@dozimple/abap-adt 1.0.0 → 1.1.0

package/CHANGELOG.md

@@ -4,6 +4,95 @@ Formato basado en [Keep a Changelog](https://keepachangelog.com/es-ES/1.1.0/). V
 
 ## [Unreleased]
 
+## [1.1.0] - 2026-09-22
+
+Tool nueva y contrato MCP ampliado (salida estructurada, progreso, cancelación) más resiliencia de conexión: el sprint 1 y parte del 2 del plan de mejoras.
+
+### Añadido
+- **Progreso y cancelación** (sprint 2 del plan): las tools largas informan de su avance (`transport_diff` objeto a
+  objeto; `run_atc`, `where_used` y `run_unit_tests` por fase) y el cliente lo recibe como notificaciones de progreso
+  MCP si las pidió. La cancelación del cliente se respeta **entre pasos**: el paso en curso termina (una llamada ADT
+  no se puede abortar) y el siguiente ya no empieza. Una petición cancelada termina como `CANCELLED`, un tipo propio
+  que no cuenta como fallo del servidor ni abre el circuito.
+- **Salida estructurada** (`outputSchema` / `structuredContent` de MCP), sprint 2 del plan: una tool puede declarar
+  `output` y devolver los mismos datos del texto de forma tipada, para que el cliente no tenga que interpretar la
+  prosa. El registro exige que toda respuesta no errónea de esas tools la traiga (si falta es error del servidor,
+  no un éxito a medias) y el SDK la valida contra el esquema antes de responder. Primeras tools: `sql_query` (filas,
+  columnas, valores hasta 500, `truncated`, avisos) y `syntax_check` (errores, avisos y mensajes con línea y
+  severidad). `docs/TOOLS.md` documenta el esquema de salida de cada una.
+- **`revert_source`: volver a una versión anterior con confirmación.** Tras un `write_source` cuya activación falló,
+  el objeto queda con un borrador inactivo encima de la versión activa; la tool vuelve a escribir la versión elegida
+  (`active`: la última activa; `previous`: la anterior a la activa; `N`: una del historial de `object_versions`)
+  pasando por la misma vista previa, huella, bloqueo y orden que cualquier escritura. Nunca revierte por su cuenta:
+  un rollback automático que pisara una versión sin preguntar sería peor que dejar el objeto inactivo.
+- **Resiliencia de conexión** (sprint 1 del plan de mejoras):
+  - **Sesión caducada renovada en las lecturas.** Si una tool de lectura recibe un token CSRF rechazado o un 401 en
+    una sesión que ya había entrado, el servidor descarta el cliente, vuelve a entrar y repite la lectura una vez;
+    la respuesta lo anota. Nunca en escrituras ni ejecuciones: el bloqueo se perdió con la sesión y un reintento
+    podría escribir dos veces. Una contraseña rechazada sigue fallando a la primera y sigue olvidándose.
+  - **Circuit breaker por sistema.** Tres fallos de red en un minuto abren el circuito de ESE sistema durante un
+    minuto: toda tool responde al instante «no se vuelve a intentar durante N s» en vez de esperar 120 s por llamada.
+    Los demás sistemas no se ven afectados; `sap_systems(check=true)` lo cierra y reintenta. Solo cuentan los fallos
+    de red reales de la librería, no los tiempos agotados propios.
+  - **Tiempo máximo por tool** (`timeoutMs`, por defecto 60 s; ATC y diff de orden 180 s, where-used y ABAP Unit
+    120 s). Al vencer, error `NETWORK` con el tiempo y la sugerencia de acotar; no se reintenta.
+
+### Cambiado
+- Insignia de **OpenSSF Best Practices (Passing)** en el README: el proyecto cumple los 67 criterios del nivel
+  Passing, incluidas las sugerencias, con la ficha pública en https://www.bestpractices.dev/projects/14759.
+- El job de publicación usa Node 24, que ya trae npm >= 11.5.1: se quita la instalación global de npm, que no se
+  puede fijar por hash. Un paso comprueba la versión y falla antes de publicar si no la cumple. El build sigue en
+  Node 22, la versión mínima que soporta el servidor.
+
+## [1.0.1] - 2026-09-22
+
+Versión de mantenimiento: seguimiento de la auditoría de seguridad, procedimiento de commit y pruebas por propiedades.
+
+### Añadido
+- **Pruebas por propiedades de la entrada hostil** (`test/property.test.ts`, fast-check): 15 invariantes sobre el
+  filtro de `table_contents`, el saneado de errores, el HTML de documentación y feeds, los nombres que acaban en una
+  ruta ADT, `SAP_USER_RE` y la huella de los tokens de confirmación. En vez de comprobar casos conocidos, cada prueba
+  afirma lo que la función garantiza para **cualquier** entrada y el generador busca el contraejemplo (miles por
+  ejecución; `FC_RUNS=5000 npm test` para una pasada profunda). Validadas rompiendo el código a propósito: cada
+  propiedad detecta la regresión que le toca.
+
+### Cambiado
+- La release de GitHub adjunta el bundle de la atestación también como `<paquete>.intoto.jsonl`, además de
+  `.sigstore.json`. Es el mismo bundle in-toto con los dos nombres: uno es el que verifica `gh attestation verify` y el
+  otro el que las herramientas de cadena de suministro reconocen como procedencia (OpenSSF Scorecard entre ellas).
+
+### Seguridad
+- El veto de datos sensibles incluye `ICF_PASSWD` (contraseña del usuario de inicio de sesión fijo de un servicio ICF)
+  y las columnas genéricas `PASSWD` / `PASSWORD`, en cualquier tabla, también cuando llegan por un `SELECT *` (se
+  comprueban las columnas del resultado y, si aparece una, no se muestra nada). Detectado al revisar la configuración
+  ICF de un servicio.
+- Seguimiento de la auditoría (prioridades 1 y 2 del auditor y DZ-30): **permisos de `systems.json` en Windows**
+  comprobados por ACL y SID (antes no se comprobaba nada en esa plataforma), fail-closed si no se pueden leer;
+  **registro de auditoría firmado con HMAC-SHA256** con clave en el llavero del SO (quitar firmas se detecta), y
+  `audit:verify` comprueba cadena y firmas; el escáner falla si `package.json` declara scripts de instalación.
+- **Auditoría de seguridad del 21-09-2026** (30 hallazgos, ninguno alto ni crítico): corregidos todos los accionables.
+  Los más relevantes: la escritura ya no aplica un diff aprobado sobre un objeto que cambió en SAP después de la vista
+  previa (huella comprobada bajo el bloqueo); filtro de `table_contents` por lista blanca; usuarios SAP validados en
+  filtros de feeds; nombres validados en rutas ADT; `allowSelfSigned` solo en DEV y avisado al arrancar; sin
+  redirecciones en el servicio de riesgo; errores saneados antes de llegar al modelo; contraseñas en memoria con
+  caducidad; toda tool `exec` decide expresamente si pide confirmación; tope de filas también en `jobs` y
+  `application_log`; columnas personales propias por cliente (`piiColumns`); registro de auditoría con bloqueo entre
+  procesos y lectura de la cola; marcado neutralizado tras decodificar HTML; ids online de `docs_fetch` validados ya
+  decodificados. Documentado lo que cada control garantiza y lo que no (token frente a elicitación, cadena de
+  auditoría sin secreto, aviso de «dato» probabilístico). Tests de regresión en `test/audit-2026-09.test.ts`.
+- **Procedimiento de seguridad en cada commit** ([docs/COMMIT_SECURITY.md](docs/COMMIT_SECURITY.md)): el `pre-commit`
+  revisa el código completo y el contenido exacto preparado; un `pre-push` nuevo y el CI revisan todo el historial de
+  todas las ramas. El escáner detecta además direcciones (IPs reales, hosts con puertos de SAP, dominios internos),
+  más tipos de credenciales (Google, JWT, tokens de GitHub de grano fino, GitLab, cadenas de conexión, secretos
+  asignados, URLs con contraseña, webhooks) y archivos peligrosos por su nombre (`.env`, certificados, claves SSH, el
+  `systems.json` real). 21 tests adversariales.
+
+### Corregido
+- Workflow de release: la comprobación de `latest` fallaba porque npm tarda unos segundos en propagar la etiqueta
+  (la 1.0.0 se publicó bien, pero la release de GitHub no se creó y se completó a mano con los artefactos firmados del
+  mismo run). Ahora reintenta durante 2 minutos, no republica una versión existente y actualiza la release si ya
+  existe: reintentar un run es seguro.
+
 ## [1.0.0] - 2026-09-21
 
