@fiado/api-invoker 5.34.0 → 5.36.0

package/.github/workflows/npm-publish.yml

@@ -0,0 +1,31 @@
+name: "Publish to npm"
+
+on:
+  push:
+    branches: [ develop ]
+    paths-ignore:
+      - '**.md'
+      - 'docs/**'
+      - '.github/**'
+      - '.gitignore'
+      - '.npmignore'
+  workflow_dispatch:
+    inputs:
+      dry-run:
+        description: 'Corre build, test y npm publish --dry-run sin publicar de verdad'
+        required: false
+        default: false
+        type: boolean
+
+concurrency:
+  group: npm-publish-${{ github.ref }}
+  cancel-in-progress: false
+
+jobs:
+  publish:
+    uses: Fiado-Today/github-workflows/.github/workflows/npm-publish.yml@develop
+    permissions:
+      contents: write
+    with:
+      dry-run: ${{ inputs.dry-run == true }}
+    secrets: inherit

package/bin/datacultrConnector/api/DatacultrConnectorApi.d.ts

@@ -0,0 +1,28 @@
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { DeviceAutoLockScheduleRequest, DeviceAutoLockScheduleResponse, DeviceEnrollInitiateResponse, DeviceEnrollRequest, DeviceEnrollStatusRequest, DeviceEnrollStatusResponse, DeviceLastSeenRequest, DeviceLastSeenResponse, DeviceLockRequest, DeviceLockResponse, DeviceStatusRequest, DeviceStatusResponse, DeviceUnlockRequest, DeviceUnlockResponse } from "@fiado/type-kit/bin/mdm/index.js";
+import { DeviceBatchRequest, DeviceBatchResult, IDatacultrConnectorApi } from "./interfaces/IDatacultrConnectorApi.js";
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+export default class DatacultrConnectorApi implements IDatacultrConnectorApi {
+    private httpRequest;
+    private readonly baseUrl;
+    constructor(httpRequest: IHttpRequest);
+    enrollDevices(input: DeviceBatchRequest<DeviceEnrollRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+    enrollStatus(input: DeviceBatchRequest<DeviceEnrollStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+    getStatus(input: DeviceBatchRequest<DeviceStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+    getLastSeen(input: DeviceBatchRequest<DeviceLastSeenRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+    lockDevices(input: DeviceBatchRequest<DeviceLockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+    unlockDevices(input: DeviceBatchRequest<DeviceUnlockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+    autoLockSchedule(input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/bin/datacultrConnector/api/DatacultrConnectorApi.js

@@ -0,0 +1,60 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+var __param = (this && this.__param) || function (paramIndex, decorator) {
+    return function (target, key) { decorator(target, key, paramIndex); }
+};
+import { inject, injectable } from "inversify";
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+let DatacultrConnectorApi = class DatacultrConnectorApi {
+    httpRequest;
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//devices".
+    baseUrl = (process.env.DATACULTR_CONNECTOR_URL || "").replace(/\/+$/, "");
+    constructor(httpRequest) {
+        this.httpRequest = httpRequest;
+    }
+    async enrollDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll`, input);
+    }
+    async enrollStatus(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll/status`, input);
+    }
+    async getStatus(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/status`, input);
+    }
+    async getLastSeen(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/last-seen`, input);
+    }
+    async lockDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/lock`, input);
+    }
+    async unlockDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/unlock`, input);
+    }
+    async autoLockSchedule(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/auto-lock-schedule`, input);
+    }
+};
+DatacultrConnectorApi = __decorate([
+    injectable(),
+    __param(0, inject("IHttpRequest")),
+    __metadata("design:paramtypes", [Object])
+], DatacultrConnectorApi);
+export default DatacultrConnectorApi;

