@fiado/type-kit 3.123.0 → 3.125.0

package/_test_/unit/platformRbac/enums/__snapshots__/permissionBits.test.ts.snap

@@ -1,6 +1,6 @@
 // Jest Snapshot v1, https://jestjs.io/docs/snapshot-testing
 
-exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `288024102`;
+exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `1703336986`;
 
 exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe ante cualquier reorden/inserción) 1`] = `
 [
@@ -126,5 +126,41 @@ exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe an
   "platform.application.manage",
   "tenant.level.manage",
   "platform.tenant.autoregister.manage",
+  "level1.user.create",
+  "level1.user.read",
+  "level1.user.update",
+  "level1.user.delete",
+  "level1.role.create",
+  "level1.role.list",
+  "level1.role.view",
+  "level1.role.update",
+  "level1.role.delete",
+  "level1.role.assign",
+  "level1.role.revoke",
+  "level1.audit.view",
+  "level2.user.create",
+  "level2.user.read",
+  "level2.user.update",
+  "level2.user.delete",
+  "level2.role.create",
+  "level2.role.list",
+  "level2.role.view",
+  "level2.role.update",
+  "level2.role.delete",
+  "level2.role.assign",
+  "level2.role.revoke",
+  "level2.audit.view",
+  "level3.user.create",
+  "level3.user.read",
+  "level3.user.update",
+  "level3.user.delete",
+  "level3.role.create",
+  "level3.role.list",
+  "level3.role.view",
+  "level3.role.update",
+  "level3.role.delete",
+  "level3.role.assign",
+  "level3.role.revoke",
+  "level3.audit.view",
 ]
 `;

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -15,7 +15,10 @@ export declare class CreateTenantRequest {
     adminName: string;
     region: string;
     tokenValidationMode?: TokenValidationMode;
-    /** Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail). */
+    /**
+     * Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail).
+     * @deprecated DEC-RBAC-062/063: el alta se hace por `applicationId`; `tenantType` se elimina al consolidar niveles. Migración pendiente; no usar en código nuevo.
+     */
     tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     applicationId?: string;

package/bin/platformRbac/dtos/CreateTenantResponse.d.ts

@@ -1,12 +1,23 @@
+import { TenantStatus } from './TenantStatus';
 /**
  * Output del POST backoffice de creación de tenant (F-11). Response plain sin validators
  * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * DEC-RBAC-058 (aditivo): el response expone el `status` resultante; si quedó `pending-infra`,
+ * viaja `infraRequirements` con las tablas del silo faltantes. `adminCognitoSub`/`temporaryPassword`
+ * pasan a OPCIONALES (no se quitan): el alta clásica con admin los setea; el alta sin admin
+ * (DEC-RBAC-057) no. `status`/`infraRequirements` son opcionales para back-compat con el alta clásica.
  */
 export interface CreateTenantResponse {
     tenantId: string;
     userPoolId: string;
     appClientId: string;
-    adminCognitoSub: string;
-    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). */
-    temporaryPassword: string;
+    /** Presente en el alta CON admin (flujo clásico F-11). Opcional: el alta sin admin (DEC-RBAC-057) no lo setea. */
+    adminCognitoSub?: string;
+    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). Opcional (ver adminCognitoSub). */
+    temporaryPassword?: string;
+    /** Estado resultante del onboarding (DEC-RBAC-058). Opcional para back-compat; `active` o `pending-infra` en el happy path. */
+    status?: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'` (DEC-RBAC-058). */
+    infraRequirements?: string[];
 }

package/bin/platformRbac/dtos/ResendOtpRequest.d.ts

@@ -0,0 +1,22 @@
+import { MfaMethodEnum } from '../enums/MfaMethodEnum';
+/**
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ */
+export declare class ResendOtpRequest {
+    email: string;
+    tenantId: string;
+}
+/**
+ * Respuesta del resend-otp. `session`/`mfaMethod` frescos del nuevo challenge CUSTOM_AUTH.
+ * Plain sin validators (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ * Ambos opcionales: en los caminos de rechazo silencioso (anti-enumeración) o ramas sin CUSTOM_AUTH
+ * el server responde 200 genérico sin session ni método.
+ */
+export interface ResendOtpResponse {
+    session?: string;
+    mfaMethod?: MfaMethodEnum;
+}

package/bin/{walletFunding/dtos/CancelFundingRequest.js → platformRbac/dtos/ResendOtpRequest.js}