 Primera versión estable, publicada en npm como `@dozimple/abap-adt` con procedencia.

package/README.es.md

@@ -4,7 +4,7 @@
 
 [English](README.md) · **Español**
 
-[![CI](../../actions/workflows/ci.yml/badge.svg)](../../actions/workflows/ci.yml) ![Node 22+](https://img.shields.io/badge/node-22%2B-2f7d32) ![MCP](https://img.shields.io/badge/MCP-stdio-5a4fcf) ![SAP](https://img.shields.io/badge/SAP-ECC%20%7C%20S%2F4HANA-0a6ed1) ![License](https://img.shields.io/badge/license-Apache--2.0-blue)
+[![CI](../../actions/workflows/ci.yml/badge.svg)](../../actions/workflows/ci.yml) [![OpenSSF Best Practices](https://www.bestpractices.dev/projects/14759/badge)](https://www.bestpractices.dev/projects/14759) ![Node 22+](https://img.shields.io/badge/node-22%2B-2f7d32) ![MCP](https://img.shields.io/badge/MCP-stdio-5a4fcf) ![SAP](https://img.shields.io/badge/SAP-ECC%20%7C%20S%2F4HANA-0a6ed1) ![License](https://img.shields.io/badge/license-Apache--2.0-blue)
 
 **IA que trabaja en tu SAP con las reglas de un consultor senior.**
 
@@ -61,7 +61,7 @@ El agente elige las tools, las encadena y responde con evidencia. Cada respuesta
 | [Consulta de datos](#g-datos) | Preguntar a las tablas con ABAP SQL, de solo lectura y sin tocar material de credenciales. | 2 |
 | [Diagnóstico de incidentes](#g-diagnostico) | Reunir en una conversación lo que antes exigía ST22, SM37, SLG1 y /IWFND/ERROR_LOG. | 4 |
 | [Documentación SAP](#g-documentacion) | Responder con la documentación oficial y comprobar qué sintaxis existe en cada release. | 7 |
-| [Escritura controlada](#g-escritura) | Guardar cambios solo en desarrollo, en la orden correcta y con la sintaxis verificada antes. | 4 |
+| [Escritura controlada](#g-escritura) | Guardar cambios solo en desarrollo, en la orden correcta y con la sintaxis verificada antes. | 5 |
 | [DoZimple Transport Risk](#g-transport-risk) | Decidir si un pase entero puede ir a calidad o productivo, con el porqué en lenguaje de negocio. | 7 |
 | [Operación y crecimiento](#g-operacion) | Ver qué funciona en cada sistema y decidir con datos cuál es la siguiente tool. | 4 |
 <!-- groups:end -->
@@ -187,6 +187,7 @@ la **[referencia completa](docs/TOOLS.md)**.
 | Tool | Qué hace | Acceso |
 |---|---|---|
 | [`write_source`](docs/TOOLS.md#escritura) | **Guardar fuente en SAP.** Sustituye la fuente COMPLETA de un objeto existente (o de un include de clase), en la orden indicada. | escribe (DEV autorizado) |
+| [`revert_source`](docs/TOOLS.md#escritura) | **Volver a una versión anterior.** Deshace un cambio escribiendo de nuevo una versión anterior del objeto: la última activa (para limpiar un borrador inactivo tras un write_source cuya activación falló), la anterior a la activa, o una concreta del historial de object_versions. | escribe (DEV autorizado) |
 | [`activate`](docs/TOOLS.md#escritura) | **Activar objeto.** Activa un objeto y devuelve los mensajes de SAP tal cual (errores con línea, avisos, objetos que quedan inactivos). | escribe (DEV autorizado) |
 | [`write_text_elements`](docs/TOOLS.md#escritura) | **Crear o cambiar símbolos de texto.** Añade o modifica símbolos de texto (o textos de selección) de un programa/clase/grupo, fusionando con los existentes: no borra los que no se mencionan. | escribe (DEV autorizado) |
 | [`create_transport`](docs/TOOLS.md#escritura) | **Crear orden de transporte.** Crea una orden workbench para el paquete de un objeto, ANTES de la primera edición, para que el cambio caiga en la orden del ticket y no en una tarea reutilizada. | escribe (DEV autorizado) |
@@ -291,7 +292,7 @@ Modelo de amenazas con STRIDE y OWASP Top 10 para aplicaciones LLM: **[docs/THRE
 Con la versión exacta y sin scripts de instalación, igual que las dependencias del propio proyecto:
 
 ```sh
-npm install -g --ignore-scripts @dozimple/abap-adt@1.0.0
+npm install -g --ignore-scripts @dozimple/abap-adt@1.1.0
 PKG="$(npm root -g)/@dozimple/abap-adt"
 mkdir -p ~/.config/abap-adt-dozimple && chmod 700 ~/.config/abap-adt-dozimple
 cp "$PKG/config/systems.example.json" ~/.config/abap-adt-dozimple/systems.json   # sistemas, roles y permisos
@@ -307,8 +308,9 @@ Registro en el cliente MCP:
 ```
 