package/bin/datacultrConnector/api/interfaces/IDatacultrConnectorApi.d.ts

@@ -0,0 +1,105 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { DeviceAutoLockScheduleRequest, DeviceAutoLockScheduleResponse, DeviceEnrollInitiateResponse, DeviceEnrollRequest, DeviceEnrollStatusRequest, DeviceEnrollStatusResponse, DeviceLastSeenRequest, DeviceLastSeenResponse, DeviceLockRequest, DeviceLockResponse, DeviceStatusRequest, DeviceStatusResponse, DeviceUnlockRequest, DeviceUnlockResponse } from "@fiado/type-kit/bin/mdm/index.js";
+/**
+ * Contrato del publisher HTTP del lambda `datacultr-connector` — el provider MDM que traduce el
+ * contrato agnóstico de dispositivo (`@fiado/type-kit/bin/mdm`) a la API de Datacultr. Su consumidor
+ * es el módulo `device/` de `loan-credit-business` (`MdmConnectorClient`), que NUNCA le pega por
+ * `http-client` directo: entre lambdas Fiado se habla siempre por `@fiado/api-invoker`.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * PATHS — `/devices/...`, SIN prefijo `/private`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * A diferencia de la mayoría de los privados Fiado (`/private/...`), el `PrivateController` de este
+ * connector declara los paths como `/devices/enroll`, `/devices/status`, etc. El aislamiento no lo da
+ * el prefijo sino la red: la API privada es `EndpointConfiguration: PRIVATE` con ResourcePolicy que
+ * deniega todo lo que no venga de los VPC Endpoints de Fiado.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * SIN TENANT — hoy el connector es efectivamente single-tenant.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Ningún método lleva `tenantId` porque el destino NO lo resuelve: su `PrivateController` no lee
+ * `X-Tenant-Id` ni `x-tenant-issuer` (cero referencias en el repo). Las credenciales de Datacultr
+ * salen de un único secret del lambda. DEUDA a levantar cuando el connector implemente M6
+ * (multi-tenant del MDM): ahí este contrato suma el tenant y pasa a ser un cambio MAJOR.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * AUTORIZACIÓN — `Feature.ANONIMUS`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Los privados del connector son `Feature.ANONIMUS`: sin RBAC y sin claims. La única protección es
+ * la VPC, así que el caller no manda `Authorization` ni headers de identidad.
+ *
+ * ⚠️ Retorno `StandardResponse<T>` — el consumer lee `result.data`, NO `result.body`.
+ * Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ * `DomainError` tipado del destino. Nunca fallback: el caller jamás recibe un batch vacío
+ * disfrazado de éxito.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error` opcional.
+ *   Un 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer `results` y decidir por ítem.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` no lleva el motivo: el motivo vive solo en `error`.
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+/**
+ * Sobre de entrada de los endpoints batch del connector. No vive en `@fiado/type-kit/bin/mdm`
+ * porque los DTOs publicados son de UN imei; el sobre es dominio del líder (gap E8), migrar a
+ * type-kit cuando lo publique.
+ */
+export interface DeviceBatchRequest<TItem> {
+    items: TItem[];
+}
+/** Sobre de salida de los endpoints batch: viaja dentro de `StandardResponse.data`. Mismo gap E8. */
+export interface DeviceBatchResult<TItem> {
+    results: TItem[];
+}
+export interface IDatacultrConnectorApi {
+    /**
+     * POST `/devices/enroll` — pre-registra la expectativa de enrolamiento de cada IMEI.
+     *
+     * ⚠️ NO TOCA AL PROVEEDOR. Textual del openapi del destino: "Pre-registrar expectativa de
+     * enrollment (no toca provider) — DC no acepta enrollment outbound; el webhook inbound (B10) es
+     * quien actualiza la row a SUCCESS". Solo persiste una row `PENDING` en `PendingOperation_GT`.
+     *
+     * ⚠️ Y Datacultr confirmó por correo (2026-08-18) que NO MANDA WEBHOOKS. Sumando las dos: hoy un
+     * enrolamiento iniciado por esta vía queda `PENDING` PARA SIEMPRE. El caller NO debe tratar el
+     * `PENDING` como "en vuelo, ya se va a resolver" — no hay quien lo resuelva mientras el webhook
+     * inbound no exista. El enrolamiento real se hace hoy fuera de banda, en la consola de Datacultr.
+     */
+    enrollDevices(input: DeviceBatchRequest<DeviceEnrollRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+    /**
+     * POST `/devices/enroll/status` — estado del enrolamiento de cada IMEI. Lee DDB, no toca al
+     * proveedor.
+     *
+     * ⚠️ Espeja la limitación de `enrollDevices`: como nadie actualiza la row (Datacultr no manda
+     * webhooks), este método devuelve `PENDING` indefinidamente para todo lo iniciado por esa vía.
+     * Un `PENDING` acá NO es señal de progreso.
+     */
+    enrollStatus(input: DeviceBatchRequest<DeviceEnrollStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+    /**
+     * POST `/devices/status` — estado actual de cada IMEI (bloqueado, libre, sin enrolar).
+     * Si el batch trae un solo ítem, el destino cae a Registration Status y enriquece brand/model.
+     */
+    getStatus(input: DeviceBatchRequest<DeviceStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+    /** POST `/devices/last-seen` — último contacto reportado por cada IMEI (señal de vida). */
+    getLastSeen(input: DeviceBatchRequest<DeviceLastSeenRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+    /**
+     * POST `/devices/lock` — bloquea cada IMEI.
+     * Los ítems con `mode: TEMPORARY` se degradan por ítem con `PROVIDER_NOT_SUPPORTED` sin llegar al
+     * proveedor: Datacultr solo soporta el bloqueo firme.
+     */
+    lockDevices(input: DeviceBatchRequest<DeviceLockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+    /** POST `/devices/unlock` — desbloquea cada IMEI. */
+    unlockDevices(input: DeviceBatchRequest<DeviceUnlockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+    /**
+     * POST `/devices/auto-lock-schedule` — programa el bloqueo de cada IMEI en una fecha futura.
+     * `lockAt` es ISO8601 UTC y el destino valida `lockAt > now` antes de llamar al proveedor.
+     * Es la vía real del bloqueo en Datacultr: el inmediato no surte efecto, el programado sí.
+     */
+    autoLockSchedule(input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/bin/datacultrConnector/api/interfaces/IDatacultrConnectorApi.js