@@ -9,25 +9,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingRequest = void 0;
+exports.ResendOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 /**
- * Request del cancel via Centro de Beneficios (spec 13 v2.0).
- * `reference` viaja en el path, `directoryId` se resuelve del JWT.
- * `providerModuleName` permite al marketplace rutear al publisher correcto
- * sin tener que persistir el mapping (el wallet-app sabe el moduleName
- * porque vino en la respuesta del authorize).
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
  */
-class CancelFundingRequest {
+class ResendOtpRequest {
 }
-exports.CancelFundingRequest = CancelFundingRequest;
+exports.ResendOtpRequest = ResendOtpRequest;
 __decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingRequest.prototype, "idempotencyKey", void 0);
+], ResendOtpRequest.prototype, "email", void 0);
 __decorate([
+    (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(128),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingRequest.prototype, "providerModuleName", void 0);
+], ResendOtpRequest.prototype, "tenantId", void 0);

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+export declare class ResendSelfRegisterOtpRequest {
+    tenantId: string;
+    email: string;
+}

package/bin/{walletFunding/dtos/CancelFundingReferenceRequest.js → platformRbac/dtos/ResendSelfRegisterOtpRequest.js}

@@ -9,23 +9,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingReferenceRequest = void 0;
+exports.ResendSelfRegisterOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
-class CancelFundingReferenceRequest {
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+class ResendSelfRegisterOtpRequest {
 }
-exports.CancelFundingReferenceRequest = CancelFundingReferenceRequest;
+exports.ResendSelfRegisterOtpRequest = ResendSelfRegisterOtpRequest;
 __decorate([
+    (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "reference", void 0);
+], ResendSelfRegisterOtpRequest.prototype, "tenantId", void 0);
 __decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
-    __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
-__decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "idempotencyKey", void 0);
+], ResendSelfRegisterOtpRequest.prototype, "email", void 0);

package/bin/platformRbac/dtos/TenantDetailResponse.d.ts

@@ -0,0 +1,19 @@
+import { TenantStatus } from './TenantStatus';
+/**
+ * Output del GET backoffice de detalle de tenant (F-11). Response plain sin validators
+ * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * Superficie de contrato que el frontend consume para la feature de infra (DEC-RBAC-058/059):
+ * `status` (que ahora incluye `pending-infra`) e `infraRequirements` (tablas del silo faltantes,
+ * presente solo en `pending-infra`). El detalle completo del tenant (cognitoPool, branding,
+ * securityPolicy, etc.) lo arma el manager a partir del Row; este DTO declara los campos del
+ * contrato relevantes a la feature sin duplicar el shape interno del Row.
+ */
+export interface TenantDetailResponse {
+    tenantId: string;
+    displayName: string;
+    tablePrefix: string;
+    status: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/bin/platformRbac/dtos/TenantDetailResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/TenantStatus.d.ts

