xml?:string}> }>}
+   *   Con `onTramo`, los tramos vienen sin `xml` (ya se entregó por callback).
+   */
+  async descargarRespaldoMipyme(rut, dv, opciones = {}) {
+    const {
+      origen = 'ENV', desde, hasta, tipoDoc = '',
+      reintentos = 3, cookieJar = null, onTramo = null,
+    } = opciones;
+
+    if (!desde || !hasta) throw new Error('descargarRespaldoMipyme: faltan `desde` y `hasta` (AAAA-MM-DD)');
+    if (origen !== 'ENV' && origen !== 'RCP') {
+      throw new Error(`descargarRespaldoMipyme: origen debe ser 'ENV' (emitidos) o 'RCP' (recibidos), no '${origen}'`);
+    }
+
+    const jar = cookieJar || await this.autenticar();
+    // El portal viejo espera este flag; SiiPortalAuth no lo setea porque no lo necesita el resto.
+    jar['usa_firma_central'] = 'true';
+
+    const URL_LISTA = `${RESPALDO_BASE}/lista_documentos.cgi`;
+    const cabeceras = {
+      'Content-Type': 'application/x-www-form-urlencoded',
+      'Origin': 'https://www1.sii.cl',
+      'Referer': URL_LISTA,
+    };
+    const comunes = { RUT_EMP: rut, DV_EMP: dv, RUT_RECP: '', FOLIO: '', FOLIOHASTA: '', RZN_SOC: '', TPO_DOC: tipoDoc, ESTADO: '', ORDEN: '' };
+
+    const reintentar = async (fn, etiqueta) => {
+      let ultimo;
+      for (let i = 1; i <= reintentos; i++) {
+        try { return await fn(); } catch (e) {
+          ultimo = e;
+          // Estos no se arreglan reintentando: el portal ya dio su veredicto.
+          if (['RESPALDO_CAPTCHA', 'RESPALDO_SIN_EMPRESA', 'RESPALDO_SIN_DATOS', 'RESPALDO_RECHAZADO', 'RESPALDO_INDETERMINADO'].includes(e.code)) throw e;
+          if (i < reintentos) await new Promise((r) => setTimeout(r, 1000 * Math.pow(2, i - 1)));
+        }
+      }
+      throw new Error(`${etiqueta}: falló tras ${reintentos} intentos — ${ultimo.message}`);
+    };
+
+    /** Consulta el listado y devuelve cuántos documentos hay en el rango. */
+    const contar = (d, h) => reintentar(async () => {
+      const body = new URLSearchParams({
+        'recaptcha-response': '', ORIGEN: origen, FEC_DESDE: d, FEC_HASTA: h,
+        NUM_PAG: '1', TPO_ARCHIVO: 'dte', ...comunes,
+      }).toString();
+      const res = await this._request(URL_LISTA, { method: 'POST', cookieJar: jar, body, headers: cabeceras });
+      const html = res.body || '';
+
+      // El total manda: si está, la respuesta es buena aunque la página traiga algún alert
+      // incidental. Recién si no está se investiga por qué.
+      const m = html.match(/total de documentos[^0-9]{0,40}(\d+)/i);
+      if (m) return parseInt(m[1], 10);
+
+      throw errorDeRespuestaPortal(html, 'no se pudo leer el total de documentos del listado');
+    }, `listado ${d}..${h}`);
+
+    /** Baja el XML de un rango que ya se sabe que cabe en el tope. */
+    const bajar = (d, h) => reintentar(async () => {
+      const qs = new URLSearchParams({ ...comunes, ORIGEN: origen, FEC_DESDE: d, FEC_HASTA: h, DOWNLOAD: 'XML' }).toString();
+      const res = await this._request(`${RESPALDO_BASE}/download.cgi?${qs}`, { cookieJar: jar, headers: { Referer: URL_LISTA } });
+      const cuerpo = res.body || '';
+      if (cuerpo.trimStart().startsWith('<?xml')) return cuerpo;
+      throw errorDeRespuestaPortal(cuerpo, 'la descarga no devolvió XML');
+    }, `descarga ${d}..${h}`);
+
+    // Parte el rango por la mitad hasta que cada tramo quepa en RESPALDO_MAX_DOCS.
+    const aDia = (s) => new Date(`${s}T00:00:00Z`);
+    const aIso = (x) => x.toISOString().slice(0, 10);
+    const tramos = [];
+    const dividir = async (d, h) => {
+      const n = await contar(d, h);
+      if (n === 0) return;
+      if (n <= RESPALDO_MAX_DOCS) { tramos.push({ desde: d, hasta: h, total: n }); return; }
+      const medio = aIso(new Date((aDia(d).getTime() + aDia(h).getTime()) / 2));
+      if (medio === h || medio === d) {
+        // Un solo día con más de 20 documentos: el SII no deja bajarlo y no hay cómo partirlo.
+        throw new Error(`El ${d} tiene ${n} documentos y el SII solo permite ${RESPALDO_MAX_DOCS} por descarga. No es divisible por fecha.`);
+      }
+      const siguiente = aIso(new Date(aDia(medio).getTime() + 86400000));
+      await dividir(d, medio);
+      await dividir(siguiente, h);
+    };
+    await dividir(desde, hasta);
+
+    // ⚠️ Del MÁS NUEVO al más viejo. El troceo por bisección deja los tramos en orden
+    // cronológico, así que sin esto el consumidor recibe primero lo más antiguo del rango y
+    // espera todas las descargas para ver lo último. Al revés, el primer tramo ya trae los
+    // documentos recientes, que es lo que el usuario está mirando.
+    tramos.sort((a, b) => b.desde.localeCompare(a.desde));
+
+    let total = 0;
+    for (const t of tramos) {
+      const xml = await bajar(t.desde, t.hasta);
+      total += t.total;
+      if (onTramo) {
+        // Modo streaming: el consumidor persiste y el XML se suelta enseguida. Sin esto, un
+        // histórico grande queda entero en memoria (~6,4 KB por documento).
+        await onTramo({ desde: t.desde, hasta: t.hasta, total: t.total, xml });
+      } else {
+        t.xml = xml;
+      }
+    }
+    return { total, tramos };
+  }
 }
 