@@ -0,0 +1 @@
+export {};

package/bin/datacultrConnector/index.d.ts

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/bin/datacultrConnector/index.js

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/bin/index.d.ts

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/bin/index.js

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/bin/loanCredit/api/LoanCreditDeviceApi.d.ts

@@ -0,0 +1,27 @@
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { LoanDeviceEnrollRequest, LoanDeviceEnrollResponse, LoanDeviceEnrollStatusRequest, LoanDeviceEnrollStatusResponse, LoanDeviceLastSeenRequest, LoanDeviceLastSeenResponse, LoanDeviceManualLockRequest, LoanDeviceManualLockResponse, LoanDeviceManualUnlockRequest, LoanDeviceManualUnlockResponse, LoanDeviceStatusRequest, LoanDeviceStatusResponse } from "@fiado/type-kit/bin/loanCredit/index.js";
+import { ILoanCreditDeviceApi } from "./interfaces/ILoanCreditDeviceApi.js";
+/**
+ * Publisher HTTP de los endpoints de dispositivo/MDM del lambda `loan-credit-business`
+ * (componente 09 SureKeep F2). Contrato y semántica completos → `ILoanCreditDeviceApi`
+ * (tenantId obligatorio, `StandardResponse` → leer `result.data`, granularidad por ítem).
+ *
+ * Env var requerida en el consumer: `LOAN_CREDIT_BUSINESS_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   LOAN_CREDIT_BUSINESS_URL: '{{resolve:ssm:loan-credit-business}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+export default class LoanCreditDeviceApi implements ILoanCreditDeviceApi {
+    private httpRequest;
+    private readonly baseUrl;
+    constructor(httpRequest: IHttpRequest);
+    enroll(input: LoanDeviceEnrollRequest, tenantId: string): Promise<StandardResponse<LoanDeviceEnrollResponse>>;
+    getEnrollStatus(input: LoanDeviceEnrollStatusRequest, tenantId: string): Promise<StandardResponse<LoanDeviceEnrollStatusResponse>>;
+    getStatus(input: LoanDeviceStatusRequest, tenantId: string): Promise<StandardResponse<LoanDeviceStatusResponse>>;
+    getLastSeen(input: LoanDeviceLastSeenRequest, tenantId: string): Promise<StandardResponse<LoanDeviceLastSeenResponse>>;
+    manualLock(input: LoanDeviceManualLockRequest, tenantId: string): Promise<StandardResponse<LoanDeviceManualLockResponse>>;
+    manualUnlock(input: LoanDeviceManualUnlockRequest, tenantId: string): Promise<StandardResponse<LoanDeviceManualUnlockResponse>>;
+}

package/bin/loanCredit/api/LoanCreditDeviceApi.js

@@ -0,0 +1,63 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+var __param = (this && this.__param) || function (paramIndex, decorator) {
+    return function (target, key) { decorator(target, key, paramIndex); }
+};
+import { inject, injectable } from "inversify";
+/**
+ * Publisher HTTP de los endpoints de dispositivo/MDM del lambda `loan-credit-business`
+ * (componente 09 SureKeep F2). Contrato y semántica completos → `ILoanCreditDeviceApi`
+ * (tenantId obligatorio, `StandardResponse` → leer `result.data`, granularidad por ítem).
+ *
+ * Env var requerida en el consumer: `LOAN_CREDIT_BUSINESS_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   LOAN_CREDIT_BUSINESS_URL: '{{resolve:ssm:loan-credit-business}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+let LoanCreditDeviceApi = class LoanCreditDeviceApi {
+    httpRequest;
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//private".
+    baseUrl = (process.env.LOAN_CREDIT_BUSINESS_URL || "").replace(/\/+$/, "");
+    constructor(httpRequest) {
+        this.httpRequest = httpRequest;
+    }
+    async enroll(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/enroll?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+    async getEnrollStatus(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/enroll-status?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+    async getStatus(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/status?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+    async getLastSeen(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/last-seen?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+    async manualLock(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/manual-lock?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+    async manualUnlock(input, tenantId) {
+        const url = `${this.baseUrl}/private/devices/manual-unlock?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+};
+LoanCreditDeviceApi = __decorate([
+    injectable(),
+    __param(0, inject("IHttpRequest")),
+    __metadata("design:paramtypes", [Object])
+], LoanCreditDeviceApi);
+export default LoanCreditDeviceApi;