@@ -0,0 +1,12 @@
+/**
+ * Estado de un tenant del platform-rbac-business (F-11 — onboarding de tenant).
+ *
+ * - `provisioning`: saga de onboarding en curso (estado transitorio).
+ * - `active`: tenant operativo (config + pool + roles sembrados).
+ * - `suspended`: tenant deshabilitado (saga abortada y compensada, o suspensión manual).
+ * - `pending-infra` (DEC-RBAC-058): el pre-check de infra encontró tablas del silo faltantes.
+ *   El tenant quedó creado pero inutilizable hasta que infra cree las tablas; los nombres
+ *   faltantes viajan en `infraRequirements`. No se sembraron roles. Re-verificable vía
+ *   `POST /platform/tenants/{tenantId}/verify-infra` (DEC-RBAC-059).
+ */
+export type TenantStatus = 'provisioning' | 'active' | 'suspended' | 'pending-infra';

package/bin/platformRbac/dtos/TenantStatus.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/VerifyTenantInfraResponse.d.ts

@@ -0,0 +1,15 @@
+import { TenantStatus } from './TenantStatus';
+/**
+ * Output del POST backoffice `verify-infra` (DEC-RBAC-059) — re-verificación de la infra del silo
+ * de un tenant `pending-infra`. Response plain sin validators (fiado-validation-and-dtos § 7).
+ * El `tenantId` viaja en el path, no hay request DTO.
+ *
+ * - Si ya están todas las tablas → siembra roles diferida → `status === 'active'` (sin `infraRequirements`).
+ * - Si aún faltan → `status === 'pending-infra'` + `infraRequirements` con los faltantes actuales.
+ * - Si el tenant no estaba `pending-infra` → no-op idempotente: devuelve el status actual.
+ */
+export interface VerifyTenantInfraResponse {
+    status: TenantStatus;
+    /** Nombres de tablas del silo aún faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/bin/platformRbac/dtos/VerifyTenantInfraResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/enums/Permission.d.ts