 module.exports = SiiPortalAuth;

package/SiiSession.js

@@ -374,7 +374,7 @@ class SiiSession {
     if (!body || !body.includes('superado el m')) return false;
 
     // Guardar HTML para diagnóstico — solo si el consumidor definió dónde.
-    // Antes esto apuntaba a `../devlas-cloud-api-node/debug/sii-sessions`: la librería
+    // Antes esto apuntaba a un directorio del proyecto consumidor: la librería
     // nombraba a un repo consumidor y asumía que estaba como carpeta hermana, así que
     // en cualquier otra instalación escribía en un lugar inesperado o fallaba en silencio.
     saveDebugFile(resolveDebugDir(this.debugDir), `demasiadas-sesiones-${Date.now()}.html`, body);
@@ -608,7 +608,7 @@ class SiiSession {
       // último comercio que operó queda ahí para el siguiente. Cargarla significa actuar
       // ante el SII como el usuario de OTRO contribuyente.
       //
-      // Caso real (14/08/2026): una corrida del RUT 78206276-K reusó la sesión del
+      // Caso real (14/08/2026): una corrida del RUT 77111222-3 reusó la sesión del
       // certificado de otra empresa y el portal respondió "usted no está autorizado por la
       // empresa para ingresar a esta opción" al pedir el set de pruebas. El mismo pedido
       // con autenticación fresca funcionó. El síntoma no dice "sesión equivocada", dice