package/bin/loanCredit/api/interfaces/ILoanCreditDeviceApi.d.ts

@@ -0,0 +1,57 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { LoanDeviceEnrollRequest, LoanDeviceEnrollResponse, LoanDeviceEnrollStatusRequest, LoanDeviceEnrollStatusResponse, LoanDeviceLastSeenRequest, LoanDeviceLastSeenResponse, LoanDeviceManualLockRequest, LoanDeviceManualLockResponse, LoanDeviceManualUnlockRequest, LoanDeviceManualUnlockResponse, LoanDeviceStatusRequest, LoanDeviceStatusResponse } from "@fiado/type-kit/bin/loanCredit/index.js";
+/**
+ * Contrato del publisher de dispositivo/MDM de `loan-credit-business` (componente 09 SureKeep F2).
+ * Endpoints PRIVADOS (VPC) que envuelven al motor MDM: enrolamiento del equipo, consulta de estado
+ * y bloqueo/desbloqueo manual. El contrato de crédito vive en `ILoanCreditBusinessApi`.
+ *
+ * Convenciones (idénticas a `ILoanCreditBusinessApi`):
+ * - `tenantId` OBLIGATORIO en todos los métodos — viaja por query `?tenantId=` (convención de los
+ *   privados Fiado). Sin él el lambda responde `400 UNKNOWN_TENANT` (fail-closed, nunca default).
+ * - Retorna `StandardResponse<T>` → leer `result.data` (NO `result.body`).
+ * - Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ *   `DomainError` tipado del motor — `400 UNKNOWN_TENANT` / `400` de validación del body /
+ *   `5xx` del motor. Nunca fallback: el caller jamás recibe un batch vacío disfrazado de éxito.
+ * - Idempotencia: las 3 mutaciones (`enroll`, `manualLock`, `manualUnlock`) son idempotentes por
+ *   `input.operationReference` — es el idempotencyKey del caller. Reintentar el mismo lote con la
+ *   misma referencia no vuelve a enrolar ni a bloquear; sin ella un retry tras timeout duplica.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error`
+ *   opcional. Un `StandardResponse` 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer
+ *   `results` y decidir por ítem — nunca asumir éxito global por el status HTTP.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` del ítem NO lleva el motivo: el motivo vive solo en `error`.
+ * - `status: PENDING` = operación asíncrona en vuelo (típico de `enroll`). La resuelve el polling
+ *   interno del motor; el caller la consulta después con `getEnrollStatus`.
+ *
+ * Env var requerida en el consumer:
+ *
+ *   LOAN_CREDIT_BUSINESS_URL: '{{resolve:ssm:loan-credit-business}}'
+ */
+export interface ILoanCreditDeviceApi {
+    /**
+     * Enrola el equipo del crédito en el MDM (paso 09 del wizard). Típicamente devuelve el ítem en
+     * `PENDING`: el enrolamiento es asíncrono y se confirma después con `getEnrollStatus`.
+     */
+    enroll(input: LoanDeviceEnrollRequest, tenantId: string): Promise<StandardResponse<LoanDeviceEnrollResponse>>;
+    /**
+     * Consulta en qué punto va el enrolamiento de cada crédito.
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getEnrollStatus(input: LoanDeviceEnrollStatusRequest, tenantId: string): Promise<StandardResponse<LoanDeviceEnrollStatusResponse>>;
+    /**
+     * Estado actual del dispositivo de cada crédito (bloqueado, libre, sin enrolar).
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getStatus(input: LoanDeviceStatusRequest, tenantId: string): Promise<StandardResponse<LoanDeviceStatusResponse>>;
+    /**
+     * Último contacto reportado por el dispositivo de cada crédito (señal de vida para cobranza).
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getLastSeen(input: LoanDeviceLastSeenRequest, tenantId: string): Promise<StandardResponse<LoanDeviceLastSeenResponse>>;
+    /** Bloqueo manual del dispositivo disparado desde el backoffice (acción de un operador). */
+    manualLock(input: LoanDeviceManualLockRequest, tenantId: string): Promise<StandardResponse<LoanDeviceManualLockResponse>>;
+    /** Desbloqueo manual del dispositivo disparado desde el backoffice (acción de un operador). */
+    manualUnlock(input: LoanDeviceManualUnlockRequest, tenantId: string): Promise<StandardResponse<LoanDeviceManualUnlockResponse>>;
+}