 Cada versión se publica desde el CI con [procedencia de npm](https://docs.npmjs.com/generating-provenance-statements):
-`npm view @dozimple/abap-adt@1.0.0 dist.attestations` muestra la atestación, y la release de GitHub incluye el
-paquete, su bundle de Sigstore y el SBOM.
+`npm view @dozimple/abap-adt@1.1.0 dist.attestations` muestra la atestación, y la release de GitHub incluye el
+paquete, su bundle de Sigstore (`.sigstore.json`), el mismo bundle como procedencia in-toto (`.intoto.jsonl`)
+y el SBOM. Para comprobarlo: `gh attestation verify dozimple-abap-adt-1.1.0.tgz --repo <owner>/abap-adt-dozimple`.
 
 ### Desde el código fuente
 
@@ -342,7 +344,7 @@ abap-adt-doZimple se construye sobre el trabajo de otros, y lo reconoce: cada to
 <!-- credits:start -->
 | Proyecto | Autor / titular | Licencia | Tipo | Usado en |
 |---|---|---|---|---|
-| [abap-adt-api](https://github.com/marcellourbani/abap-adt-api) | Marcello Urbani | MIT | dependencia | todas (núcleo), `transport_diff`, `transport_contents`, `inactive_objects`, `edit_preflight`, `run_atc` y 22 más |
+| [abap-adt-api](https://github.com/marcellourbani/abap-adt-api) | Marcello Urbani | MIT | dependencia | todas (núcleo), `transport_diff`, `transport_contents`, `inactive_objects`, `edit_preflight`, `run_atc` y 23 más |
 | [Model Context Protocol TypeScript SDK](https://github.com/modelcontextprotocol/typescript-sdk) | Model Context Protocol | MIT | dependencia | todas (núcleo) |
 | [mcp-sap-docs](https://github.com/marianfoo/mcp-sap-docs) | Marian Zeis (marianfoo) | Apache-2.0 | dependencia | `abap_feature_matrix`, `docs_search`, `docs_fetch`, `clean_core_objects`, `clean_core_object`, `abap_lint` y 1 más |
 | [abaplint](https://github.com/abaplint/abaplint) | Lars Hvam y contribuidores | MIT | dependencia | `abap_lint` |

package/README.md

@@ -4,7 +4,7 @@
 
 **English** · [Español](README.es.md)
 
-[![CI](../../actions/workflows/ci.yml/badge.svg)](../../actions/workflows/ci.yml) ![Node 22+](https://img.shields.io/badge/node-22%2B-2f7d32) ![MCP](https://img.shields.io/badge/MCP-stdio-5a4fcf) ![SAP](https://img.shields.io/badge/SAP-ECC%20%7C%20S%2F4HANA-0a6ed1) ![License](https://img.shields.io/badge/license-Apache--2.0-blue)
+[![CI](../../actions/workflows/ci.yml/badge.svg)](../../actions/workflows/ci.yml) [![OpenSSF Best Practices](https://www.bestpractices.dev/projects/14759/badge)](https://www.bestpractices.dev/projects/14759) ![Node 22+](https://img.shields.io/badge/node-22%2B-2f7d32) ![MCP](https://img.shields.io/badge/MCP-stdio-5a4fcf) ![SAP](https://img.shields.io/badge/SAP-ECC%20%7C%20S%2F4HANA-0a6ed1) ![License](https://img.shields.io/badge/license-Apache--2.0-blue)
 