package/cert/CertRunner.js

@@ -296,7 +296,7 @@ class CertRunner {
    * Timbra de una sola vez TODOS los folios que la corrida va a necesitar, sumados por
    * tipo entre los cuatro sets. Llamar antes de ejecutar el primer set.
    *
-   * El problema que resuelve (medido el 13/08/2026, RUT 78480527-1): cada set pedía sus
+   * El problema que resuelve (medido el 13/08/2026, RUT 79888999-0): cada set pedía sus
    * propios folios cuando le tocaba, así que del tipo 56 se pedían tres tandas separadas
    * —básico 1, exenta 2, compra 1— en la misma corrida. El SII raciona el timbraje según
    * cuántos folios tengas autorizados sin usar, así que la primera tanda le bajaba el tope
@@ -599,7 +599,7 @@ class CertRunner {
         //
         // Con tope publicado alcanza con que el cupo CUBRA lo necesario. Antes se exigía
         // un margen de 3x para "actuar antes de quedar contra la pared", pero medido el
-        // 13/08/2026 (RUT 78480527-1) ese margen disparaba la limpieza teniendo cupo de
+        // 13/08/2026 (RUT 79888999-0) ese margen disparaba la limpieza teniendo cupo de
         // sobra —tipo 61 con MAX_AUTOR=6 para 3 folios, tipo 33 con 4 para 4— y en los
         // tres tipos el resultado fue `0 anulados`: el SII rechazó cada anulación.
         //
@@ -648,7 +648,7 @@ class CertRunner {
         //                 bloquean el timbraje suelen ser de semanas atrás, el filtro los
         //                 descartaba antes de intentarlos, y la corrida se quedaba
         //                 reintentando para siempre contra algo que nunca iba a cambiar.
-        //                 Caso real (14/08/2026, RUT 77967443-6): tipo 56 bloqueado por
+        //                 Caso real (14/08/2026, RUT 76543210-K): tipo 56 bloqueado por
         //                 folios del 22-07, seis intentos idénticos, cero anulados.
         //
         // Ojo: esto es el ÚLTIMO recurso. Antes de llegar acá se intenta reusar el CAF
@@ -684,7 +684,7 @@ class CertRunner {
       // para negar el timbraje: "usted tiene disponible una cantidad de folios suficiente".
       //
       // O sea que cada reintento empeoraba el bloqueo que intentaba superar. Medido el
-      // 14/08/2026 (RUT 77967443-6): 6 reintentos de ENVIAR_SETS quemaron 66 folios
+      // 14/08/2026 (RUT 76543210-K): 6 reintentos de ENVIAR_SETS quemaron 66 folios
       // —tipos 33, 34, 46 y 52, seis rangos cada uno— sin emitir un solo documento,
       // mientras el tipo 56 seguía bloqueado.
       //
@@ -2693,7 +2693,7 @@ class CertRunner {
     // avance es imposible — en ambos la etapa se queda quieta. La única fuente de
     // verdad es el estado del envío, así que se le pregunta al SII por el trackId.
     //
-    // Caso real (14/08/2026, RUT 78206276-K): la simulación quedó `RFR - Rechazado por
+    // Caso real (14/08/2026, RUT 77111222-3): la simulación quedó `RFR - Rechazado por
     // Error en Firma` y este método devolvió "Timeout esperando aprobación". Quien lo
     // llamaba lo leyó como "sigue en revisión", siguió adelante y marcó la etapa como
     // completada sobre un envío que el SII había rechazado.
@@ -3573,7 +3573,7 @@ class CertRunner {
     // buscaba UNA sola frase ("El estado de la postulacion"), así que cualquier otro
     // rechazo pasaba de largo, no se encontraba el ID de revisión y el usuario recibía
     // "no se pudo extraer ID de revisión de: //OK[0,0,2,...".
-    // Caso real (11/08/2026): "El contribuyente 78206276-K no ha solicitado Set de
+    // Caso real (11/08/2026): "El contribuyente 77111222-3 no ha solicitado Set de
     // pruebas." quedó completamente oculto detrás de ese mensaje.
     //
     // Ahora se reconoce cualquier frase con pinta de mensaje al usuario. Es deliberado
@@ -3974,7 +3974,7 @@ class CertRunner {
    *  - recuperar el estado de boleta cuando las banderas locales se resetearon (ese
    *    portal NO aparece en pe_avance, así que consultarEstadoAvance no lo cubre)
    *
-   * Verificado 2026-07-24 contra 78441936-3 con curl crudo (independiente de este
+   * Verificado 2026-07-24 contra 79555666-7 con curl crudo (independiente de este
    * código) — misma respuesta `//OK[0,[],0,7]` cuando no hay P90 todavía.
    *
    * @returns {Promise<{success: boolean, inscrita: boolean, listaParaDeclarar: boolean, estado: string|null, error?: string}>}
@@ -4017,7 +4017,7 @@ class CertRunner {
     //
     // Darlas por (a) siempre hacía que, después de una declaración exitosa, se
     // informara "esperando aprobación del SII (SOK)". La pantalla le pedía al usuario
-    // esperar una etapa que ya había superado (visto el 17/08/2026, RUT 78441936-3:
+    // esperar una etapa que ya había superado (visto el 17/08/2026, RUT 79555666-7:
     // declaró a las 14:01 con DECLARACION EFECTUADA y a las 14:5x seguía diciendo que
     // faltaba el SOK).
     //
@@ -4239,7 +4239,7 @@ class CertRunner {
     // autorizada". Es la secuencia que ya usa CafSolicitor._processMultiStepFlow() para
     // pedir folios de verdad, y por eso ESE camino sí funciona.
     //
-    // Caso real (17/08/2026, RUT 78441936-3): el flujo reportaba "Boleta NO autorizada"
+    // Caso real (17/08/2026, RUT 79555666-7): el flujo reportaba "Boleta NO autorizada"
     // mientras el SII tenía a la empresa como FACTURADOR ELECTRONICO con BOLETA
     // ELECTRONICA autorizada hasta el folio 103009 desde el 12/07/2026, y palena le
     // entregaba folios reales de factura por el camino bien armado. Un comercio ya
@@ -4271,7 +4271,7 @@ class CertRunner {
       // veía cero tipos y concluía "no autorizada" — un dato inventado, indistinguible
       // de la respuesta real.
       //
-      // Visto el 17/08/2026 (RUT 78441936-3): palena devolvió 3377 bytes con
+      // Visto el 17/08/2026 (RUT 79555666-7): palena devolvió 3377 bytes con
       // "No ha sido posible completar su solicitud... código LIBRUD-OFSF-DTE-3-1-02" y
       // el flujo venía reportando "certificación incompleta" desde hacía días.
       //