package/bin/loanCredit/api/interfaces/ILoanCreditDeviceApi.js

@@ -0,0 +1 @@
+export {};

package/bin/loanCredit/index.d.ts

@@ -1,2 +1,4 @@
 export * from "./api/interfaces/ILoanCreditBusinessApi.js";
 export { default as LoanCreditBusinessApi } from "./api/LoanCreditBusinessApi.js";
+export * from "./api/interfaces/ILoanCreditDeviceApi.js";
+export { default as LoanCreditDeviceApi } from "./api/LoanCreditDeviceApi.js";

package/bin/loanCredit/index.js

@@ -1,2 +1,4 @@
 export * from "./api/interfaces/ILoanCreditBusinessApi.js";
 export { default as LoanCreditBusinessApi } from "./api/LoanCreditBusinessApi.js";
+export * from "./api/interfaces/ILoanCreditDeviceApi.js";
+export { default as LoanCreditDeviceApi } from "./api/LoanCreditDeviceApi.js";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/api-invoker",
-    "version": "5.34.0",
+    "version": "5.36.0",
   "description": "Sirve como un puente entre diferentes funciones lambda, facilitando la comunicación entre ellas a través de invocaciones http",
   "type": "module",
   "main": "bin/index.js",
@@ -34,7 +34,7 @@
     "@fiado/gateway-adapter": "^3.9.0",
     "@fiado/http-client": "^2.0.1",
     "@fiado/logger": "^1.1.3",
-    "@fiado/type-kit": "^3.327.0",
+    "@fiado/type-kit": "^3.329.0",
     "dotenv": "^16.4.7"
   },
   "peerDependencies": {

package/src/datacultrConnector/api/DatacultrConnectorApi.ts

@@ -0,0 +1,86 @@
+import { inject, injectable } from "inversify";
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    DeviceAutoLockScheduleRequest,
+    DeviceAutoLockScheduleResponse,
+    DeviceEnrollInitiateResponse,
+    DeviceEnrollRequest,
+    DeviceEnrollStatusRequest,
+    DeviceEnrollStatusResponse,
+    DeviceLastSeenRequest,
+    DeviceLastSeenResponse,
+    DeviceLockRequest,
+    DeviceLockResponse,
+    DeviceStatusRequest,
+    DeviceStatusResponse,
+    DeviceUnlockRequest,
+    DeviceUnlockResponse,
+} from "@fiado/type-kit/bin/mdm/index.js";
+import {
+    DeviceBatchRequest,
+    DeviceBatchResult,
+    IDatacultrConnectorApi,
+} from "./interfaces/IDatacultrConnectorApi.js";
+
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+@injectable()
+export default class DatacultrConnectorApi implements IDatacultrConnectorApi {
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//devices".
+    private readonly baseUrl = (process.env.DATACULTR_CONNECTOR_URL || "").replace(/\/+$/, "");
+
+    constructor(@inject("IHttpRequest") private httpRequest: IHttpRequest) {}
+
+    async enrollDevices(
+        input: DeviceBatchRequest<DeviceEnrollRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll`, input);
+    }
+
+    async enrollStatus(
+        input: DeviceBatchRequest<DeviceEnrollStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll/status`, input);
+    }
+
+    async getStatus(
+        input: DeviceBatchRequest<DeviceStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/status`, input);
+    }
+
+    async getLastSeen(
+        input: DeviceBatchRequest<DeviceLastSeenRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/last-seen`, input);
+    }
+
+    async lockDevices(
+        input: DeviceBatchRequest<DeviceLockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/lock`, input);
+    }
+
+    async unlockDevices(
+        input: DeviceBatchRequest<DeviceUnlockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/unlock`, input);
+    }
+
+    async autoLockSchedule(
+        input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/auto-lock-schedule`, input);
+    }
+}