@@ -92,6 +92,7 @@ export declare enum Permission {
     RETAIL_PRODUCT_VIEW = "retail.product.view",
     RETAIL_PRODUCT_UPDATE = "retail.product.update",
     RETAIL_PRODUCT_DELETE = "retail.product.delete",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     RETAIL_PRODUCT_MDM_CONFIG = "retail.product.mdm_config",
     RETAIL_INVENTORY_LIST = "retail.inventory.list",
     RETAIL_INVENTORY_VIEW = "retail.inventory.view",
@@ -117,16 +118,20 @@ export declare enum Permission {
     MDM_DEVICE_DEACTIVATE = "mdm.device.deactivate",
     MDM_DEVICE_LOCK_MANUAL = "mdm.device.lock.manual",
     MDM_DEVICE_UNLOCK_MANUAL = "mdm.device.unlock.manual",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_PIN_UNLOCK = "mdm.device.pin_unlock",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_EXTEND_VALIDITY = "mdm.device.extend_validity",
     MDM_DEVICE_NOTIFY = "mdm.device.notify",
     MDM_DEVICE_STATUS_VIEW = "mdm.device.status.view",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_OPERATION_LOG_VIEW = "mdm.operation_log.view",
     MDM_TEST = "mdm.test",
     PAY_TRANSACTION_VIEW = "pay.transaction.view",
     AGENTS_APP_ACCESS = "agents.app.access",
     AGENTS_AGENT_LIST = "agents.agent.list",
     AGENTS_AGENT_CREATE = "agents.agent.create",
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     AGENTS_AGENT_CREATE_BULK = "agents.agent.create_bulk",
     AGENTS_AGENT_MOVE = "agents.agent.move",
     AGENTS_AGENT_DELETE = "agents.agent.delete",
@@ -150,7 +155,43 @@ export declare enum Permission {
     AGENTS_EXPORT_RUN = "agents.export.run",
     AGENTS_CATALOG_VIEW = "agents.catalog.view",
     AGENTS_GROUP_MANAGE = "agents.group.manage",
-    AGENTS_GROUP_USER_MANAGE = "agents.group.user.manage"
+    AGENTS_GROUP_USER_MANAGE = "agents.group.user.manage",
+    LEVEL1_USER_CREATE = "level1.user.create",
+    LEVEL1_USER_READ = "level1.user.read",
+    LEVEL1_USER_UPDATE = "level1.user.update",
+    LEVEL1_USER_DELETE = "level1.user.delete",
+    LEVEL1_ROLE_CREATE = "level1.role.create",
+    LEVEL1_ROLE_LIST = "level1.role.list",
+    LEVEL1_ROLE_VIEW = "level1.role.view",
+    LEVEL1_ROLE_UPDATE = "level1.role.update",
+    LEVEL1_ROLE_DELETE = "level1.role.delete",
+    LEVEL1_ROLE_ASSIGN = "level1.role.assign",
+    LEVEL1_ROLE_REVOKE = "level1.role.revoke",
+    LEVEL1_AUDIT_VIEW = "level1.audit.view",
+    LEVEL2_USER_CREATE = "level2.user.create",
+    LEVEL2_USER_READ = "level2.user.read",
+    LEVEL2_USER_UPDATE = "level2.user.update",
+    LEVEL2_USER_DELETE = "level2.user.delete",
+    LEVEL2_ROLE_CREATE = "level2.role.create",
+    LEVEL2_ROLE_LIST = "level2.role.list",
+    LEVEL2_ROLE_VIEW = "level2.role.view",
+    LEVEL2_ROLE_UPDATE = "level2.role.update",
+    LEVEL2_ROLE_DELETE = "level2.role.delete",
+    LEVEL2_ROLE_ASSIGN = "level2.role.assign",
+    LEVEL2_ROLE_REVOKE = "level2.role.revoke",
+    LEVEL2_AUDIT_VIEW = "level2.audit.view",
+    LEVEL3_USER_CREATE = "level3.user.create",
+    LEVEL3_USER_READ = "level3.user.read",
+    LEVEL3_USER_UPDATE = "level3.user.update",
+    LEVEL3_USER_DELETE = "level3.user.delete",
+    LEVEL3_ROLE_CREATE = "level3.role.create",
+    LEVEL3_ROLE_LIST = "level3.role.list",
+    LEVEL3_ROLE_VIEW = "level3.role.view",
+    LEVEL3_ROLE_UPDATE = "level3.role.update",
+    LEVEL3_ROLE_DELETE = "level3.role.delete",
+    LEVEL3_ROLE_ASSIGN = "level3.role.assign",
+    LEVEL3_ROLE_REVOKE = "level3.role.revoke",
+    LEVEL3_AUDIT_VIEW = "level3.audit.view"
 }
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.