 **AI that works on your SAP system with the rules of a senior consultant.**
 
@@ -62,7 +62,7 @@ and **a failure is never presented as an empty result or as success**.
 | [Data queries](#g-datos) | Query tables with ABAP SQL, read-only, with sensitive and personal data protected. | 2 |
 | [Incident diagnosis](#g-diagnostico) | One conversation for what used to take ST22, SM37, SLG1 and /IWFND/ERROR_LOG. | 4 |
 | [SAP documentation](#g-documentacion) | Answer from official documentation and check which syntax exists in each release. | 7 |
-| [Controlled writes](#g-escritura) | Save changes only in development, in the right transport, previewed and confirmed by a human. | 4 |
+| [Controlled writes](#g-escritura) | Save changes only in development, in the right transport, previewed and confirmed by a human. | 5 |
 | [DoZimple Transport Risk](#g-transport-risk) | Decide whether a whole release can go to QA or production, with the why in business terms. | 7 |
 | [Operations and growth](#g-operacion) | See what works on each system and decide the next tool with data. | 4 |
 <!-- groups:end -->
@@ -188,6 +188,7 @@ Summary per group; each tool's details — parameters, types, defaults, requirem
 | Tool | What it does | Access |
 |---|---|---|
 | [`write_source`](docs/TOOLS.md#escritura) | **Save source to SAP.** Replaces the FULL source of an existing object (or class include) in the given transport, after a preview with syntax check and diff and a human confirmation. | writes (authorized DEV) |
+| [`revert_source`](docs/TOOLS.md#escritura) | **Revert to an earlier version.** Writes back an earlier version of an object (the last active one, the one before it, or a numbered one from object_versions) through the same preview, fingerprint, lock and transport as write_source; never reverts on its own. | writes (authorized DEV) |
 | [`activate`](docs/TOOLS.md#escritura) | **Activate object.** Activates an object and returns SAP's messages as they are (errors with line, warnings, objects left inactive). | writes (authorized DEV) |
 | [`write_text_elements`](docs/TOOLS.md#escritura) | **Create or change text symbols.** Adds or changes text symbols (or selection texts) of a program/class/group, merging with the existing ones: nothing not mentioned is deleted. | writes (authorized DEV) |
 | [`create_transport`](docs/TOOLS.md#escritura) | **Create transport request.** Creates a workbench request for an object's package BEFORE the first edit, so the change lands in the ticket's transport and not in a reused task. | writes (authorized DEV) |
@@ -291,7 +292,7 @@ Designed to pass a Security and Basis review without exceptions. Details: **[SEC
 Pinned to an exact version, without install scripts, like the project's own dependencies:
 
 ```sh
-npm install -g --ignore-scripts @dozimple/abap-adt@1.0.0
+npm install -g --ignore-scripts @dozimple/abap-adt@1.1.0
 PKG="$(npm root -g)/@dozimple/abap-adt"
 mkdir -p ~/.config/abap-adt-dozimple && chmod 700 ~/.config/abap-adt-dozimple
 cp "$PKG/config/systems.example.json" ~/.config/abap-adt-dozimple/systems.json   # systems, roles and permissions
@@ -307,8 +308,9 @@ MCP client registration:
 ```
 
 Every release is published from CI with [npm provenance](https://docs.npmjs.com/generating-provenance-statements):
-`npm view @dozimple/abap-adt@1.0.0 dist.attestations` shows the attestation, and the GitHub release carries the
-tarball, its Sigstore bundle and the SBOM.
+`npm view @dozimple/abap-adt@1.1.0 dist.attestations` shows the attestation, and the GitHub release carries the
+tarball, its Sigstore bundle (`.sigstore.json`), the same bundle as in-toto provenance (`.intoto.jsonl`) and the
+SBOM. To check it: `gh attestation verify dozimple-abap-adt-1.1.0.tgz --repo <owner>/abap-adt-dozimple`.
 
 ### From source
 
@@ -343,7 +345,7 @@ abap-adt-doZimple is built on other people's work, and says so: each tool lists
 <!-- credits:start -->
 | Project | Author / holder | License | Type | Used in |
 |---|---|---|---|---|
-| [abap-adt-api](https://github.com/marcellourbani/abap-adt-api) | Marcello Urbani | MIT | dependency | all (core), `transport_diff`, `transport_contents`, `inactive_objects`, `edit_preflight`, `run_atc` and 22 more |
+| [abap-adt-api](https://github.com/marcellourbani/abap-adt-api) | Marcello Urbani | MIT | dependency | all (core), `transport_diff`, `transport_contents`, `inactive_objects`, `edit_preflight`, `run_atc` and 23 more |
 | [Model Context Protocol TypeScript SDK](https://github.com/modelcontextprotocol/typescript-sdk) | Model Context Protocol | MIT | dependency | all (core) |
 | [mcp-sap-docs](https://github.com/marianfoo/mcp-sap-docs) | Marian Zeis (marianfoo) | Apache-2.0 | dependency | `abap_feature_matrix`, `docs_search`, `docs_fetch`, `clean_core_objects`, `clean_core_object`, `abap_lint` and 1 more |
 | [abaplint](https://github.com/abaplint/abaplint) | Lars Hvam and contributors | MIT | dependency | `abap_lint` |

package/SECURITY.md

@@ -8,26 +8,26 @@ aplicaciones LLM, riesgos residuales): **[docs/THREAT_MODEL.md](docs/THREAT_MODE
 