package/src/datacultrConnector/api/interfaces/IDatacultrConnectorApi.ts

@@ -0,0 +1,144 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    DeviceAutoLockScheduleRequest,
+    DeviceAutoLockScheduleResponse,
+    DeviceEnrollInitiateResponse,
+    DeviceEnrollRequest,
+    DeviceEnrollStatusRequest,
+    DeviceEnrollStatusResponse,
+    DeviceLastSeenRequest,
+    DeviceLastSeenResponse,
+    DeviceLockRequest,
+    DeviceLockResponse,
+    DeviceStatusRequest,
+    DeviceStatusResponse,
+    DeviceUnlockRequest,
+    DeviceUnlockResponse,
+} from "@fiado/type-kit/bin/mdm/index.js";
+
+/**
+ * Contrato del publisher HTTP del lambda `datacultr-connector` — el provider MDM que traduce el
+ * contrato agnóstico de dispositivo (`@fiado/type-kit/bin/mdm`) a la API de Datacultr. Su consumidor
+ * es el módulo `device/` de `loan-credit-business` (`MdmConnectorClient`), que NUNCA le pega por
+ * `http-client` directo: entre lambdas Fiado se habla siempre por `@fiado/api-invoker`.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * PATHS — `/devices/...`, SIN prefijo `/private`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * A diferencia de la mayoría de los privados Fiado (`/private/...`), el `PrivateController` de este
+ * connector declara los paths como `/devices/enroll`, `/devices/status`, etc. El aislamiento no lo da
+ * el prefijo sino la red: la API privada es `EndpointConfiguration: PRIVATE` con ResourcePolicy que
+ * deniega todo lo que no venga de los VPC Endpoints de Fiado.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * SIN TENANT — hoy el connector es efectivamente single-tenant.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Ningún método lleva `tenantId` porque el destino NO lo resuelve: su `PrivateController` no lee
+ * `X-Tenant-Id` ni `x-tenant-issuer` (cero referencias en el repo). Las credenciales de Datacultr
+ * salen de un único secret del lambda. DEUDA a levantar cuando el connector implemente M6
+ * (multi-tenant del MDM): ahí este contrato suma el tenant y pasa a ser un cambio MAJOR.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * AUTORIZACIÓN — `Feature.ANONIMUS`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Los privados del connector son `Feature.ANONIMUS`: sin RBAC y sin claims. La única protección es
+ * la VPC, así que el caller no manda `Authorization` ni headers de identidad.
+ *
+ * ⚠️ Retorno `StandardResponse<T>` — el consumer lee `result.data`, NO `result.body`.
+ * Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ * `DomainError` tipado del destino. Nunca fallback: el caller jamás recibe un batch vacío
+ * disfrazado de éxito.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error` opcional.
+ *   Un 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer `results` y decidir por ítem.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` no lleva el motivo: el motivo vive solo en `error`.
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+
+/**
+ * Sobre de entrada de los endpoints batch del connector. No vive en `@fiado/type-kit/bin/mdm`
+ * porque los DTOs publicados son de UN imei; el sobre es dominio del líder (gap E8), migrar a
+ * type-kit cuando lo publique.
+ */
+export interface DeviceBatchRequest<TItem> {
+    items: TItem[];
+}
+
+/** Sobre de salida de los endpoints batch: viaja dentro de `StandardResponse.data`. Mismo gap E8. */
+export interface DeviceBatchResult<TItem> {
+    results: TItem[];
+}
+
+export interface IDatacultrConnectorApi {
+    /**
+     * POST `/devices/enroll` — pre-registra la expectativa de enrolamiento de cada IMEI.
+     *
+     * ⚠️ NO TOCA AL PROVEEDOR. Textual del openapi del destino: "Pre-registrar expectativa de
+     * enrollment (no toca provider) — DC no acepta enrollment outbound; el webhook inbound (B10) es
+     * quien actualiza la row a SUCCESS". Solo persiste una row `PENDING` en `PendingOperation_GT`.
+     *
+     * ⚠️ Y Datacultr confirmó por correo (2026-08-18) que NO MANDA WEBHOOKS. Sumando las dos: hoy un
+     * enrolamiento iniciado por esta vía queda `PENDING` PARA SIEMPRE. El caller NO debe tratar el
+     * `PENDING` como "en vuelo, ya se va a resolver" — no hay quien lo resuelva mientras el webhook
+     * inbound no exista. El enrolamiento real se hace hoy fuera de banda, en la consola de Datacultr.
+     */
+    enrollDevices(
+        input: DeviceBatchRequest<DeviceEnrollRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+
+    /**
+     * POST `/devices/enroll/status` — estado del enrolamiento de cada IMEI. Lee DDB, no toca al
+     * proveedor.
+     *
+     * ⚠️ Espeja la limitación de `enrollDevices`: como nadie actualiza la row (Datacultr no manda
+     * webhooks), este método devuelve `PENDING` indefinidamente para todo lo iniciado por esa vía.
+     * Un `PENDING` acá NO es señal de progreso.
+     */
+    enrollStatus(
+        input: DeviceBatchRequest<DeviceEnrollStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+
+    /**
+     * POST `/devices/status` — estado actual de cada IMEI (bloqueado, libre, sin enrolar).
+     * Si el batch trae un solo ítem, el destino cae a Registration Status y enriquece brand/model.
+     */
+    getStatus(
+        input: DeviceBatchRequest<DeviceStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+
+    /** POST `/devices/last-seen` — último contacto reportado por cada IMEI (señal de vida). */
+    getLastSeen(
+        input: DeviceBatchRequest<DeviceLastSeenRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+
+    /**
+     * POST `/devices/lock` — bloquea cada IMEI.
+     * Los ítems con `mode: TEMPORARY` se degradan por ítem con `PROVIDER_NOT_SUPPORTED` sin llegar al
+     * proveedor: Datacultr solo soporta el bloqueo firme.
+     */
+    lockDevices(
+        input: DeviceBatchRequest<DeviceLockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+
+    /** POST `/devices/unlock` — desbloquea cada IMEI. */
+    unlockDevices(
+        input: DeviceBatchRequest<DeviceUnlockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+
+    /**
+     * POST `/devices/auto-lock-schedule` — programa el bloqueo de cada IMEI en una fecha futura.
+     * `lockAt` es ISO8601 UTC y el destino valida `lockAt > now` antes de llamar al proveedor.
+     * Es la vía real del bloqueo en Datacultr: el inmediato no surte efecto, el programado sí.
+     */
+    autoLockSchedule(
+        input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/src/datacultrConnector/index.ts