package/cert/SetBase.js

@@ -224,7 +224,7 @@ class SetBase {
    * `cafRef` acepta una ruta (comportamiento de siempre) o una lista de rutas. La lista
    * hace falta porque el SII no siempre entrega un rango contiguo: al reobtener folios ya
    * autorizados los devuelve de a uno (folios 1-1 y 3-3 como CAF separados, visto el
-   * 14/08/2026 en el RUT 77967443-6).
+   * 14/08/2026 en el RUT 76543210-K).
    *
    * Y no alcanza con concatenar numeraciones: **cada CAF trae su propia llave privada RSA**
    * (`CAF.js` → `RSASK`) y el timbre de cada documento se firma con la llave del CAF que

package/cert/SetParser.js

@@ -1016,7 +1016,21 @@ function generarEstructuraLibroCompras(set, opts = {}) {
       NroDoc: doc.folio,
       TasaImp: tasaIva,
       FchDoc: new Date().toISOString().split('T')[0], // Se debe ajustar
-      RUTDoc: '17096073-4', // RUT por defecto para certificación
+      // Contraparte de relleno del libro de COMPRAS de certificación: los documentos del set
+      // son ficticios y va emparejada con `RznSoc: 'Razon Social'`, también un marcador.
+      //
+      // ⚠️ Este valor SÍ llega al SII: `LibroCompras.generarDesdeEstructuras()` hace
+      // `{ ...doc }` y el RUTDoc entra tal cual al XML que se declara. No es código muerto.
+      //
+      // Se usa el RUT del propio SII porque cumple las tres cosas que hacen falta: existe como
+      // contribuyente (si el SII validara existencia, pasa), es público y no es dato personal
+      // de nadie, y ya se usa en este repo como contraparte (`RutReceptor` de los envíos).
+      //
+      // ⚠️ Antes acá había un RUT tomado de la documentación de otro sistema de facturación,
+      // que resultaba ser el de una persona real. NO poner un RUT de un ejemplo ajeno, y
+      // evitar `11111111-1`: tiene DV válido pero es el dummy más conocido de Chile y varios
+      // sistemas lo rechazan por eso.
+      RUTDoc: '60803000-K',
       RznSoc: 'Razon Social',
     };
 

