@fiado/api-invoker 5.35.0 → 5.37.0

package/.github/workflows/npm-publish.yml

@@ -0,0 +1,31 @@
+name: "Publish to npm"
+
+on:
+  push:
+    branches: [ develop ]
+    paths-ignore:
+      - '**.md'
+      - 'docs/**'
+      - '.github/**'
+      - '.gitignore'
+      - '.npmignore'
+  workflow_dispatch:
+    inputs:
+      dry-run:
+        description: 'Corre build, test y npm publish --dry-run sin publicar de verdad'
+        required: false
+        default: false
+        type: boolean
+
+concurrency:
+  group: npm-publish-${{ github.ref }}
+  cancel-in-progress: false
+
+jobs:
+  publish:
+    uses: Fiado-Today/github-workflows/.github/workflows/npm-publish.yml@develop
+    permissions:
+      contents: write
+    with:
+      dry-run: ${{ inputs.dry-run == true }}
+    secrets: inherit

package/bin/datacultrConnector/api/DatacultrConnectorApi.d.ts

@@ -0,0 +1,28 @@
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { DeviceAutoLockScheduleRequest, DeviceAutoLockScheduleResponse, DeviceEnrollInitiateResponse, DeviceEnrollRequest, DeviceEnrollStatusRequest, DeviceEnrollStatusResponse, DeviceLastSeenRequest, DeviceLastSeenResponse, DeviceLockRequest, DeviceLockResponse, DeviceStatusRequest, DeviceStatusResponse, DeviceUnlockRequest, DeviceUnlockResponse } from "@fiado/type-kit/bin/mdm/index.js";
+import { DeviceBatchRequest, DeviceBatchResult, IDatacultrConnectorApi } from "./interfaces/IDatacultrConnectorApi.js";
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+export default class DatacultrConnectorApi implements IDatacultrConnectorApi {
+    private httpRequest;
+    private readonly baseUrl;
+    constructor(httpRequest: IHttpRequest);
+    enrollDevices(input: DeviceBatchRequest<DeviceEnrollRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+    enrollStatus(input: DeviceBatchRequest<DeviceEnrollStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+    getStatus(input: DeviceBatchRequest<DeviceStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+    getLastSeen(input: DeviceBatchRequest<DeviceLastSeenRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+    lockDevices(input: DeviceBatchRequest<DeviceLockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+    unlockDevices(input: DeviceBatchRequest<DeviceUnlockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+    autoLockSchedule(input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/bin/datacultrConnector/api/DatacultrConnectorApi.js

@@ -0,0 +1,60 @@
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+var __param = (this && this.__param) || function (paramIndex, decorator) {
+    return function (target, key) { decorator(target, key, paramIndex); }
+};
+import { inject, injectable } from "inversify";
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+let DatacultrConnectorApi = class DatacultrConnectorApi {
+    httpRequest;
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//devices".
+    baseUrl = (process.env.DATACULTR_CONNECTOR_URL || "").replace(/\/+$/, "");
+    constructor(httpRequest) {
+        this.httpRequest = httpRequest;
+    }
+    async enrollDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll`, input);
+    }
+    async enrollStatus(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll/status`, input);
+    }
+    async getStatus(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/status`, input);
+    }
+    async getLastSeen(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/last-seen`, input);
+    }
+    async lockDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/lock`, input);
+    }
+    async unlockDevices(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/unlock`, input);
+    }
+    async autoLockSchedule(input) {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/auto-lock-schedule`, input);
+    }
+};
+DatacultrConnectorApi = __decorate([
+    injectable(),
+    __param(0, inject("IHttpRequest")),
+    __metadata("design:paramtypes", [Object])
+], DatacultrConnectorApi);
+export default DatacultrConnectorApi;