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/src/index.ts

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/src/loanCredit/api/LoanCreditDeviceApi.ts

@@ -0,0 +1,86 @@
+import { inject, injectable } from "inversify";
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    LoanDeviceEnrollRequest,
+    LoanDeviceEnrollResponse,
+    LoanDeviceEnrollStatusRequest,
+    LoanDeviceEnrollStatusResponse,
+    LoanDeviceLastSeenRequest,
+    LoanDeviceLastSeenResponse,
+    LoanDeviceManualLockRequest,
+    LoanDeviceManualLockResponse,
+    LoanDeviceManualUnlockRequest,
+    LoanDeviceManualUnlockResponse,
+    LoanDeviceStatusRequest,
+    LoanDeviceStatusResponse,
+} from "@fiado/type-kit/bin/loanCredit/index.js";
+import { ILoanCreditDeviceApi } from "./interfaces/ILoanCreditDeviceApi.js";
+
+/**
+ * Publisher HTTP de los endpoints de dispositivo/MDM del lambda `loan-credit-business`
+ * (componente 09 SureKeep F2). Contrato y semántica completos → `ILoanCreditDeviceApi`
+ * (tenantId obligatorio, `StandardResponse` → leer `result.data`, granularidad por ítem).
+ *
+ * Env var requerida en el consumer: `LOAN_CREDIT_BUSINESS_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   LOAN_CREDIT_BUSINESS_URL: '{{resolve:ssm:loan-credit-business}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+@injectable()
+export default class LoanCreditDeviceApi implements ILoanCreditDeviceApi {
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//private".
+    private readonly baseUrl = (process.env.LOAN_CREDIT_BUSINESS_URL || "").replace(/\/+$/, "");
+
+    constructor(@inject("IHttpRequest") private httpRequest: IHttpRequest) {}
+
+    async enroll(
+        input: LoanDeviceEnrollRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceEnrollResponse>> {
+        const url = `${this.baseUrl}/private/devices/enroll?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    async getEnrollStatus(
+        input: LoanDeviceEnrollStatusRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceEnrollStatusResponse>> {
+        const url = `${this.baseUrl}/private/devices/enroll-status?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    async getStatus(
+        input: LoanDeviceStatusRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceStatusResponse>> {
+        const url = `${this.baseUrl}/private/devices/status?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    async getLastSeen(
+        input: LoanDeviceLastSeenRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceLastSeenResponse>> {
+        const url = `${this.baseUrl}/private/devices/last-seen?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    async manualLock(
+        input: LoanDeviceManualLockRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceManualLockResponse>> {
+        const url = `${this.baseUrl}/private/devices/manual-lock?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    async manualUnlock(
+        input: LoanDeviceManualUnlockRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceManualUnlockResponse>> {
+        const url = `${this.baseUrl}/private/devices/manual-unlock?tenantId=${encodeURIComponent(tenantId)}`;
+        return await this.httpRequest.post(url, input);
+    }
+}