 | Activo | Amenaza | Control |
 |---|---|---|
-| Credenciales SAP | Filtrado en archivos, logs, respuestas o procesos hijo | Llavero de macOS o Secret Service en Linux (`execFile` sin shell); opción `--strict` para que el llavero pregunte en cada lectura; la configuración no admite contraseñas; nunca en logs ni respuestas; los procesos hijo reciben un entorno explícito mínimo (`PATH`, `HOME`, `TMPDIR`, idioma y terminal) |
+| Credenciales SAP | Filtrado en archivos, logs, respuestas o procesos hijo | Llavero de macOS o Secret Service en Linux (`execFile` sin shell); opción `--strict` para que el llavero pregunte en cada lectura; en memoria, caducan a los 15 min y se borran al cerrar; la configuración no admite contraseñas; nunca en logs ni respuestas; los procesos hijo reciben un entorno explícito mínimo (`PATH`, `HOME`, `TMPDIR`, idioma y terminal) |
 | Sistemas SAP | Cambios no deseados por un agente | `read` / `exec` / `write` por tool; `write` solo en DEV con `allowWrite`; QAS y PRD nunca; tools de escritura ocultas si ningún sistema la permite; sin liberar, importar ni borrar |
-| Escrituras | El agente escribe sin que la persona vea qué | **Confirmación obligatoria**: por elicitación MCP si el cliente la soporta; si no, en dos fases con vista previa (sintaxis de SAP + diff real) y token de un solo uso atado a tool, sistema y argumentos exactos (10 min). Anotación `destructiveHint` para que el cliente también pida permiso |
-| Trazabilidad | Una escritura sin rastro, o un rastro retocado | **Registro de auditoría** local encadenado por hash (`audit.jsonl`): intención, resultado y denegaciones de toda escritura y ejecución, con usuario SAP, sistema, forma de confirmación y huella sha256 del contenido (nunca el contenido). Sin registro no se escribe. `npm run audit:verify` detecta alteraciones |
+| Escrituras | El agente escribe sin que la persona vea qué | **Confirmación obligatoria** con vista previa (sintaxis de SAP + diff real + avisos de la orden). Dos niveles de garantía, y no son equivalentes: **elicitación MCP** (fuerte: la pregunta la responde una persona en el cliente) si el cliente la soporta; si no, **token** de un solo uso atado a tool, sistema y argumentos exactos (10 min), que es una garantía **de aviso**: el servidor no puede distinguir si una persona vio la vista previa, por eso el cliente no debe autoaprobar estas tools (`destructiveHint`). `npm run audit:verify` cuenta cuántas escrituras se confirmaron de cada forma. Además, la huella de lo mostrado viaja con la confirmación y se comprueba **bajo el bloqueo** antes de escribir: si el objeto cambió en SAP tras la vista previa, no se escribe |
+| Trazabilidad | Una escritura sin rastro, o un rastro retocado | **Registro de auditoría** local encadenado por hash y **firmado con HMAC-SHA256** (`audit.jsonl`): intención, resultado y denegaciones de toda escritura y ejecución, con usuario SAP, sistema, forma de confirmación y huella sha256 del contenido (nunca el contenido). La clave se genera al primer uso y vive en el llavero del SO (se guarda por stdin, nunca como argumento de un proceso); la fecha de creación va con ella, así que quitar firmas se detecta. Sin registro no se escribe; escrituras de varios servidores a la vez, serializadas con bloqueo. `npm run audit:verify` comprueba cadena y firmas. **Límite:** quien pueda leer tu llavero (tu propia sesión sin `--strict`) podría recalcularlo todo; para evidencia fuera de tu control, anota fuera del equipo el «último hash» que imprime `audit:verify`. Sin almacén de secretos (Windows), la cadena queda sin firma y se avisa |
 | ABAP Unit | Un test con efectos (BD, llamadas externas) | Solo tests `RISK LEVEL HARMLESS` y `DURATION SHORT`, pedido explícitamente; solo en DEV |
 | Orden de transporte | El cambio cae en una orden ajena | `decideTransport`: orden explícita; si hay bloqueo CTS de otra orden, se para sin escribir |
 | Material de seguridad en SAP | Lectura de hashes, almacén seguro, PSE, secretos OAuth o dumps | Veto de USR02/USH02/USRPWDHISTORY, RSECTAB/RSECACTB, SSF_PSE_*, USRACL, SNAP, OA2C_* y columnas de hash, **también a través de vistas (DD26S) y CDS (DDLDEPENDENCY + fuente DDL), hasta 3 niveles** |
 | Datos de personal | Infotipos y nómina | PA\*, PB\*, PCL1-5 y HRPY_\* vetados, también vía vistas y CDS |
-| Datos personales de negocio | Exposición masiva a un proveedor LLM | Clase de datos por sistema (`test` / `masked` / `prod`; por defecto DEV = test, QAS/PRD = prod). En masked/prod: **columnas personales enmascaradas** (nombres, direcciones, teléfonos, correos, identificadores fiscales, cuentas bancarias, fechas de nacimiento), prohibido usarlas en WHERE, alias o expresiones, y **tope de filas** por sistema (200 en prod, configurable) |
+| Datos personales de negocio | Exposición masiva a un proveedor LLM | Clase de datos por sistema (`test` / `masked` / `prod`; por defecto DEV = test, QAS/PRD = prod). En masked/prod: **columnas personales enmascaradas** (nombres, direcciones, teléfonos, correos, identificadores fiscales, cuentas bancarias, fechas de nacimiento, y las columnas propias de cada cliente declaradas en `piiColumns`), prohibido usarlas en WHERE, alias o expresiones, y **tope de filas** por sistema (200 en prod, configurable), también en `jobs` y `application_log`. El enmascarado es por nombre de columna: un campo Z no declarado sale en claro |
 | Parámetros de las tools | Un parámetro mal escrito o inventado que se ignora en silencio (p. ej. la orden de transporte) | Esquemas estrictos: un parámetro no declarado es error y la tool no se ejecuta; el esquema publicado declara `additionalProperties: false` |
-| SQL | Escritura, varias sentencias o inyección en filtros | Solo `SELECT`/`WITH`, sin `;`; vista previa de ADT de solo lectura; literales escapados; en `table_contents` el filtro no admite subconsultas, UNION, comentarios ni comillas sin cerrar |
-| Configuración | Alguien redirige el servidor o habilita la escritura | `systems.json` se rechaza si lo pueden modificar grupo u otros usuarios, o si es de otro usuario; el sistema por defecto por variable de entorno se identifica como tal en cada respuesta, y si no existe es error |
+| SQL | Escritura, varias sentencias o inyección en filtros | Solo `SELECT`/`WITH`, sin `;`; vista previa de ADT de solo lectura; literales escapados; en `table_contents` el filtro se valida por **lista blanca** (columnas, operadores, literales, AND/OR/NOT, LIKE, IN, BETWEEN, IS NULL/INITIAL, paréntesis equilibrados); usuarios SAP en filtros de feeds validados por formato; nombres en rutas ADT validados (sin `..`) |
+| Configuración | Alguien redirige el servidor, habilita la escritura o cambia el comando de un componente | `systems.json` se rechaza si lo pueden modificar otros: en macOS/Linux por permisos y propietario; **en Windows por sus ACL**, leídas por SID (independiente del idioma): solo tu usuario, SYSTEM, Administradores y TrustedInstaller pueden escribirlo. Si la comprobación no puede hacerse, no se arranca (salvo `ABAP_DZ_SKIP_ACL_CHECK=1`, avisado en cada arranque). El sistema por defecto por variable de entorno se identifica en cada respuesta, y si no existe es error |
 | Red | Exposición de un puerto | Solo stdio; no se abre ningún puerto |
-| TLS | Intercepción (MitM) | Verificación por defecto; `caFile` para certificados propios; `allowSelfSigned` marcado con ⚠ |
+| TLS | Intercepción (MitM) | Verificación por defecto; `caFile` para certificados propios; `allowSelfSigned` **solo en DEV** (rechazado en QAS/PRD), marcado con ⚠ y avisado en cada arranque. El servicio de riesgo no sigue redirecciones: las credenciales Basic no viajan a otra URL |
 | Datos de clientes | Salida a internet vía documentación | Online apagado por defecto; si se habilita, `assertPublicQuery` bloquea objetos Z/Y, namespaces, órdenes, sistemas, SID, usuarios, dominios y términos configurados; `docs_fetch` solo acepta ids con forma de documento, y los online pasan el mismo filtro |
-| Inyección de instrucciones | Fuente, textos o datos de SAP o de la web que intentan dirigir al agente | Toda respuesta de SAP y de documentación se marca como dato, nunca instrucciones; ninguna escritura sin confirmación humana con vista previa |
-| Dependencias | Vulnerabilidades o código malicioso | 4 dependencias de producción con versión exacta y lockfile; `ignore-scripts` (sin scripts de instalación); `npm audit` y `npm audit signatures` (firmas y procedencia) en CI; SBOM CycloneDX como artefacto de cada build; acciones de CI fijadas por commit; Dependabot |
+| Inyección de instrucciones | Fuente, textos o datos de SAP o de la web que intentan dirigir al agente | Toda respuesta de SAP y de documentación se marca como dato, nunca instrucciones (control **probabilístico**: reduce, no elimina, que el modelo obedezca contenido hostil); el marcado que revive al decodificar HTML se neutraliza; la barrera efectiva es que ninguna escritura ocurre sin confirmación humana con vista previa. Los errores que llegan al modelo se sanean (sin credenciales en URLs, sin cabeceras, sin marcado, con longitud acotada) |
+| Dependencias | Vulnerabilidades o código malicioso | 4 dependencias de producción con versión exacta y lockfile; `ignore-scripts` (sin scripts de instalación) en el desarrollo, y el paquete publicado **no declara ningún script de instalación** (el escáner falla si aparece uno: el `.npmrc` no protege a quien instala el paquete); `npm audit` y `npm audit signatures` (firmas y procedencia) en CI; SBOM CycloneDX como artefacto de cada build; acciones de CI fijadas por commit; Dependabot |
 | Terceros | Un MCP externo con acceso a credenciales | Solo como proceso hijo aislado, tras revisión, con entorno mínimo; sus tools pasan por la política de este servidor |
 | Estado local | Lectura por otros usuarios del equipo | Carpetas `700`, archivos `600`; el registro de uso no guarda argumentos |
-| Repositorio | Credenciales o datos de clientes en el historial | `scripts/scan-sensitive.mjs` en `pre-commit` y en CI; los términos prohibidos se leen de la configuración local, nunca se listan en el repo; secret scanning con push protection |
+| Repositorio | Credenciales, direcciones (IPs, hosts internos o de SAP) o datos de clientes en el código o en el historial | [Procedimiento en cada commit](docs/COMMIT_SECURITY.md): `pre-commit` revisa el código completo más lo preparado; `pre-push` y CI revisan todo el historial; `main` exige el CI; secret scanning con push protection. Los términos de clientes se leen de la configuración local, nunca se listan en el repo |
 