package/bin/datacultrConnector/api/interfaces/IDatacultrConnectorApi.d.ts

@@ -0,0 +1,105 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import { DeviceAutoLockScheduleRequest, DeviceAutoLockScheduleResponse, DeviceEnrollInitiateResponse, DeviceEnrollRequest, DeviceEnrollStatusRequest, DeviceEnrollStatusResponse, DeviceLastSeenRequest, DeviceLastSeenResponse, DeviceLockRequest, DeviceLockResponse, DeviceStatusRequest, DeviceStatusResponse, DeviceUnlockRequest, DeviceUnlockResponse } from "@fiado/type-kit/bin/mdm/index.js";
+/**
+ * Contrato del publisher HTTP del lambda `datacultr-connector` — el provider MDM que traduce el
+ * contrato agnóstico de dispositivo (`@fiado/type-kit/bin/mdm`) a la API de Datacultr. Su consumidor
+ * es el módulo `device/` de `loan-credit-business` (`MdmConnectorClient`), que NUNCA le pega por
+ * `http-client` directo: entre lambdas Fiado se habla siempre por `@fiado/api-invoker`.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * PATHS — `/devices/...`, SIN prefijo `/private`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * A diferencia de la mayoría de los privados Fiado (`/private/...`), el `PrivateController` de este
+ * connector declara los paths como `/devices/enroll`, `/devices/status`, etc. El aislamiento no lo da
+ * el prefijo sino la red: la API privada es `EndpointConfiguration: PRIVATE` con ResourcePolicy que
+ * deniega todo lo que no venga de los VPC Endpoints de Fiado.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * SIN TENANT — hoy el connector es efectivamente single-tenant.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Ningún método lleva `tenantId` porque el destino NO lo resuelve: su `PrivateController` no lee
+ * `X-Tenant-Id` ni `x-tenant-issuer` (cero referencias en el repo). Las credenciales de Datacultr
+ * salen de un único secret del lambda. DEUDA a levantar cuando el connector implemente M6
+ * (multi-tenant del MDM): ahí este contrato suma el tenant y pasa a ser un cambio MAJOR.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * AUTORIZACIÓN — `Feature.ANONIMUS`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Los privados del connector son `Feature.ANONIMUS`: sin RBAC y sin claims. La única protección es
+ * la VPC, así que el caller no manda `Authorization` ni headers de identidad.
+ *
+ * ⚠️ Retorno `StandardResponse<T>` — el consumer lee `result.data`, NO `result.body`.
+ * Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ * `DomainError` tipado del destino. Nunca fallback: el caller jamás recibe un batch vacío
+ * disfrazado de éxito.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error` opcional.
+ *   Un 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer `results` y decidir por ítem.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` no lleva el motivo: el motivo vive solo en `error`.
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+/**
+ * Sobre de entrada de los endpoints batch del connector. No vive en `@fiado/type-kit/bin/mdm`
+ * porque los DTOs publicados son de UN imei; el sobre es dominio del líder (gap E8), migrar a
+ * type-kit cuando lo publique.
+ */
+export interface DeviceBatchRequest<TItem> {
+    items: TItem[];
+}
+/** Sobre de salida de los endpoints batch: viaja dentro de `StandardResponse.data`. Mismo gap E8. */
+export interface DeviceBatchResult<TItem> {
+    results: TItem[];
+}
+export interface IDatacultrConnectorApi {
+    /**
+     * POST `/devices/enroll` — pre-registra la expectativa de enrolamiento de cada IMEI.
+     *
+     * ⚠️ NO TOCA AL PROVEEDOR. Textual del openapi del destino: "Pre-registrar expectativa de
+     * enrollment (no toca provider) — DC no acepta enrollment outbound; el webhook inbound (B10) es
+     * quien actualiza la row a SUCCESS". Solo persiste una row `PENDING` en `PendingOperation_GT`.
+     *
+     * ⚠️ Y Datacultr confirmó por correo (2026-08-18) que NO MANDA WEBHOOKS. Sumando las dos: hoy un
+     * enrolamiento iniciado por esta vía queda `PENDING` PARA SIEMPRE. El caller NO debe tratar el
+     * `PENDING` como "en vuelo, ya se va a resolver" — no hay quien lo resuelva mientras el webhook
+     * inbound no exista. El enrolamiento real se hace hoy fuera de banda, en la consola de Datacultr.
+     */
+    enrollDevices(input: DeviceBatchRequest<DeviceEnrollRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+    /**
+     * POST `/devices/enroll/status` — estado del enrolamiento de cada IMEI. Lee DDB, no toca al
+     * proveedor.
+     *
+     * ⚠️ Espeja la limitación de `enrollDevices`: como nadie actualiza la row (Datacultr no manda
+     * webhooks), este método devuelve `PENDING` indefinidamente para todo lo iniciado por esa vía.
+     * Un `PENDING` acá NO es señal de progreso.
+     */
+    enrollStatus(input: DeviceBatchRequest<DeviceEnrollStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+    /**
+     * POST `/devices/status` — estado actual de cada IMEI (bloqueado, libre, sin enrolar).
+     * Si el batch trae un solo ítem, el destino cae a Registration Status y enriquece brand/model.
+     */
+    getStatus(input: DeviceBatchRequest<DeviceStatusRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+    /** POST `/devices/last-seen` — último contacto reportado por cada IMEI (señal de vida). */
+    getLastSeen(input: DeviceBatchRequest<DeviceLastSeenRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+    /**
+     * POST `/devices/lock` — bloquea cada IMEI.
+     * Los ítems con `mode: TEMPORARY` se degradan por ítem con `PROVIDER_NOT_SUPPORTED` sin llegar al
+     * proveedor: Datacultr solo soporta el bloqueo firme.
+     */
+    lockDevices(input: DeviceBatchRequest<DeviceLockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+    /** POST `/devices/unlock` — desbloquea cada IMEI. */
+    unlockDevices(input: DeviceBatchRequest<DeviceUnlockRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+    /**
+     * POST `/devices/auto-lock-schedule` — programa el bloqueo de cada IMEI en una fecha futura.
+     * `lockAt` es ISO8601 UTC y el destino valida `lockAt > now` antes de llamar al proveedor.
+     * Es la vía real del bloqueo en Datacultr: el inmediato no surte efecto, el programado sí.
+     */
+    autoLockSchedule(input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/bin/datacultrConnector/index.d.ts

