@fiado/type-kit 3.122.0 → 3.124.0

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -15,7 +15,10 @@ export declare class CreateTenantRequest {
     adminName: string;
     region: string;
     tokenValidationMode?: TokenValidationMode;
-    /** Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail). */
+    /**
+     * Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail).
+     * @deprecated DEC-RBAC-062/063: el alta se hace por `applicationId`; `tenantType` se elimina al consolidar niveles. Migración pendiente; no usar en código nuevo.
+     */
     tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     applicationId?: string;

package/bin/platformRbac/dtos/ResendOtpRequest.d.ts

@@ -0,0 +1,22 @@
+import { MfaMethodEnum } from '../enums/MfaMethodEnum';
+/**
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ */
+export declare class ResendOtpRequest {
+    email: string;
+    tenantId: string;
+}
+/**
+ * Respuesta del resend-otp. `session`/`mfaMethod` frescos del nuevo challenge CUSTOM_AUTH.
+ * Plain sin validators (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ * Ambos opcionales: en los caminos de rechazo silencioso (anti-enumeración) o ramas sin CUSTOM_AUTH
+ * el server responde 200 genérico sin session ni método.
+ */
+export interface ResendOtpResponse {
+    session?: string;
+    mfaMethod?: MfaMethodEnum;
+}

package/bin/{walletFunding/dtos/CancelFundingRequest.js → platformRbac/dtos/ResendOtpRequest.js}

@@ -9,25 +9,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingRequest = void 0;
+exports.ResendOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 /**
- * Request del cancel via Centro de Beneficios (spec 13 v2.0).
- * `reference` viaja en el path, `directoryId` se resuelve del JWT.
- * `providerModuleName` permite al marketplace rutear al publisher correcto
- * sin tener que persistir el mapping (el wallet-app sabe el moduleName
- * porque vino en la respuesta del authorize).
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
  */
-class CancelFundingRequest {
+class ResendOtpRequest {
 }
-exports.CancelFundingRequest = CancelFundingRequest;
+exports.ResendOtpRequest = ResendOtpRequest;
 __decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingRequest.prototype, "idempotencyKey", void 0);
+], ResendOtpRequest.prototype, "email", void 0);
 __decorate([
+    (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(128),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingRequest.prototype, "providerModuleName", void 0);
+], ResendOtpRequest.prototype, "tenantId", void 0);

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+export declare class ResendSelfRegisterOtpRequest {
+    tenantId: string;
+    email: string;
+}

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.js

@@ -0,0 +1,36 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ResendSelfRegisterOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+class ResendSelfRegisterOtpRequest {
+}
+exports.ResendSelfRegisterOtpRequest = ResendSelfRegisterOtpRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "tenantId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "email", void 0);

package/bin/platformRbac/dtos/TenantDetailResponse.d.ts

@@ -0,0 +1,19 @@
+import { TenantStatus } from './TenantStatus';
+/**
+ * Output del GET backoffice de detalle de tenant (F-11). Response plain sin validators
+ * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * Superficie de contrato que el frontend consume para la feature de infra (DEC-RBAC-058/059):
+ * `status` (que ahora incluye `pending-infra`) e `infraRequirements` (tablas del silo faltantes,
+ * presente solo en `pending-infra`). El detalle completo del tenant (cognitoPool, branding,
+ * securityPolicy, etc.) lo arma el manager a partir del Row; este DTO declara los campos del
+ * contrato relevantes a la feature sin duplicar el shape interno del Row.
+ */
+export interface TenantDetailResponse {
+    tenantId: string;
+    displayName: string;
+    tablePrefix: string;
+    status: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/bin/platformRbac/dtos/TenantDetailResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantStatus.d.ts