 ## Recomendaciones de despliegue
 
@@ -46,7 +46,8 @@ aplicaciones LLM, riesgos residuales): **[docs/THREAT_MODEL.md](docs/THREAT_MODE
 
 ```sh
 npm run security      # npm audit + firmas del registro + escáner de credenciales y datos de clientes
-npm test              # incluye los tests de política y de seguridad (test/security.test.ts)
+npm test              # incluye los tests de política y de seguridad (test/security.test.ts) y las
+                      # pruebas por propiedades de la entrada hostil (test/property.test.ts, fast-check)
 npm run audit:verify  # integridad del registro de auditoría local
 npm run sbom          # SBOM CycloneDX de las dependencias de producción
 ```

package/dist/core/atc.js

@@ -31,7 +31,8 @@ export async function defaultVariant(c) {
     const v = cust.properties.find((p) => p.name === "systemCheckVariant")?.value;
     return typeof v === "string" && v ? v : "DEFAULT";
 }
-const xmlEsc = (s) => s.replace(/&/g, "&amp;").replace(/"/g, "&quot;").replace(/</g, "&lt;");
+/** Escapado XML completo (texto y atributos con comillas simples o dobles). */
+const xmlEsc = (s) => s.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;").replace(/"/g, "&quot;").replace(/'/g, "&apos;");
 /**
  * Ejecución ATC sobre varios objetos a la vez. La librería solo admite una
  * URI; en NW 7.50 una orden no sirve como conjunto («No URI-Mapping defined