package/index.js

@@ -6,7 +6,7 @@
  * Facturación y boletas electrónicas para el SII de Chile.
  *
  * @version 2.5.2
- * @author Devlas SpA <hola@devlas.cl>
+ * @author Devlas SpA <ti@devlas.cl>
  * @license MIT
  */
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@devlas/dte-sii",
-  "version": "2.15.0",
+  "version": "2.16.0",
   "description": "Facturación y boletas electrónicas para el SII de Chile. Genera, timbra, firma y envía DTEs, libros electrónicos y automatiza la certificación.",
   "main": "index.js",
   "types": "dte-sii.d.ts",
@@ -8,7 +8,7 @@
   "author": "Devlas SpA <ti@devlas.cl> (https://devlas.cl)",
   "homepage": "https://github.com/devlas-cl/dte-sii",
   "scripts": {
-    "test": "node test/pfx.test.js && node test/folios-consolidados.test.js && node test/c14n-apostrofe.test.js && node test/precargar-plan-corrida.test.js"
+    "test": "node test/pfx.test.js && node test/folios-consolidados.test.js && node test/c14n-apostrofe.test.js && node test/precargar-plan-corrida.test.js && node test/respaldo-mipyme.test.js"
   },
   "repository": {
     "type": "git",

package/utils/c14n.js

@@ -51,7 +51,7 @@ function escapeText(text) {
  * por qué. Y solo pasaba cuando algún texto traía un apóstrofe, que es lo que lo hacía
  * tan difícil de ver: los mismos sets pasaban o fallaban según el contenido del set.
  *
- * Medido el 14/08/2026 (RUT 78206276-K, maullin). Un solo ítem, "CAPACITACION USO PLC'S
+ * Medido el 14/08/2026 (RUT 77111222-3, maullin). Un solo ítem, "CAPACITACION USO PLC'S
  * CNC", en un único documento del Set Factura Exenta:
  *
  *   Set Básico   → EPR   0 documentos con digest divergente

package/utils/pfx.js

@@ -183,7 +183,7 @@ function extractSubjectFields(cert) {
  * 1.3.6.1.4.1.8321.1 — reservado bajo la normativa chilena de firma
  * electrónica (Ley 19.799). A diferencia de serialNumber/OU/CN, que son
  * convención de cada CA, este OID es consistente entre CAs (verificado
- * contra Acepta, IDOK y Signapis — ver docs/EXTRACCION_RUT_CERTIFICADO.md).
+ * contra Acepta, IDOK y Signapis).
  * @param {forge.pki.Certificate} cert - Certificado
  * @returns {string|null} RUT o null
  */