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/bin/datacultrConnector/index.js

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/bin/index.d.ts

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/bin/index.js

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/bin/retailCustomer/api/interfaces/IRetailCustomerBusinessApi.d.ts

@@ -54,7 +54,7 @@ export interface IRetailCustomerBusinessApi {
     /**
      * PUT /private/customers/{customerId}/account-result?tenantId= — aterriza el resultado terminal de
      * la apertura de cuenta async (D35). Solo acepta OPEN/FAILED (nunca el intermedio OPENING). OPEN
-     * llega con `pcfClabe`/`pcfAccountLevel`; FAILED con `failReason`.
+     * llega con `pcfAccountLevel`; FAILED con `failReason`.
      *
      * @throws si el cliente no existe (`404 CUSTOMER_NOT_FOUND`).
      */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/api-invoker",
-    "version": "5.35.0",
+  "version": "5.37.0",
   "description": "Sirve como un puente entre diferentes funciones lambda, facilitando la comunicación entre ellas a través de invocaciones http",
   "type": "module",
   "main": "bin/index.js",

package/src/datacultrConnector/api/DatacultrConnectorApi.ts

@@ -0,0 +1,86 @@
+import { inject, injectable } from "inversify";
+import type { IHttpRequest } from "@fiado/http-client";
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    DeviceAutoLockScheduleRequest,
+    DeviceAutoLockScheduleResponse,
+    DeviceEnrollInitiateResponse,
+    DeviceEnrollRequest,
+    DeviceEnrollStatusRequest,
+    DeviceEnrollStatusResponse,
+    DeviceLastSeenRequest,
+    DeviceLastSeenResponse,
+    DeviceLockRequest,
+    DeviceLockResponse,
+    DeviceStatusRequest,
+    DeviceStatusResponse,
+    DeviceUnlockRequest,
+    DeviceUnlockResponse,
+} from "@fiado/type-kit/bin/mdm/index.js";
+import {
+    DeviceBatchRequest,
+    DeviceBatchResult,
+    IDatacultrConnectorApi,
+} from "./interfaces/IDatacultrConnectorApi.js";
+
+/**
+ * Publisher HTTP del lambda `datacultr-connector` (provider MDM de SureKeep). Contrato y semántica
+ * completos → `IDatacultrConnectorApi` (paths sin prefijo `/private`, sin tenant, `StandardResponse`
+ * → leer `result.data`, granularidad por ítem, y la limitación de `enrollDevices`).
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+@injectable()
+export default class DatacultrConnectorApi implements IDatacultrConnectorApi {
+    // El buildspec publica la URL en SSM con "/" final — se normaliza para no armar "//devices".
+    private readonly baseUrl = (process.env.DATACULTR_CONNECTOR_URL || "").replace(/\/+$/, "");
+
+    constructor(@inject("IHttpRequest") private httpRequest: IHttpRequest) {}
+
+    async enrollDevices(
+        input: DeviceBatchRequest<DeviceEnrollRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll`, input);
+    }
+
+    async enrollStatus(
+        input: DeviceBatchRequest<DeviceEnrollStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/enroll/status`, input);
+    }
+
+    async getStatus(
+        input: DeviceBatchRequest<DeviceStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/status`, input);
+    }
+
+    async getLastSeen(
+        input: DeviceBatchRequest<DeviceLastSeenRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/last-seen`, input);
+    }
+
+    async lockDevices(
+        input: DeviceBatchRequest<DeviceLockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/lock`, input);
+    }
+
+    async unlockDevices(
+        input: DeviceBatchRequest<DeviceUnlockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/unlock`, input);
+    }
+
+    async autoLockSchedule(
+        input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>> {
+        return await this.httpRequest.post(`${this.baseUrl}/devices/auto-lock-schedule`, input);
+    }
+}