package/src/loanCredit/api/interfaces/ILoanCreditDeviceApi.ts

@@ -0,0 +1,94 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    LoanDeviceEnrollRequest,
+    LoanDeviceEnrollResponse,
+    LoanDeviceEnrollStatusRequest,
+    LoanDeviceEnrollStatusResponse,
+    LoanDeviceLastSeenRequest,
+    LoanDeviceLastSeenResponse,
+    LoanDeviceManualLockRequest,
+    LoanDeviceManualLockResponse,
+    LoanDeviceManualUnlockRequest,
+    LoanDeviceManualUnlockResponse,
+    LoanDeviceStatusRequest,
+    LoanDeviceStatusResponse,
+} from "@fiado/type-kit/bin/loanCredit/index.js";
+
+/**
+ * Contrato del publisher de dispositivo/MDM de `loan-credit-business` (componente 09 SureKeep F2).
+ * Endpoints PRIVADOS (VPC) que envuelven al motor MDM: enrolamiento del equipo, consulta de estado
+ * y bloqueo/desbloqueo manual. El contrato de crédito vive en `ILoanCreditBusinessApi`.
+ *
+ * Convenciones (idénticas a `ILoanCreditBusinessApi`):
+ * - `tenantId` OBLIGATORIO en todos los métodos — viaja por query `?tenantId=` (convención de los
+ *   privados Fiado). Sin él el lambda responde `400 UNKNOWN_TENANT` (fail-closed, nunca default).
+ * - Retorna `StandardResponse<T>` → leer `result.data` (NO `result.body`).
+ * - Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ *   `DomainError` tipado del motor — `400 UNKNOWN_TENANT` / `400` de validación del body /
+ *   `5xx` del motor. Nunca fallback: el caller jamás recibe un batch vacío disfrazado de éxito.
+ * - Idempotencia: las 3 mutaciones (`enroll`, `manualLock`, `manualUnlock`) son idempotentes por
+ *   `input.operationReference` — es el idempotencyKey del caller. Reintentar el mismo lote con la
+ *   misma referencia no vuelve a enrolar ni a bloquear; sin ella un retry tras timeout duplica.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error`
+ *   opcional. Un `StandardResponse` 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer
+ *   `results` y decidir por ítem — nunca asumir éxito global por el status HTTP.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` del ítem NO lleva el motivo: el motivo vive solo en `error`.
+ * - `status: PENDING` = operación asíncrona en vuelo (típico de `enroll`). La resuelve el polling
+ *   interno del motor; el caller la consulta después con `getEnrollStatus`.
+ *
+ * Env var requerida en el consumer:
+ *
+ *   LOAN_CREDIT_BUSINESS_URL: '{{resolve:ssm:loan-credit-business}}'
+ */
+export interface ILoanCreditDeviceApi {
+    /**
+     * Enrola el equipo del crédito en el MDM (paso 09 del wizard). Típicamente devuelve el ítem en
+     * `PENDING`: el enrolamiento es asíncrono y se confirma después con `getEnrollStatus`.
+     */
+    enroll(
+        input: LoanDeviceEnrollRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceEnrollResponse>>;
+
+    /**
+     * Consulta en qué punto va el enrolamiento de cada crédito.
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getEnrollStatus(
+        input: LoanDeviceEnrollStatusRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceEnrollStatusResponse>>;
+
+    /**
+     * Estado actual del dispositivo de cada crédito (bloqueado, libre, sin enrolar).
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getStatus(
+        input: LoanDeviceStatusRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceStatusResponse>>;
+
+    /**
+     * Último contacto reportado por el dispositivo de cada crédito (señal de vida para cobranza).
+     * Es POST y no GET porque el lote de `creditIds` puede traer miles de ids y no caben en la URL.
+     */
+    getLastSeen(
+        input: LoanDeviceLastSeenRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceLastSeenResponse>>;
+
+    /** Bloqueo manual del dispositivo disparado desde el backoffice (acción de un operador). */
+    manualLock(
+        input: LoanDeviceManualLockRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceManualLockResponse>>;
+
+    /** Desbloqueo manual del dispositivo disparado desde el backoffice (acción de un operador). */
+    manualUnlock(
+        input: LoanDeviceManualUnlockRequest,
+        tenantId: string,
+    ): Promise<StandardResponse<LoanDeviceManualUnlockResponse>>;
+}

package/src/loanCredit/index.ts

@@ -1,2 +1,5 @@
 export * from "./api/interfaces/ILoanCreditBusinessApi.js";
 export { default as LoanCreditBusinessApi } from "./api/LoanCreditBusinessApi.js";
+
+export * from "./api/interfaces/ILoanCreditDeviceApi.js";
+export { default as LoanCreditDeviceApi } from "./api/LoanCreditDeviceApi.js";