package/test-qdetestlibro.js

@@ -1,174 +0,0 @@
-'use strict';
-/**
- * test-qdetestlibro.js
- *
- * Prueba los endpoints del portal SII para consultar libros electrónicos:
- *   1. QEstLibro  — lista todos los libros del año y extrae los Códigos
- *   2. QDetEstLibro — detalle de cada envío (TrackId, estado, etc.)
- *
- * Uso:
- *   node test-qdetestlibro.js [year=2026] [periodo=2026-04]
- *
- * Requiere que la sesión exista o la crea automáticamente.
- */
-
-const path    = require('path');
-const fs      = require('fs');
-const SiiCertificacion = require('./SiiCertificacion.js');
-
-// ─── Configuración ────────────────────────────────────────────────────────────
-const PFX_PATH     = path.resolve(__dirname, '../devlas-cloud-api-node/secret/19925444-8.pfx');
-const PFX_PASS     = 'Lsr12345';
-const RUT_EMPRESA  = '78206276';
-const DV_EMPRESA   = 'K';
-const SESSION_PATH = path.resolve(__dirname, '../devlas-cloud-api-node/debug/cert-v2/session.json');
-
-const YEAR    = process.argv.find(a => a.startsWith('year='))?.split('=')[1]    || '2026';
-const PERIODO = process.argv.find(a => a.startsWith('periodo='))?.split('=')[1] || null; // null = todos
-
-// ─── Main ─────────────────────────────────────────────────────────────────────
-async function main() {
-  console.log('=== test-qdetestlibro.js ===');
-  console.log('PFX:', PFX_PATH);
-  console.log('RUT:', `${RUT_EMPRESA}-${DV_EMPRESA}`);
-  console.log('Year:', YEAR, '| Filtro período:', PERIODO || '(todos)');
-
-  const cert = new SiiCertificacion({
-    pfxPath:     PFX_PATH,
-    pfxPassword: PFX_PASS,
-    rutEmpresa:  RUT_EMPRESA,
-    dvEmpresa:   DV_EMPRESA,
-    sessionPath: SESSION_PATH,
-  });
-
-  // ── 1. Asegurar sesión portal en subsistema /cgi_dte/UPL/ ─────────────────
-  // DTEauth?7 es la página del formulario de búsqueda de libros.
-  // CSESSIONID es el token de sesión del portal SII. Lo necesitamos válido.
-  console.log('\n[1] Autenticando en /cgi_dte/UPL/DTEauth?7...');
-  // Parchar request para capturar Set-Cookie crudos de DTEauth?7
-  const origRequest = cert.session.request.bind(cert.session);
-  let lastRawHeaders = null;
-  cert.session.request = async function(url, opts) {
-    const resp = await origRequest(url, opts);
-    if (url.includes('DTEauth')) {
-      lastRawHeaders = resp.headers;
-    }
-    return resp;
-  };
-  const authResp = await cert.session.ensureSession('/cgi_dte/UPL/DTEauth?7');
-  cert.session.request = origRequest; // restaurar
-  console.log('    Status DTEauth:', authResp?.status);
-  if (lastRawHeaders) {
-    const sc = lastRawHeaders['set-cookie'];
-    console.log('    Set-Cookie DTEauth?7:', JSON.stringify(sc));
-  }
-  console.log('    CSESSIONID en jar:', cert.session.cookieJar?.match(/CSESSIONID=[^;]+/)?.[0] || '(none)');
-  fs.writeFileSync(path.join(__dirname, 'test-output', 'dteauth7.html'), authResp?.body || '', 'latin1');
-
-  // ── TEST DIRECTO: llamar QDetEstLibro sin QEstLibro de por medio ──────────
-  console.log('\n[TEST DIRECTO] QDetEstLibro sin pasar por QEstLibro...');
-  const urlDetDirect = `https://maullin.sii.cl/cgi_dte/UPL/QDetEstLibro` +
-    `?Codigo=COMPRA-772220&rutC=78206276&dvC=K&periodo=2026-04`;
-  const directResp = await cert.session.request(urlDetDirect);
-  console.log('    Status:', directResp.status);
-  const directBody = directResp.body;
-  if (directBody.includes('SESION HA EXPIRADO')) {
-    console.warn('    [WARN] TAMBIÉN falla sin QEstLibro — es el CSESSIONID o la sesión');
-  } else if (directBody.includes('AUTORIZADO')) {
-    console.warn('    [WARN] Error de autorización');
-    console.log(directBody.slice(0, 500));
-  } else {
-    console.log('    OK! Funciona directamente');
-    console.log(directBody.slice(0, 1000));
-  }
-  fs.writeFileSync(path.join(__dirname, 'test-output', 'qdetestlibro-direct.html'), directBody, 'latin1');
-
-  // ── 2. Llamar QEstLibro ────────────────────────────────────────────────────
-  const urlLista = `https://maullin.sii.cl/cgi_dte/UPL/QEstLibro` +