package/src/datacultrConnector/api/interfaces/IDatacultrConnectorApi.ts

@@ -0,0 +1,144 @@
+import { StandardResponse } from "@fiado/gateway-adapter";
+import {
+    DeviceAutoLockScheduleRequest,
+    DeviceAutoLockScheduleResponse,
+    DeviceEnrollInitiateResponse,
+    DeviceEnrollRequest,
+    DeviceEnrollStatusRequest,
+    DeviceEnrollStatusResponse,
+    DeviceLastSeenRequest,
+    DeviceLastSeenResponse,
+    DeviceLockRequest,
+    DeviceLockResponse,
+    DeviceStatusRequest,
+    DeviceStatusResponse,
+    DeviceUnlockRequest,
+    DeviceUnlockResponse,
+} from "@fiado/type-kit/bin/mdm/index.js";
+
+/**
+ * Contrato del publisher HTTP del lambda `datacultr-connector` — el provider MDM que traduce el
+ * contrato agnóstico de dispositivo (`@fiado/type-kit/bin/mdm`) a la API de Datacultr. Su consumidor
+ * es el módulo `device/` de `loan-credit-business` (`MdmConnectorClient`), que NUNCA le pega por
+ * `http-client` directo: entre lambdas Fiado se habla siempre por `@fiado/api-invoker`.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * PATHS — `/devices/...`, SIN prefijo `/private`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * A diferencia de la mayoría de los privados Fiado (`/private/...`), el `PrivateController` de este
+ * connector declara los paths como `/devices/enroll`, `/devices/status`, etc. El aislamiento no lo da
+ * el prefijo sino la red: la API privada es `EndpointConfiguration: PRIVATE` con ResourcePolicy que
+ * deniega todo lo que no venga de los VPC Endpoints de Fiado.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * SIN TENANT — hoy el connector es efectivamente single-tenant.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Ningún método lleva `tenantId` porque el destino NO lo resuelve: su `PrivateController` no lee
+ * `X-Tenant-Id` ni `x-tenant-issuer` (cero referencias en el repo). Las credenciales de Datacultr
+ * salen de un único secret del lambda. DEUDA a levantar cuando el connector implemente M6
+ * (multi-tenant del MDM): ahí este contrato suma el tenant y pasa a ser un cambio MAJOR.
+ *
+ * ─────────────────────────────────────────────────────────────────────────────
+ * AUTORIZACIÓN — `Feature.ANONIMUS`.
+ * ─────────────────────────────────────────────────────────────────────────────
+ * Los privados del connector son `Feature.ANONIMUS`: sin RBAC y sin claims. La única protección es
+ * la VPC, así que el caller no manda `Authorization` ni headers de identidad.
+ *
+ * ⚠️ Retorno `StandardResponse<T>` — el consumer lee `result.data`, NO `result.body`.
+ * Errores de transporte (falla el lambda entero, no un ítem): el publisher RECHAZA con el
+ * `DomainError` tipado del destino. Nunca fallback: el caller jamás recibe un batch vacío
+ * disfrazado de éxito.
+ *
+ * Granularidad POR ÍTEM — el batch NUNCA falla entero:
+ * - Cada `results[i]` trae su propio `status` (`SUCCESS` | `PENDING` | `ERROR`) y un `error` opcional.
+ *   Un 200 puede traer ítems en `ERROR`: el caller TIENE que recorrer `results` y decidir por ítem.
+ * - El `error.code` del ítem es un `MdmErrorCodeEnum` (`PROVIDER_NOT_SUPPORTED`, `DEVICE_NOT_FOUND`,
+ *   `PROVIDER_TIMEOUT`, …). El `status` no lleva el motivo: el motivo vive solo en `error`.
+ *
+ * Env var requerida en el consumer: `DATACULTR_CONNECTOR_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   DATACULTR_CONNECTOR_URL: '{{resolve:ssm:datacultr-connector}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+
+/**
+ * Sobre de entrada de los endpoints batch del connector. No vive en `@fiado/type-kit/bin/mdm`