@@ -0,0 +1,12 @@
+/**
+ * Estado de un tenant del platform-rbac-business (F-11 — onboarding de tenant).
+ *
+ * - `provisioning`: saga de onboarding en curso (estado transitorio).
+ * - `active`: tenant operativo (config + pool + roles sembrados).
+ * - `suspended`: tenant deshabilitado (saga abortada y compensada, o suspensión manual).
+ * - `pending-infra` (DEC-RBAC-058): el pre-check de infra encontró tablas del silo faltantes.
+ *   El tenant quedó creado pero inutilizable hasta que infra cree las tablas; los nombres
+ *   faltantes viajan en `infraRequirements`. No se sembraron roles. Re-verificable vía
+ *   `POST /platform/tenants/{tenantId}/verify-infra` (DEC-RBAC-059).
+ */
+export type TenantStatus = 'provisioning' | 'active' | 'suspended' | 'pending-infra';

package/bin/platformRbac/dtos/TenantStatus.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/VerifyTenantInfraResponse.d.ts

@@ -0,0 +1,15 @@
+import { TenantStatus } from './TenantStatus';
+/**
+ * Output del POST backoffice `verify-infra` (DEC-RBAC-059) — re-verificación de la infra del silo
+ * de un tenant `pending-infra`. Response plain sin validators (fiado-validation-and-dtos § 7).
+ * El `tenantId` viaja en el path, no hay request DTO.
+ *
+ * - Si ya están todas las tablas → siembra roles diferida → `status === 'active'` (sin `infraRequirements`).
+ * - Si aún faltan → `status === 'pending-infra'` + `infraRequirements` con los faltantes actuales.
+ * - Si el tenant no estaba `pending-infra` → no-op idempotente: devuelve el status actual.
+ */
+export interface VerifyTenantInfraResponse {
+    status: TenantStatus;
+    /** Nombres de tablas del silo aún faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/bin/platformRbac/dtos/VerifyTenantInfraResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/enums/Permission.d.ts

@@ -92,6 +92,7 @@ export declare enum Permission {
     RETAIL_PRODUCT_VIEW = "retail.product.view",
     RETAIL_PRODUCT_UPDATE = "retail.product.update",
     RETAIL_PRODUCT_DELETE = "retail.product.delete",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     RETAIL_PRODUCT_MDM_CONFIG = "retail.product.mdm_config",
     RETAIL_INVENTORY_LIST = "retail.inventory.list",
     RETAIL_INVENTORY_VIEW = "retail.inventory.view",
@@ -117,16 +118,20 @@ export declare enum Permission {
     MDM_DEVICE_DEACTIVATE = "mdm.device.deactivate",
     MDM_DEVICE_LOCK_MANUAL = "mdm.device.lock.manual",
     MDM_DEVICE_UNLOCK_MANUAL = "mdm.device.unlock.manual",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_PIN_UNLOCK = "mdm.device.pin_unlock",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_EXTEND_VALIDITY = "mdm.device.extend_validity",
     MDM_DEVICE_NOTIFY = "mdm.device.notify",
     MDM_DEVICE_STATUS_VIEW = "mdm.device.status.view",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_OPERATION_LOG_VIEW = "mdm.operation_log.view",
     MDM_TEST = "mdm.test",
     PAY_TRANSACTION_VIEW = "pay.transaction.view",
     AGENTS_APP_ACCESS = "agents.app.access",
     AGENTS_AGENT_LIST = "agents.agent.list",
     AGENTS_AGENT_CREATE = "agents.agent.create",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     AGENTS_AGENT_CREATE_BULK = "agents.agent.create_bulk",
     AGENTS_AGENT_MOVE = "agents.agent.move",
     AGENTS_AGENT_DELETE = "agents.agent.delete",