package/bin/platformRbac/enums/Permission.js

@@ -125,6 +125,7 @@ var Permission;
     Permission["RETAIL_PRODUCT_VIEW"] = "retail.product.view";
     Permission["RETAIL_PRODUCT_UPDATE"] = "retail.product.update";
     Permission["RETAIL_PRODUCT_DELETE"] = "retail.product.delete";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["RETAIL_PRODUCT_MDM_CONFIG"] = "retail.product.mdm_config";
     Permission["RETAIL_INVENTORY_LIST"] = "retail.inventory.list";
     Permission["RETAIL_INVENTORY_VIEW"] = "retail.inventory.view";
@@ -156,10 +157,13 @@ var Permission;
     Permission["MDM_DEVICE_DEACTIVATE"] = "mdm.device.deactivate";
     Permission["MDM_DEVICE_LOCK_MANUAL"] = "mdm.device.lock.manual";
     Permission["MDM_DEVICE_UNLOCK_MANUAL"] = "mdm.device.unlock.manual";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_DEVICE_PIN_UNLOCK"] = "mdm.device.pin_unlock";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_DEVICE_EXTEND_VALIDITY"] = "mdm.device.extend_validity";
     Permission["MDM_DEVICE_NOTIFY"] = "mdm.device.notify";
     Permission["MDM_DEVICE_STATUS_VIEW"] = "mdm.device.status.view";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["MDM_OPERATION_LOG_VIEW"] = "mdm.operation_log.view";
     Permission["MDM_TEST"] = "mdm.test";
     // ====================================================
@@ -177,6 +181,7 @@ var Permission;
     Permission["AGENTS_APP_ACCESS"] = "agents.app.access";
     Permission["AGENTS_AGENT_LIST"] = "agents.agent.list";
     Permission["AGENTS_AGENT_CREATE"] = "agents.agent.create";
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     Permission["AGENTS_AGENT_CREATE_BULK"] = "agents.agent.create_bulk";
     Permission["AGENTS_AGENT_MOVE"] = "agents.agent.move";
     Permission["AGENTS_AGENT_DELETE"] = "agents.agent.delete";
@@ -204,6 +209,47 @@ var Permission;
     // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
     // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
     Permission["AGENTS_GROUP_USER_MANAGE"] = "agents.group.user.manage";
+    // ====================================================
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
+    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // ====================================================
+    Permission["LEVEL1_USER_CREATE"] = "level1.user.create";
+    Permission["LEVEL1_USER_READ"] = "level1.user.read";
+    Permission["LEVEL1_USER_UPDATE"] = "level1.user.update";
+    Permission["LEVEL1_USER_DELETE"] = "level1.user.delete";
+    Permission["LEVEL1_ROLE_CREATE"] = "level1.role.create";
+    Permission["LEVEL1_ROLE_LIST"] = "level1.role.list";
+    Permission["LEVEL1_ROLE_VIEW"] = "level1.role.view";
+    Permission["LEVEL1_ROLE_UPDATE"] = "level1.role.update";
+    Permission["LEVEL1_ROLE_DELETE"] = "level1.role.delete";
+    Permission["LEVEL1_ROLE_ASSIGN"] = "level1.role.assign";
+    Permission["LEVEL1_ROLE_REVOKE"] = "level1.role.revoke";
+    Permission["LEVEL1_AUDIT_VIEW"] = "level1.audit.view";
+    Permission["LEVEL2_USER_CREATE"] = "level2.user.create";
+    Permission["LEVEL2_USER_READ"] = "level2.user.read";
+    Permission["LEVEL2_USER_UPDATE"] = "level2.user.update";
+    Permission["LEVEL2_USER_DELETE"] = "level2.user.delete";
+    Permission["LEVEL2_ROLE_CREATE"] = "level2.role.create";
+    Permission["LEVEL2_ROLE_LIST"] = "level2.role.list";
+    Permission["LEVEL2_ROLE_VIEW"] = "level2.role.view";
+    Permission["LEVEL2_ROLE_UPDATE"] = "level2.role.update";
+    Permission["LEVEL2_ROLE_DELETE"] = "level2.role.delete";
+    Permission["LEVEL2_ROLE_ASSIGN"] = "level2.role.assign";
+    Permission["LEVEL2_ROLE_REVOKE"] = "level2.role.revoke";
+    Permission["LEVEL2_AUDIT_VIEW"] = "level2.audit.view";
+    Permission["LEVEL3_USER_CREATE"] = "level3.user.create";
+    Permission["LEVEL3_USER_READ"] = "level3.user.read";
+    Permission["LEVEL3_USER_UPDATE"] = "level3.user.update";
+    Permission["LEVEL3_USER_DELETE"] = "level3.user.delete";
+    Permission["LEVEL3_ROLE_CREATE"] = "level3.role.create";
+    Permission["LEVEL3_ROLE_LIST"] = "level3.role.list";
+    Permission["LEVEL3_ROLE_VIEW"] = "level3.role.view";
+    Permission["LEVEL3_ROLE_UPDATE"] = "level3.role.update";
+    Permission["LEVEL3_ROLE_DELETE"] = "level3.role.delete";
+    Permission["LEVEL3_ROLE_ASSIGN"] = "level3.role.assign";
+    Permission["LEVEL3_ROLE_REVOKE"] = "level3.role.revoke";
+    Permission["LEVEL3_AUDIT_VIEW"] = "level3.audit.view";
 })(Permission || (exports.Permission = Permission = {}));
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
@@ -355,6 +401,44 @@ exports.PERMISSION_BIT_ORDER = [
     // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
     // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
+    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
+    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.LEVEL1_USER_CREATE,
+    Permission.LEVEL1_USER_READ,
+    Permission.LEVEL1_USER_UPDATE,
+    Permission.LEVEL1_USER_DELETE,
+    Permission.LEVEL1_ROLE_CREATE,
+    Permission.LEVEL1_ROLE_LIST,
+    Permission.LEVEL1_ROLE_VIEW,
+    Permission.LEVEL1_ROLE_UPDATE,
+    Permission.LEVEL1_ROLE_DELETE,
+    Permission.LEVEL1_ROLE_ASSIGN,
+    Permission.LEVEL1_ROLE_REVOKE,
+    Permission.LEVEL1_AUDIT_VIEW,
+    Permission.LEVEL2_USER_CREATE,
+    Permission.LEVEL2_USER_READ,
+    Permission.LEVEL2_USER_UPDATE,
+    Permission.LEVEL2_USER_DELETE,
+    Permission.LEVEL2_ROLE_CREATE,
+    Permission.LEVEL2_ROLE_LIST,
+    Permission.LEVEL2_ROLE_VIEW,
+    Permission.LEVEL2_ROLE_UPDATE,
+    Permission.LEVEL2_ROLE_DELETE,
+    Permission.LEVEL2_ROLE_ASSIGN,
+    Permission.LEVEL2_ROLE_REVOKE,
+    Permission.LEVEL2_AUDIT_VIEW,
+    Permission.LEVEL3_USER_CREATE,
+    Permission.LEVEL3_USER_READ,
+    Permission.LEVEL3_USER_UPDATE,
+    Permission.LEVEL3_USER_DELETE,
+    Permission.LEVEL3_ROLE_CREATE,
+    Permission.LEVEL3_ROLE_LIST,
+    Permission.LEVEL3_ROLE_VIEW,
+    Permission.LEVEL3_ROLE_UPDATE,
+    Permission.LEVEL3_ROLE_DELETE,
+    Permission.LEVEL3_ROLE_ASSIGN,
+    Permission.LEVEL3_ROLE_REVOKE,
+    Permission.LEVEL3_AUDIT_VIEW,
 ];
 function djb2(input) {
     let h = 5381;