+ * porque los DTOs publicados son de UN imei; el sobre es dominio del líder (gap E8), migrar a
+ * type-kit cuando lo publique.
+ */
+export interface DeviceBatchRequest<TItem> {
+    items: TItem[];
+}
+
+/** Sobre de salida de los endpoints batch: viaja dentro de `StandardResponse.data`. Mismo gap E8. */
+export interface DeviceBatchResult<TItem> {
+    results: TItem[];
+}
+
+export interface IDatacultrConnectorApi {
+    /**
+     * POST `/devices/enroll` — pre-registra la expectativa de enrolamiento de cada IMEI.
+     *
+     * ⚠️ NO TOCA AL PROVEEDOR. Textual del openapi del destino: "Pre-registrar expectativa de
+     * enrollment (no toca provider) — DC no acepta enrollment outbound; el webhook inbound (B10) es
+     * quien actualiza la row a SUCCESS". Solo persiste una row `PENDING` en `PendingOperation_GT`.
+     *
+     * ⚠️ Y Datacultr confirmó por correo (2026-08-18) que NO MANDA WEBHOOKS. Sumando las dos: hoy un
+     * enrolamiento iniciado por esta vía queda `PENDING` PARA SIEMPRE. El caller NO debe tratar el
+     * `PENDING` como "en vuelo, ya se va a resolver" — no hay quien lo resuelva mientras el webhook
+     * inbound no exista. El enrolamiento real se hace hoy fuera de banda, en la consola de Datacultr.
+     */
+    enrollDevices(
+        input: DeviceBatchRequest<DeviceEnrollRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollInitiateResponse>>>;
+
+    /**
+     * POST `/devices/enroll/status` — estado del enrolamiento de cada IMEI. Lee DDB, no toca al
+     * proveedor.
+     *
+     * ⚠️ Espeja la limitación de `enrollDevices`: como nadie actualiza la row (Datacultr no manda
+     * webhooks), este método devuelve `PENDING` indefinidamente para todo lo iniciado por esa vía.
+     * Un `PENDING` acá NO es señal de progreso.
+     */
+    enrollStatus(
+        input: DeviceBatchRequest<DeviceEnrollStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceEnrollStatusResponse>>>;
+
+    /**
+     * POST `/devices/status` — estado actual de cada IMEI (bloqueado, libre, sin enrolar).
+     * Si el batch trae un solo ítem, el destino cae a Registration Status y enriquece brand/model.
+     */
+    getStatus(
+        input: DeviceBatchRequest<DeviceStatusRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceStatusResponse>>>;
+
+    /** POST `/devices/last-seen` — último contacto reportado por cada IMEI (señal de vida). */
+    getLastSeen(
+        input: DeviceBatchRequest<DeviceLastSeenRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLastSeenResponse>>>;
+
+    /**
+     * POST `/devices/lock` — bloquea cada IMEI.
+     * Los ítems con `mode: TEMPORARY` se degradan por ítem con `PROVIDER_NOT_SUPPORTED` sin llegar al
+     * proveedor: Datacultr solo soporta el bloqueo firme.
+     */
+    lockDevices(
+        input: DeviceBatchRequest<DeviceLockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceLockResponse>>>;
+
+    /** POST `/devices/unlock` — desbloquea cada IMEI. */
+    unlockDevices(
+        input: DeviceBatchRequest<DeviceUnlockRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceUnlockResponse>>>;
+
+    /**
+     * POST `/devices/auto-lock-schedule` — programa el bloqueo de cada IMEI en una fecha futura.
+     * `lockAt` es ISO8601 UTC y el destino valida `lockAt > now` antes de llamar al proveedor.
+     * Es la vía real del bloqueo en Datacultr: el inmediato no surte efecto, el programado sí.
+     */
+    autoLockSchedule(
+        input: DeviceBatchRequest<DeviceAutoLockScheduleRequest>,
+    ): Promise<StandardResponse<DeviceBatchResult<DeviceAutoLockScheduleResponse>>>;
+}