package/dist/core/audit.js

@@ -1,6 +1,7 @@
 import { createHash } from "node:crypto";
-import { appendFileSync, existsSync, mkdirSync, readFileSync } from "node:fs";
+import { appendFileSync, closeSync, existsSync, fstatSync, mkdirSync, openSync, readFileSync, readSync, rmSync, statSync } from "node:fs";
 import { join } from "node:path";
+import { auditKey, macOf } from "./auditkey.js";
 import { stateDir } from "./telemetry.js";
 /**
  * Registro de auditoría de todo lo que modifica o ejecuta en SAP. Solo
@@ -15,7 +16,7 @@ export const AUDIT_FILE = "audit.jsonl";
 const GENESIS = "0".repeat(64);
 const INLINE_MAX = 120;
 /** E/S del registro, sustituible en tests para simular disco lleno o permisos. */
-export const auditIo = { appendFileSync, existsSync, mkdirSync, readFileSync };
+export const auditIo = { appendFileSync, existsSync, mkdirSync, readFileSync, openSync, closeSync, fstatSync, readSync, statSync, rmSync };
 const sha256 = (s) => createHash("sha256").update(s).digest("hex");
 /** Argumentos aptos para el registro: valores cortos tal cual, el resto como huella. */
 export function auditArgs(args) {
@@ -39,14 +40,63 @@ export function auditArgs(args) {
 function entryHash(e) {
     return sha256(JSON.stringify(e));
 }
+/** Última entrada leyendo solo la cola del archivo (el registro no se relee entero en cada escritura). */
 function lastEntry(path) {
     if (!auditIo.existsSync(path))
         return { seq: 0, hash: GENESIS };
-    const lines = auditIo.readFileSync(path, "utf8").trimEnd().split("\n").filter(Boolean);
-    if (!lines.length)
-        return { seq: 0, hash: GENESIS };
-    const last = JSON.parse(lines[lines.length - 1]);
-    return { seq: last.seq, hash: last.hash };
+    const fd = auditIo.openSync(path, "r");
+    try {
+        const size = auditIo.fstatSync(fd).size;
+        if (!size)
+            return { seq: 0, hash: GENESIS };
+        for (let window = 16 * 1024;; window *= 4) {
+            const start = Math.max(0, size - window);
+            const buf = Buffer.alloc(size - start);
+            auditIo.readSync(fd, buf, 0, buf.length, start);
+            const lines = buf.toString("utf8").trimEnd().split("\n");
+            // Si la ventana empieza a mitad de una línea, la primera está cortada: vale la última si hay al menos dos.
+            if (lines.length >= 2 || start === 0) {
+                const last = JSON.parse(lines[lines.length - 1]);
+                return { seq: last.seq, hash: last.hash };
+            }
+        }
+    }
+    finally {
+        auditIo.closeSync(fd);
+    }
+}
+/**
+ * Bloqueo entre procesos (dos clientes MCP pueden tener cada uno su servidor): sin él, dos escrituras simultáneas
+ * leerían el mismo «prev» y romperían la cadena, que sería indistinguible de una manipulación.
+ */
+function withLock(dir, fn) {
+    const lock = join(dir, AUDIT_FILE + ".lock");
+    const deadline = Date.now() + 5_000;
+    for (;;) {
+        try {
+            auditIo.closeSync(auditIo.openSync(lock, "wx", 0o600));
+            break;
+        }
+        catch (e) {
+            if (e.code !== "EEXIST")
+                throw e;
+            // Un bloqueo de más de 30 s es de un proceso que murió a mitad: se recupera.
+            try {
+                if (Date.now() - auditIo.statSync(lock).mtimeMs > 30_000)
+                    auditIo.rmSync(lock, { force: true });
+            }
+            catch { }
+            if (Date.now() > deadline)
+                throw new Error("registro de auditoría bloqueado por otro proceso");
+            Atomics.wait(new Int32Array(new SharedArrayBuffer(4)), 0, 0, 25);
+        }
+    }
+    try {
+        return fn();
+    }
+    finally {
+        auditIo.rmSync(lock, { force: true });
+    }
 }
 /**
  * Añade una entrada. Lanza si no puede escribir: quien llama decide no
@@ -55,6 +105,12 @@ function lastEntry(path) {
 export function appendAudit(input, dir = stateDir()) {
     auditIo.mkdirSync(dir, { recursive: true, mode: 0o700 });
     const path = join(dir, AUDIT_FILE);
+    return withLock(dir, () => appendLocked(path, input));
+}
+function appendLocked(path, input) {
+    // La clave se obtiene (o se crea) ANTES de fechar la entrada: así la primera firmada nunca queda con una fecha
+    // anterior a la de la clave, y quitarle la firma no la hace pasar por una entrada antigua.
+    const key = auditKey(true);
     const prev = lastEntry(path);
     const base = {
         seq: prev.seq + 1,
@@ -63,14 +119,19 @@ export function appendAudit(input, dir = stateDir()) {
         args: auditArgs(input.args),
         prev: prev.hash,
     };
-    const entry = { ...base, hash: entryHash(base) };
+    const hash = entryHash(base);
+    const entry = key ? { ...base, hash, mac: macOf(key.key, hash) } : { ...base, hash };
     auditIo.appendFileSync(path, JSON.stringify(entry) + "\n", { mode: 0o600 });
     return entry;
 }
-/** Recorre la cadena completa: secuencia, enlace con la anterior y hash propio. */
-export function verifyAudit(text) {
+/**
+ * Recorre la cadena completa: secuencia, enlace con la anterior y hash propio. Con la clave, además, la firma de cada
+ * entrada; y toda entrada posterior a la creación de la clave TIENE que estar firmada (quitar firmas no sirve).
+ */
+export function verifyAudit(text, key) {
     const lines = text.split("\n").filter(Boolean);
     let prev = GENESIS;
+    let signed = 0;
     for (let i = 0; i < lines.length; i++) {
         let e;
         try {
@@ -79,15 +140,23 @@ export function verifyAudit(text) {
         catch {
             return { ok: false, entries: lines.length, brokenAt: i + 1, reason: "línea que no es JSON" };
         }
-        const { hash, ...rest } = e;
+        const { hash, mac, ...rest } = e;
         if (e.seq !== i + 1)
             return { ok: false, entries: lines.length, brokenAt: i + 1, reason: `secuencia ${e.seq}, se esperaba ${i + 1}` };
         if (e.prev !== prev)
             return { ok: false, entries: lines.length, brokenAt: i + 1, reason: "no enlaza con la entrada anterior" };
         if (entryHash(rest) !== hash)
             return { ok: false, entries: lines.length, brokenAt: i + 1, reason: "contenido alterado" };
+        if (key) {
+            if (mac !== undefined && mac !== macOf(key.key, hash))
+                return { ok: false, entries: lines.length, brokenAt: i + 1, reason: "firma HMAC inválida (cadena recalculada sin la clave)" };
+            if (mac === undefined && e.ts >= key.created)
+                return { ok: false, entries: lines.length, brokenAt: i + 1, reason: "entrada sin firma posterior a la creación de la clave (firma quitada)" };
+            if (mac !== undefined)
+                signed++;
+        }
         prev = hash;
     }
-    return { ok: true, entries: lines.length };
+    return key ? { ok: true, entries: lines.length, signed } : { ok: true, entries: lines.length };
 }
 //# sourceMappingURL=audit.js.map