package/bin/platformRbac/enums/PermissionCategory.d.ts

@@ -6,10 +6,15 @@ export declare enum PermissionCategory {
     RBAC = "rbac",
     PLATFORM = "platform",
     TENANT = "tenant",
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     RETAIL = "retail",
     LEND = "lend",
     MDM = "mdm",
     AUDIT = "audit",
     PAY = "pay",
-    AGENTS = "agents"
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
+    AGENTS = "agents",
+    LEVEL1 = "level1",
+    LEVEL2 = "level2",
+    LEVEL3 = "level3"
 }

package/bin/platformRbac/enums/PermissionCategory.js

@@ -10,10 +10,17 @@ var PermissionCategory;
     PermissionCategory["RBAC"] = "rbac";
     PermissionCategory["PLATFORM"] = "platform";
     PermissionCategory["TENANT"] = "tenant";
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     PermissionCategory["RETAIL"] = "retail";
     PermissionCategory["LEND"] = "lend";
     PermissionCategory["MDM"] = "mdm";
     PermissionCategory["AUDIT"] = "audit";
     PermissionCategory["PAY"] = "pay";
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     PermissionCategory["AGENTS"] = "agents";
+    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
+    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    PermissionCategory["LEVEL1"] = "level1";
+    PermissionCategory["LEVEL2"] = "level2";
+    PermissionCategory["LEVEL3"] = "level3";
 })(PermissionCategory || (exports.PermissionCategory = PermissionCategory = {}));