package/src/datacultrConnector/index.ts

@@ -0,0 +1,2 @@
+export * from "./api/interfaces/IDatacultrConnectorApi.js";
+export { default as DatacultrConnectorApi } from "./api/DatacultrConnectorApi.js";

package/src/index.ts

@@ -110,3 +110,4 @@ export * from "./kyc/index.js";
 export * from "./central-payments-webhook/index.js";
 export * from "./collection-engine/index.js";
 export * from "./domain-callback/index.js";
+export * from "./datacultrConnector/index.js";

package/src/retailCustomer/api/interfaces/IRetailCustomerBusinessApi.ts

@@ -67,7 +67,7 @@ export interface IRetailCustomerBusinessApi {
     /**
      * PUT /private/customers/{customerId}/account-result?tenantId= — aterriza el resultado terminal de
      * la apertura de cuenta async (D35). Solo acepta OPEN/FAILED (nunca el intermedio OPENING). OPEN
-     * llega con `pcfClabe`/`pcfAccountLevel`; FAILED con `failReason`.
+     * llega con `pcfAccountLevel`; FAILED con `failReason`.
      *
      * @throws si el cliente no existe (`404 CUSTOMER_NOT_FOUND`).
      */

package/bin/membership/MembershipApi.d.ts

@@ -1,12 +0,0 @@
-import { IHttpRequest } from "@fiado/http-client";
-import { IMembershipApi } from "./interfaces/IMembershipApi.js";
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-export declare class MembershipApi implements IMembershipApi {
-    private httpRequest;
-    private readonly baseUrl;
-    constructor(httpRequest: IHttpRequest);
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/membership/MembershipApi.js

@@ -1,32 +0,0 @@
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-var __param = (this && this.__param) || function (paramIndex, decorator) {
-    return function (target, key) { decorator(target, key, paramIndex); }
-};
-import { inject, injectable } from "inversify";
-import dotenv from 'dotenv';
-dotenv.config();
-let MembershipApi = class MembershipApi {
-    httpRequest;
-    baseUrl = process.env.MEMBERSHIP_BUSINESS_LAMBDA_URL || "";
-    constructor(httpRequest) {
-        this.httpRequest = httpRequest;
-    }
-    async deleteByDirectoryId(directoryId) {
-        const url = `${this.baseUrl}private/directory/${directoryId}`;
-        return await this.httpRequest.delete(url);
-    }
-};
-MembershipApi = __decorate([
-    injectable(),
-    __param(0, inject("IHttpRequest")),
-    __metadata("design:paramtypes", [Object])
-], MembershipApi);
-export { MembershipApi };