package/bin/platformRbac/enums/Permission.js

@@ -125,6 +125,7 @@ var Permission;
     Permission["RETAIL_PRODUCT_VIEW"] = "retail.product.view";
     Permission["RETAIL_PRODUCT_UPDATE"] = "retail.product.update";
     Permission["RETAIL_PRODUCT_DELETE"] = "retail.product.delete";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["RETAIL_PRODUCT_MDM_CONFIG"] = "retail.product.mdm_config";
     Permission["RETAIL_INVENTORY_LIST"] = "retail.inventory.list";
     Permission["RETAIL_INVENTORY_VIEW"] = "retail.inventory.view";
@@ -156,10 +157,13 @@ var Permission;
     Permission["MDM_DEVICE_DEACTIVATE"] = "mdm.device.deactivate";
     Permission["MDM_DEVICE_LOCK_MANUAL"] = "mdm.device.lock.manual";
     Permission["MDM_DEVICE_UNLOCK_MANUAL"] = "mdm.device.unlock.manual";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_DEVICE_PIN_UNLOCK"] = "mdm.device.pin_unlock";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_DEVICE_EXTEND_VALIDITY"] = "mdm.device.extend_validity";
     Permission["MDM_DEVICE_NOTIFY"] = "mdm.device.notify";
     Permission["MDM_DEVICE_STATUS_VIEW"] = "mdm.device.status.view";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_OPERATION_LOG_VIEW"] = "mdm.operation_log.view";
     Permission["MDM_TEST"] = "mdm.test";
     // ====================================================
@@ -177,6 +181,7 @@ var Permission;
     Permission["AGENTS_APP_ACCESS"] = "agents.app.access";
     Permission["AGENTS_AGENT_LIST"] = "agents.agent.list";
     Permission["AGENTS_AGENT_CREATE"] = "agents.agent.create";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["AGENTS_AGENT_CREATE_BULK"] = "agents.agent.create_bulk";
     Permission["AGENTS_AGENT_MOVE"] = "agents.agent.move";
     Permission["AGENTS_AGENT_DELETE"] = "agents.agent.delete";

package/bin/platformRbac/enums/PermissionCategory.d.ts

@@ -6,10 +6,12 @@ export declare enum PermissionCategory {
     RBAC = "rbac",
     PLATFORM = "platform",
     TENANT = "tenant",
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     RETAIL = "retail",
     LEND = "lend",
     MDM = "mdm",
     AUDIT = "audit",
     PAY = "pay",
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     AGENTS = "agents"
 }

package/bin/platformRbac/enums/PermissionCategory.js

@@ -10,10 +10,12 @@ var PermissionCategory;
     PermissionCategory["RBAC"] = "rbac";
     PermissionCategory["PLATFORM"] = "platform";
     PermissionCategory["TENANT"] = "tenant";
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     PermissionCategory["RETAIL"] = "retail";
     PermissionCategory["LEND"] = "lend";
     PermissionCategory["MDM"] = "mdm";
     PermissionCategory["AUDIT"] = "audit";
     PermissionCategory["PAY"] = "pay";
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     PermissionCategory["AGENTS"] = "agents";
 })(PermissionCategory || (exports.PermissionCategory = PermissionCategory = {}));

package/bin/platformRbac/tenantTypes.d.ts

@@ -2,6 +2,9 @@ import { PermissionScope } from './enums/PermissionScope';
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 export declare enum TenantType {
     RETAIL = "retail",
@@ -14,8 +17,11 @@ interface TenantTypeDef {
     /** Sufijo de tabla DDB por nivel (el prefix del tenant se antepone en runtime). */
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare const TENANT_TYPES: Record<TenantType, TenantTypeDef>;
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function levelsOf(type: TenantType): PermissionScope[];
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined;
 /**
  * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.

package/bin/platformRbac/tenantTypes.js

@@ -8,12 +8,16 @@ const PermissionScope_1 = require("./enums/PermissionScope");
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 var TenantType;
 (function (TenantType) {
     TenantType["RETAIL"] = "retail";
     TenantType["AGENTS"] = "agents";
 })(TenantType || (exports.TenantType = TenantType = {}));
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 exports.TENANT_TYPES = {
     [TenantType.RETAIL]: {
         displayName: 'Retail',
@@ -30,9 +34,11 @@ exports.TENANT_TYPES = {
         tableSuffix: { [PermissionScope_1.PermissionScope.GROUP]: 'SharedGroup' },
     },
 };
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function levelsOf(type) {
     return exports.TENANT_TYPES[type].levels;
 }
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function tableSuffixForLevel(type, level) {
     return exports.TENANT_TYPES[type].tableSuffix[level];
 }