-    `?rutCompany=${RUT_EMPRESA}&dvCompany=${DV_EMPRESA}&TrackId=&year=${YEAR}&month=00&tipo=TODOS`;
-
-  console.log('\n[2] GET', urlLista);
-  const listaResp = await cert.session.request(urlLista);
-  console.log('    Status:', listaResp.status);
-  console.log('    Set-Cookie headers:', listaResp.headers?.['set-cookie'] || '(none)');
-  console.log('    Cookies post-QEstLibro:', cert.session.cookieJar?.slice(0, 250) + '...');
-
-  if (listaResp.body.includes('SESION HA EXPIRADO')) {
-    console.error('    [ERR] Sesión expirada en QEstLibro — revisar ensureSession');
-    process.exit(1);
-  }
-
-  // Guardar HTML para inspección
-  const htmlListaPath = path.join(__dirname, 'test-output', 'qestlibro.html');
-  fs.mkdirSync(path.dirname(htmlListaPath), { recursive: true });
-  fs.writeFileSync(htmlListaPath, listaResp.body, 'latin1');
-  console.log('    HTML guardado en:', htmlListaPath);
-
-  // ── 3. Parsear la tabla: extraer Código → periodo → operación ──────────────
-  // El HTML tiene links tipo: QDetEstLibro?Codigo=VENTA-772219&rutC=...&periodo=2026-04
-  // href sin comillas: href=QDetEstLibro?Codigo=X&rutC=Y&dvC=Z&periodo=PPPP>Ver
-  // el > cierra el atributo, por eso lo excluimos del grupo de captura
-  const linkRegex = /QDetEstLibro\?Codigo=([^&"'\s>]+)&rutC=[^&"'\s>]+&dvC=[^&"'\s>]+&periodo=([^&"'\s>]+)/gi;
-  const codigos = {}; // { '2026-04': { VENTA: 'VENTA-772219', COMPRA: 'COMPRA-XXXXX' } }
-  let m;
-  while ((m = linkRegex.exec(listaResp.body)) !== null) {
-    const codigo  = m[1];
-    const periodo = m[2];
-    if (PERIODO && periodo !== PERIODO) continue;
-    codigos[periodo] = codigos[periodo] || {};
-    const tipoMatch = /^(VENTA|COMPRA|GUIAS?)/i.exec(codigo);
-    const tipo = tipoMatch ? tipoMatch[1].toUpperCase() : codigo;
-    codigos[periodo][tipo] = codigo;
-  }
-
-  console.log('\n    Códigos encontrados:');
-  if (Object.keys(codigos).length === 0) {
-    console.log('    (ninguno — revisar HTML en test-output/qestlibro.html)');
-  }
-  for (const [p, ops] of Object.entries(codigos)) {
-    for (const [op, cod] of Object.entries(ops)) {
-      console.log(`      ${p} / ${op} → ${cod}`);
-    }
-  }
-
-  // ── 4. Llamar QDetEstLibro para cada código ────────────────────────────────
-  // Usamos las MISMAS cookies que obtuvimos de DTEauth?7 (paso 1).
-  // NO re-autenticamos: si DTEauth?7 usa tokens one-shot, un segundo call
-  // lo consumiría sin beneficio. Las cookies NETSCAPE_LIVEWIRE persisten.
-  for (const [periodo, ops] of Object.entries(codigos)) {
-    for (const [operacion, codigo] of Object.entries(ops)) {
-      const urlDet = `https://maullin.sii.cl/cgi_dte/UPL/QDetEstLibro` +
-        `?Codigo=${encodeURIComponent(codigo)}&rutC=${RUT_EMPRESA}&dvC=${DV_EMPRESA}&periodo=${periodo}`;
-
-      const refererQEstLibro = `https://maullin.sii.cl/cgi_dte/UPL/QEstLibro` +
-        `?rutCompany=${RUT_EMPRESA}&dvCompany=${DV_EMPRESA}&TrackId=&year=${YEAR}&month=00&tipo=TODOS`;
-
-      console.log(`\n[3] QDetEstLibro ${periodo} ${operacion} (${codigo})`);
-      console.log('    GET', urlDet);
-
-      const detResp = await cert.session.request(urlDet, {
-        headers: { Referer: refererQEstLibro },
-      });
-      console.log('    Status:', detResp.status);
-
-      const outPath = path.join(__dirname, 'test-output', `qdetestlibro-${periodo}-${operacion}.html`);
-      fs.writeFileSync(outPath, detResp.body, 'latin1');
-
-      if (detResp.body.includes('SESION HA EXPIRADO')) {
-        console.warn('    [WARN] Sesión expirada — revisar cookies / DTEauth');
-        console.log('\n--- BODY (500 chars) ---\n', detResp.body.slice(0, 500));
-      } else {
-        console.log('    HTML guardado en:', outPath);
-        console.log('\n--- BODY ---\n', detResp.body);
-      }
-    }
-  }
-
-  console.log('\n=== Fin ===');
-}
-
-main().catch(e => {
-  console.error('[FATAL]', e.message);
-  console.error(e.stack);
-  process.exit(1);
-});