package/bin/membership/index.d.ts

@@ -1,2 +0,0 @@
-export * from './interfaces/IMembershipApi.js';
-export * from './MembershipApi.js';

package/bin/membership/index.js

@@ -1,2 +0,0 @@
-export * from './interfaces/IMembershipApi.js';
-export * from './MembershipApi.js';

package/bin/membership/interfaces/IMembershipApi.d.ts

@@ -1,15 +0,0 @@
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-/**
- * Interfaz para el servicio Membership (membership-business).
- */
-export interface IMembershipApi {
-    /**
-     * Borra en cascada las membresías asociadas a un directoryId.
-     * @param directoryId ID del directorio.
-     * @throws {Error} Lanza un error si los parámetros de entrada son inválidos.
-     */
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/notificationWebsockets/NotificationWebsocketApi.d.ts

@@ -1,12 +0,0 @@
-import { IHttpRequest } from "@fiado/http-client";
-import { INotificationWebsocketApi } from "./interfaces/INotificationWebsocketApi.js";
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-export declare class NotificationWebsocketApi implements INotificationWebsocketApi {
-    private httpRequest;
-    private readonly baseUrl;
-    constructor(httpRequest: IHttpRequest);
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/notificationWebsockets/NotificationWebsocketApi.js

@@ -1,32 +0,0 @@
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-var __param = (this && this.__param) || function (paramIndex, decorator) {
-    return function (target, key) { decorator(target, key, paramIndex); }
-};
-import { inject, injectable } from "inversify";
-import dotenv from 'dotenv';
-dotenv.config();
-let NotificationWebsocketApi = class NotificationWebsocketApi {
-    httpRequest;
-    baseUrl = process.env.NOTIFICATIONS_WEBSOCKET_LAMBDA_URL || "";
-    constructor(httpRequest) {
-        this.httpRequest = httpRequest;
-    }
-    async deleteByDirectoryId(directoryId) {
-        const url = `${this.baseUrl}private/directory/${directoryId}`;
-        return await this.httpRequest.delete(url);
-    }
-};
-NotificationWebsocketApi = __decorate([
-    injectable(),
-    __param(0, inject("IHttpRequest")),
-    __metadata("design:paramtypes", [Object])
-], NotificationWebsocketApi);
-export { NotificationWebsocketApi };

package/bin/notificationWebsockets/interfaces/INotificationWebsocketApi.d.ts

@@ -1,15 +0,0 @@
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-/**
- * Interfaz para el servicio Notifications Websocket (notifications-websocket).
- */
-export interface INotificationWebsocketApi {
-    /**
-     * Borra en cascada las conexiones/notificaciones WS asociadas a un directoryId.
-     * @param directoryId ID del directorio.
-     * @throws {Error} Lanza un error si los parámetros de entrada son inválidos.
-     */
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/notificationWebsockets/interfaces/INotificationWebsocketApi.js

@@ -1 +0,0 @@
-export {};

package/bin/performance-profile/PerformanceProfileApi.d.ts

@@ -1,12 +0,0 @@
-import { IHttpRequest } from "@fiado/http-client";
-import { IPerformanceProfileApi } from "./interfaces/IPerformanceProfileApi.js";
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-export declare class PerformanceProfileApi implements IPerformanceProfileApi {
-    private httpRequest;
-    private readonly baseUrl;
-    constructor(httpRequest: IHttpRequest);
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/performance-profile/PerformanceProfileApi.js

@@ -1,32 +0,0 @@
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-var __param = (this && this.__param) || function (paramIndex, decorator) {
-    return function (target, key) { decorator(target, key, paramIndex); }
-};
-import { inject, injectable } from "inversify";
-import dotenv from 'dotenv';
-dotenv.config();
-let PerformanceProfileApi = class PerformanceProfileApi {
-    httpRequest;
-    baseUrl = process.env.PERFORMANCE_PROFILE_BUSINESS_LAMBDA_URL || "";
-    constructor(httpRequest) {
-        this.httpRequest = httpRequest;
-    }
-    async deleteByDirectoryId(directoryId) {
-        const url = `${this.baseUrl}private/directory/${directoryId}`;
-        return await this.httpRequest.delete(url);
-    }
-};
-PerformanceProfileApi = __decorate([
-    injectable(),
-    __param(0, inject("IHttpRequest")),
-    __metadata("design:paramtypes", [Object])
-], PerformanceProfileApi);
-export { PerformanceProfileApi };