package/bin/transactionProcessor/dtos/PublishFiadoTxRequest.d.ts

@@ -0,0 +1,30 @@
+/**
+ * Request del endpoint `POST /wallet-funding/publish` del processor.
+ *
+ * Publica el evento de FiadoTx (tupla EQ_CASH_SA / CASH_IN del wallet-funding
+ * cash-in) al SQS `TRANSACTION_QUEUE` para que `transaction-business` lo
+ * consuma y persista en `FiadoTx_GT`.
+ *
+ * Best-effort: el caller (equality-connector post-settlement, o el cron de
+ * gap-reconciliation del mismo connector) debe tratar el error como
+ * recuperable — el reconciler T+0 rescata gaps que queden.
+ *
+ * Ver spec 15 §6.2 (processor mantiene ownership del SQS publish) + §5.1
+ * (reconciler en el connector).
+ */
+export declare class PublishFiadoTxRequest {
+    /** Identificador idempotente del evento. Sugerido: `${providerName}:${providerTxId}`. */
+    idempotencyKey: string;
+    /**
+     * Spec completo de la tupla FiadoTx a persistir. Shape generado por el
+     * processor en `walletFundingValidate()` (campo `fiadoTxSpec` de la response).
+     * El caller lo recibe del processor y lo reenvía sin modificar.
+     *
+     * Es `unknown` aquí (no tipado fuerte) porque el shape interno del processor
+     * puede cambiar sin breaking change para los callers — el processor es dueño
+     * del shape y de su serialización al SQS.
+     */
+    fiadoTxSpec: Record<string, unknown>;
+    /** Contexto opcional para logs/auditoría (ej. "post-settlement" | "reconciler-gap"). */
+    origin?: string;
+}

package/bin/{walletFunding/dtos/CancelFundingReferenceRequest.js → transactionProcessor/dtos/PublishFiadoTxRequest.js}

@@ -9,23 +9,37 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingReferenceRequest = void 0;
+exports.PublishFiadoTxRequest = void 0;
 const class_validator_1 = require("class-validator");
-class CancelFundingReferenceRequest {
+/**
+ * Request del endpoint `POST /wallet-funding/publish` del processor.
+ *
+ * Publica el evento de FiadoTx (tupla EQ_CASH_SA / CASH_IN del wallet-funding
+ * cash-in) al SQS `TRANSACTION_QUEUE` para que `transaction-business` lo
+ * consuma y persista en `FiadoTx_GT`.
+ *
+ * Best-effort: el caller (equality-connector post-settlement, o el cron de
+ * gap-reconciliation del mismo connector) debe tratar el error como
+ * recuperable — el reconciler T+0 rescata gaps que queden.
+ *
+ * Ver spec 15 §6.2 (processor mantiene ownership del SQS publish) + §5.1
+ * (reconciler en el connector).
+ */
+class PublishFiadoTxRequest {
 }
-exports.CancelFundingReferenceRequest = CancelFundingReferenceRequest;
+exports.PublishFiadoTxRequest = PublishFiadoTxRequest;
 __decorate([
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_validator_1.MaxLength)(128),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "reference", void 0);
+], PublishFiadoTxRequest.prototype, "idempotencyKey", void 0);
 __decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
-    __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
+    (0, class_validator_1.IsObject)(),
+    __metadata("design:type", Object)
+], PublishFiadoTxRequest.prototype, "fiadoTxSpec", void 0);
 __decorate([
+    (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "idempotencyKey", void 0);
+], PublishFiadoTxRequest.prototype, "origin", void 0);

package/bin/transactionProcessor/dtos/PublishFiadoTxResponse.d.ts

@@ -0,0 +1,14 @@
+/**
+ * Response del endpoint `POST /wallet-funding/publish` del processor.
+ *
+ * Best-effort: status="FAILED" indica que el publish al SQS no se ejecutó
+ * (sqs.sendMessage falló). El caller debe loggear y continuar — el
+ * reconciler T+0 del connector eventualmente recuperará el gap.
+ *
+ * Ver spec 15 §6.2.
+ */
+export interface PublishFiadoTxResponse {
+    status: "OK" | "FAILED";
+    /** Mensaje breve para logs. Vacío en happy path. */
+    message?: string;
+}

package/bin/transactionProcessor/dtos/PublishFiadoTxResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/transactionProcessor/index.d.ts