package/dist/core/auditkey.js

@@ -0,0 +1,85 @@
+import { execFileSync } from "node:child_process";
+import { createHmac, randomBytes } from "node:crypto";
+/**
+ * Clave HMAC del registro de auditoría, guardada en el almacén de secretos del sistema operativo (llavero de macOS
+ * o Secret Service en Linux). Con ella, reescribir el registro exige además poder leer el llavero del usuario: un
+ * proceso sin acceso al llavero (u otro usuario del equipo) ya no puede recalcular la cadena y que pase por buena.
+ *
+ * Formato guardado: «v1:<fecha ISO de creación>:<64 hex>». La fecha permite detectar que se QUITARON firmas:
+ * toda entrada posterior a ella tiene que llevarla.
+ *
+ * ABAP_DZ_AUDIT_KEYSTORE: «os» (por defecto), «memory» (tests) o «none» (sin firma, se avisa).
+ */
+const SERVICE = "abap-adt-dozimple-audit";
+const ACCOUNT = "hmac";
+let cached;
+let memory;
+let warned = false;
+const parse = (v) => {
+    const m = /^v1:([^:]+(?::[^:]+)*?):([0-9a-f]{64})$/.exec((v ?? "").trim());
+    return m ? { created: m[1], key: Buffer.from(m[2], "hex") } : null;
+};
+function readOs() {
+    try {
+        if (process.platform === "darwin") {
+            return execFileSync("security", ["find-generic-password", "-s", SERVICE, "-a", ACCOUNT, "-w"], { encoding: "utf8", stdio: ["ignore", "pipe", "ignore"] });
+        }
+        if (process.platform === "linux") {
+            return execFileSync("secret-tool", ["lookup", "service", SERVICE, "account", ACCOUNT], { encoding: "utf8", stdio: ["ignore", "pipe", "ignore"] });
+        }
+    }
+    catch {
+        /* no existe todavía, o no hay almacén */
+    }
+    return undefined;
+}
+/** Guarda el valor sin pasarlo nunca como argumento de un proceso (visible en `ps`): siempre por stdin. */
+function writeOs(value) {
+    try {
+        if (process.platform === "darwin") {
+            execFileSync("security", ["-i"], { input: `add-generic-password -U -s ${SERVICE} -a ${ACCOUNT} -w ${value}\n`, stdio: ["pipe", "ignore", "ignore"] });
+            return parse(readOs())?.key.toString("hex") === value.split(":").pop();
+        }
+        if (process.platform === "linux") {
+            execFileSync("secret-tool", ["store", `--label=${SERVICE}`, "service", SERVICE, "account", ACCOUNT], { input: value, stdio: ["pipe", "ignore", "ignore"] });
+            return !!parse(readOs());
+        }
+    }
+    catch {
+        /* sin almacén disponible */
+    }
+    return false;
+}
+/**
+ * La clave, creándola la primera vez si `create`. null = no hay almacén de secretos: el registro sigue encadenado
+ * pero sin firma (y se avisa una vez por stderr).
+ */
+export function auditKey(create = true) {
+    if (cached !== undefined && (cached || !create))
+        return cached;
+    const mode = process.env.ABAP_DZ_AUDIT_KEYSTORE ?? "os";
+    if (mode === "none")
+        return (cached = null);
+    const read = () => (mode === "memory" ? memory : readOs());
+    let k = parse(read());
+    if (!k && create) {
+        const value = `v1:${new Date().toISOString()}:${randomBytes(32).toString("hex")}`;
+        if (mode === "memory")
+            memory = value;
+        else if (!writeOs(value)) {
+            if (!warned)
+                console.error("[abap-adt-doZimple] ⚠ Sin almacén de secretos: el registro de auditoría queda encadenado pero sin firma HMAC.");
+            warned = true;
+            return (cached = null);
+        }
+        k = parse(read());
+    }
+    return (cached = k);
+}
+/** Solo tests: olvida la clave en memoria (como si fuera otro equipo o se hubiera borrado). */
+export function resetAuditKeyForTests() {
+    cached = undefined;
+    memory = undefined;
+}
+export const macOf = (key, hash) => createHmac("sha256", key).update(hash).digest("hex");
+//# sourceMappingURL=auditkey.js.map

package/dist/core/catalog.en.js

@@ -48,6 +48,7 @@ export const TOOLS_EN = {
     abap_lint: "**abaplint on a snippet.** Runs abaplint locally (code never leaves the machine) on an ABAP snippet or source.",
     docs_community_search: "**Search SAP Community.** Searches SAP Community (blogs and questions) by error message, class or concept.",
     write_source: "**Save source to SAP.** Replaces the FULL source of an existing object (or class include) in the given transport, after a preview with syntax check and diff and a human confirmation.",
+    revert_source: "**Revert to an earlier version.** Writes back an earlier version of an object (the last active one, the one before it, or a numbered one from object_versions) through the same preview, fingerprint, lock and transport as write_source; never reverts on its own.",
     activate: "**Activate object.** Activates an object and returns SAP's messages as they are (errors with line, warnings, objects left inactive).",
     write_text_elements: "**Create or change text symbols.** Adds or changes text symbols (or selection texts) of a program/class/group, merging with the existing ones: nothing not mentioned is deleted.",
     create_transport: "**Create transport request.** Creates a workbench request for an object's package BEFORE the first edit, so the change lands in the ticket's transport and not in a reused task.",

package/dist/core/catalog.js

@@ -100,6 +100,7 @@ export const GROUPS = [
         pitch: "Guardar cambios solo en desarrollo, en la orden correcta y con la sintaxis verificada antes.",
         tools: [
             { name: "write_source", credits: ADT },
+            { name: "revert_source", credits: ADT },
             { name: "activate", credits: ADT },
             { name: "write_text_elements", credits: ADT },
             { name: "create_transport", credits: ADT },