package/bin/performance-profile/index.d.ts

@@ -1,2 +0,0 @@
-export * from './interfaces/IPerformanceProfileApi.js';
-export * from './PerformanceProfileApi.js';

package/bin/performance-profile/index.js

@@ -1,2 +0,0 @@
-export * from './interfaces/IPerformanceProfileApi.js';
-export * from './PerformanceProfileApi.js';

package/bin/performance-profile/interfaces/IPerformanceProfileApi.d.ts

@@ -1,15 +0,0 @@
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-/**
- * Interfaz para el servicio Performance Profile (performance-profile-business).
- */
-export interface IPerformanceProfileApi {
-    /**
-     * Borra en cascada los perfiles de desempeño asociados a un directoryId.
-     * @param directoryId ID del directorio.
-     * @throws {Error} Lanza un error si los parámetros de entrada son inválidos.
-     */
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/performance-profile/interfaces/IPerformanceProfileApi.js

@@ -1 +0,0 @@
-export {};

package/bin/presence-websocket/PresenceWebsocketApi.d.ts

@@ -1,12 +0,0 @@
-import { IHttpRequest } from "@fiado/http-client";
-import { IPresenceWebsocketApi } from "./interfaces/IPresenceWebsocketApi.js";
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-export declare class PresenceWebsocketApi implements IPresenceWebsocketApi {
-    private httpRequest;
-    private readonly baseUrl;
-    constructor(httpRequest: IHttpRequest);
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/presence-websocket/PresenceWebsocketApi.js

@@ -1,32 +0,0 @@
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-var __param = (this && this.__param) || function (paramIndex, decorator) {
-    return function (target, key) { decorator(target, key, paramIndex); }
-};
-import { inject, injectable } from "inversify";
-import dotenv from 'dotenv';
-dotenv.config();
-let PresenceWebsocketApi = class PresenceWebsocketApi {
-    httpRequest;
-    baseUrl = process.env.PRESENCE_WEBSOCKET_LAMBDA_URL || "";
-    constructor(httpRequest) {
-        this.httpRequest = httpRequest;
-    }
-    async deleteByDirectoryId(directoryId) {
-        const url = `${this.baseUrl}private/directory/${directoryId}`;
-        return await this.httpRequest.delete(url);
-    }
-};
-PresenceWebsocketApi = __decorate([
-    injectable(),
-    __param(0, inject("IHttpRequest")),
-    __metadata("design:paramtypes", [Object])
-], PresenceWebsocketApi);
-export { PresenceWebsocketApi };

package/bin/presence-websocket/index.d.ts

@@ -1,2 +0,0 @@
-export * from './interfaces/IPresenceWebsocketApi.js';
-export * from './PresenceWebsocketApi.js';

package/bin/presence-websocket/index.js

@@ -1,2 +0,0 @@
-export * from './interfaces/IPresenceWebsocketApi.js';
-export * from './PresenceWebsocketApi.js';

package/bin/presence-websocket/interfaces/IPresenceWebsocketApi.d.ts

@@ -1,15 +0,0 @@
-type FiadoApiResponse<T> = import("@fiado/type-kit/bin/apiResponse/dtos/FiadoApiResponse.js").default<T>;
-/**
- * Interfaz para el servicio Presence Websocket (presence-websocket).
- */
-export interface IPresenceWebsocketApi {
-    /**
-     * Borra en cascada los registros de presencia asociados a un directoryId.
-     * @param directoryId ID del directorio.
-     * @throws {Error} Lanza un error si los parámetros de entrada son inválidos.
-     */
-    deleteByDirectoryId(directoryId: string): Promise<FiadoApiResponse<{
-        deletedCount: number;
-    }>>;
-}
-export {};

package/bin/presence-websocket/interfaces/IPresenceWebsocketApi.js

@@ -1 +0,0 @@
-export {};