@@ -39,6 +39,8 @@ export * from './dtos/ProviderProcessServicePaymentTransactionRequest';
 export * from './dtos/ProviderProcessServicePaymentTransactionResponse';
 export * from './dtos/AuthorizeRenewalPreAuthRequest';
 export * from './dtos/AuthorizeRenewalPreAuthResponse';
+export * from './dtos/PublishFiadoTxRequest';
+export * from './dtos/PublishFiadoTxResponse';
 export * from './enums/TransactionProcessorCodesEnum';
 export * from './enums/AsyncTxStatusEnum';
 export * from './enums/AppEnum';

package/bin/transactionProcessor/index.js

@@ -55,6 +55,8 @@ __exportStar(require("./dtos/ProviderProcessServicePaymentTransactionRequest"),
 __exportStar(require("./dtos/ProviderProcessServicePaymentTransactionResponse"), exports);
 __exportStar(require("./dtos/AuthorizeRenewalPreAuthRequest"), exports);
 __exportStar(require("./dtos/AuthorizeRenewalPreAuthResponse"), exports);
+__exportStar(require("./dtos/PublishFiadoTxRequest"), exports);
+__exportStar(require("./dtos/PublishFiadoTxResponse"), exports);
 __exportStar(require("./enums/TransactionProcessorCodesEnum"), exports);
 __exportStar(require("./enums/AsyncTxStatusEnum"), exports);
 __exportStar(require("./enums/AppEnum"), exports);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.122.0",
+  "version": "3.124.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -21,7 +21,10 @@ export class CreateTenantRequest {
     // DEC-RBAC-052: passwordMinLength purgado — la política de password es global (env vars) y la
     // enforce Cognito (política nativa del pool), ya no es per-tenant en el create.
     @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
-    /** Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail). */
+    /**
+     * Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail).
+     * @deprecated DEC-RBAC-062/063: el alta se hace por `applicationId`; `tenantType` se elimina al consolidar niveles. Migración pendiente; no usar en código nuevo.
+     */
     @Expose() @IsOptional() @IsEnum(TenantType) tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     @Expose() @IsOptional() @IsString() applicationId?: string;

package/src/platformRbac/enums/Permission.ts

@@ -122,6 +122,7 @@ export enum Permission {
     RETAIL_PRODUCT_VIEW = 'retail.product.view',
     RETAIL_PRODUCT_UPDATE = 'retail.product.update',
     RETAIL_PRODUCT_DELETE = 'retail.product.delete',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     RETAIL_PRODUCT_MDM_CONFIG = 'retail.product.mdm_config',
     RETAIL_INVENTORY_LIST = 'retail.inventory.list',
     RETAIL_INVENTORY_VIEW = 'retail.inventory.view',
@@ -155,10 +156,13 @@ export enum Permission {
     MDM_DEVICE_DEACTIVATE = 'mdm.device.deactivate',
     MDM_DEVICE_LOCK_MANUAL = 'mdm.device.lock.manual',
     MDM_DEVICE_UNLOCK_MANUAL = 'mdm.device.unlock.manual',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_PIN_UNLOCK = 'mdm.device.pin_unlock',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_EXTEND_VALIDITY = 'mdm.device.extend_validity',
     MDM_DEVICE_NOTIFY = 'mdm.device.notify',
     MDM_DEVICE_STATUS_VIEW = 'mdm.device.status.view',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_OPERATION_LOG_VIEW = 'mdm.operation_log.view',
     MDM_TEST = 'mdm.test',
 
@@ -178,6 +182,7 @@ export enum Permission {
     AGENTS_APP_ACCESS = 'agents.app.access',
     AGENTS_AGENT_LIST = 'agents.agent.list',
     AGENTS_AGENT_CREATE = 'agents.agent.create',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     AGENTS_AGENT_CREATE_BULK = 'agents.agent.create_bulk',
     AGENTS_AGENT_MOVE = 'agents.agent.move',
     AGENTS_AGENT_DELETE = 'agents.agent.delete',

package/src/platformRbac/enums/PermissionCategory.ts

@@ -6,10 +6,12 @@ export enum PermissionCategory {
     RBAC = 'rbac',
     PLATFORM = 'platform',
     TENANT = 'tenant',
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     RETAIL = 'retail',
     LEND = 'lend',
     MDM = 'mdm',
     AUDIT = 'audit',
     PAY = 'pay',
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     AGENTS = 'agents',
 }

package/src/platformRbac/tenantTypes.ts

@@ -3,6 +3,9 @@ import { PermissionScope } from './enums/PermissionScope';
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 export enum TenantType {
     RETAIL = 'retail',
@@ -17,6 +20,7 @@ interface TenantTypeDef {
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export const TENANT_TYPES: Record<TenantType, TenantTypeDef> = {
     [TenantType.RETAIL]: {
         displayName: 'Retail',
@@ -34,10 +38,12 @@ export const TENANT_TYPES: Record<TenantType, TenantTypeDef> = {
     },
 };
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export function levelsOf(type: TenantType): PermissionScope[] {
     return TENANT_TYPES[type].levels;
 }
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined {
     return TENANT_TYPES[type].tableSuffix[level];
 }

package/src/transactionProcessor/dtos/PublishFiadoTxRequest.ts

@@ -0,0 +1,34 @@
+import { IsObject, IsOptional, IsString, MaxLength } from "class-validator";
+
+/**
+ * Request del endpoint `POST /wallet-funding/publish` del processor.
+ *
+ * Publica el evento de FiadoTx (tupla EQ_CASH_SA / CASH_IN del wallet-funding
+ * cash-in) al SQS `TRANSACTION_QUEUE` para que `transaction-business` lo
+ * consuma y persista en `FiadoTx_GT`.
+ *
+ * Best-effort: el caller (equality-connector post-settlement, o el cron de
+ * gap-reconciliation del mismo connector) debe tratar el error como
+ * recuperable — el reconciler T+0 rescata gaps que queden.
+ *
+ * Ver spec 15 §6.2 (processor mantiene ownership del SQS publish) + §5.1
+ * (reconciler en el connector).
+ */
+export class PublishFiadoTxRequest {
+    /** Identificador idempotente del evento. Sugerido: `${providerName}:${providerTxId}`. */
+    @IsString() @MaxLength(128) idempotencyKey!: string;
+
+    /**
+     * Spec completo de la tupla FiadoTx a persistir. Shape generado por el
+     * processor en `walletFundingValidate()` (campo `fiadoTxSpec` de la response).
+     * El caller lo recibe del processor y lo reenvía sin modificar.
+     *
+     * Es `unknown` aquí (no tipado fuerte) porque el shape interno del processor
+     * puede cambiar sin breaking change para los callers — el processor es dueño
+     * del shape y de su serialización al SQS.
+     */
+    @IsObject() fiadoTxSpec!: Record<string, unknown>;
+
+    /** Contexto opcional para logs/auditoría (ej. "post-settlement" | "reconciler-gap"). */
+    @IsOptional() @IsString() @MaxLength(64) origin?: string;
+}

package/src/transactionProcessor/dtos/PublishFiadoTxResponse.ts

@@ -0,0 +1,14 @@
+/**
+ * Response del endpoint `POST /wallet-funding/publish` del processor.
+ *
+ * Best-effort: status="FAILED" indica que el publish al SQS no se ejecutó
+ * (sqs.sendMessage falló). El caller debe loggear y continuar — el
+ * reconciler T+0 del connector eventualmente recuperará el gap.
+ *
+ * Ver spec 15 §6.2.
+ */
+export interface PublishFiadoTxResponse {
+    status: "OK" | "FAILED";
+    /** Mensaje breve para logs. Vacío en happy path. */
+    message?: string;
+}

package/src/transactionProcessor/index.ts

@@ -39,6 +39,8 @@ export * from './dtos/ProviderProcessServicePaymentTransactionRequest';
 export * from './dtos/ProviderProcessServicePaymentTransactionResponse';
 export * from './dtos/AuthorizeRenewalPreAuthRequest';
 export * from './dtos/AuthorizeRenewalPreAuthResponse';
+export * from './dtos/PublishFiadoTxRequest';
+export * from './dtos/PublishFiadoTxResponse';
 
 export * from './enums/TransactionProcessorCodesEnum';
 export * from './enums/AsyncTxStatusEnum';

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.d.ts

@@ -1,6 +0,0 @@
-export declare class CancelFundingReferenceRequest {
-    /** Referencia Passport (PK de EqualityFundingReference_GT). */
-    reference: string;
-    directoryId: string;
-    idempotencyKey: string;
-}

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.d.ts

@@ -1,7 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-export declare class CancelFundingReferenceResponse {
-    reference: string;
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-}

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.js

@@ -1,6 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingReferenceResponse = void 0;
-class CancelFundingReferenceResponse {
-}
-exports.CancelFundingReferenceResponse = CancelFundingReferenceResponse;

package/bin/walletFunding/dtos/CancelFundingRequest.d.ts

@@ -1,11 +0,0 @@
-/**
- * Request del cancel via Centro de Beneficios (spec 13 v2.0).
- * `reference` viaja en el path, `directoryId` se resuelve del JWT.
- * `providerModuleName` permite al marketplace rutear al publisher correcto
- * sin tener que persistir el mapping (el wallet-app sabe el moduleName
- * porque vino en la respuesta del authorize).
- */
-export declare class CancelFundingRequest {
-    idempotencyKey: string;
-    providerModuleName: string;
-}

package/bin/walletFunding/dtos/CancelFundingResponse.d.ts

@@ -1,14 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-/**
- * Response del cancel via Centro de Beneficios (spec 13 v2.0).
- * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
- * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
- * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
- */
-export declare class CancelFundingResponse {
-    reference: string;
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-    message?: string;
-}

package/bin/walletFunding/dtos/CancelFundingResponse.js

@@ -1,12 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingResponse = void 0;
-/**
- * Response del cancel via Centro de Beneficios (spec 13 v2.0).
- * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
- * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
- * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
- */
-class CancelFundingResponse {
-}
-exports.CancelFundingResponse = CancelFundingResponse;

package/bin/walletFunding/dtos/CancelWalletFundingRequest.d.ts

@@ -1,3 +0,0 @@
-export declare class CancelWalletFundingRequest {
-    idempotencyKey: string;
-}

package/bin/walletFunding/dtos/CancelWalletFundingRequest.js

@@ -1,21 +0,0 @@
-"use strict";
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelWalletFundingRequest = void 0;
-const class_validator_1 = require("class-validator");
-class CancelWalletFundingRequest {
-}
-exports.CancelWalletFundingRequest = CancelWalletFundingRequest;
-__decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
-    __metadata("design:type", String)
-], CancelWalletFundingRequest.prototype, "idempotencyKey", void 0);

package/bin/walletFunding/dtos/CancelWalletFundingResponse.d.ts

@@ -1,7 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-export declare class CancelWalletFundingResponse {
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-    reference?: string;
-}

package/bin/walletFunding/dtos/CancelWalletFundingResponse.js

@@ -1,6 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelWalletFundingResponse = void 0;
-class CancelWalletFundingResponse {
-}
-exports.CancelWalletFundingResponse = CancelWalletFundingResponse;