package/bin/platformRbac/index.d.ts

@@ -26,6 +26,9 @@ export * from './dtos/AuthorizeRequest';
 export * from './dtos/AuthorizeResponse';
 export * from './dtos/CreateTenantRequest';
 export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
+export type { TenantStatus } from './dtos/TenantStatus';
+export type { VerifyTenantInfraResponse } from './dtos/VerifyTenantInfraResponse';
+export type { TenantDetailResponse } from './dtos/TenantDetailResponse';
 export * from './dtos/UpdateTenantSecurityPolicyRequest';
 export type { TenantSecurityPolicyResponse } from './dtos/TenantSecurityPolicyResponse';
 export * from './dtos/UpdateTenantAutoregisterRequest';

package/bin/platformRbac/tenantTypes.d.ts

@@ -2,6 +2,9 @@ import { PermissionScope } from './enums/PermissionScope';
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 export declare enum TenantType {
     RETAIL = "retail",
@@ -14,8 +17,11 @@ interface TenantTypeDef {
     /** Sufijo de tabla DDB por nivel (el prefix del tenant se antepone en runtime). */
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare const TENANT_TYPES: Record<TenantType, TenantTypeDef>;
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function levelsOf(type: TenantType): PermissionScope[];
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined;
 /**
  * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.

package/bin/platformRbac/tenantTypes.js

@@ -8,12 +8,16 @@ const PermissionScope_1 = require("./enums/PermissionScope");
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 var TenantType;
 (function (TenantType) {
     TenantType["RETAIL"] = "retail";
     TenantType["AGENTS"] = "agents";
 })(TenantType || (exports.TenantType = TenantType = {}));
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 exports.TENANT_TYPES = {
     [TenantType.RETAIL]: {
         displayName: 'Retail',
@@ -30,9 +34,11 @@ exports.TENANT_TYPES = {
         tableSuffix: { [PermissionScope_1.PermissionScope.GROUP]: 'SharedGroup' },
     },
 };
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function levelsOf(type) {
     return exports.TENANT_TYPES[type].levels;
 }
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function tableSuffixForLevel(type, level) {
     return exports.TENANT_TYPES[type].tableSuffix[level];
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.123.0",
+  "version": "3.125.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -21,7 +21,10 @@ export class CreateTenantRequest {
     // DEC-RBAC-052: passwordMinLength purgado — la política de password es global (env vars) y la
     // enforce Cognito (política nativa del pool), ya no es per-tenant en el create.
     @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
-    /** Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail). */
+    /**
+     * Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail).
+     * @deprecated DEC-RBAC-062/063: el alta se hace por `applicationId`; `tenantType` se elimina al consolidar niveles. Migración pendiente; no usar en código nuevo.
+     */
     @Expose() @IsOptional() @IsEnum(TenantType) tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     @Expose() @IsOptional() @IsString() applicationId?: string;

package/src/platformRbac/dtos/CreateTenantResponse.ts

@@ -1,12 +1,24 @@
+import { TenantStatus } from './TenantStatus';
+
 /**
  * Output del POST backoffice de creación de tenant (F-11). Response plain sin validators
  * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * DEC-RBAC-058 (aditivo): el response expone el `status` resultante; si quedó `pending-infra`,
+ * viaja `infraRequirements` con las tablas del silo faltantes. `adminCognitoSub`/`temporaryPassword`
+ * pasan a OPCIONALES (no se quitan): el alta clásica con admin los setea; el alta sin admin
+ * (DEC-RBAC-057) no. `status`/`infraRequirements` son opcionales para back-compat con el alta clásica.
  */
 export interface CreateTenantResponse {
     tenantId: string;
     userPoolId: string;
     appClientId: string;
-    adminCognitoSub: string;
-    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). */
-    temporaryPassword: string;
+    /** Presente en el alta CON admin (flujo clásico F-11). Opcional: el alta sin admin (DEC-RBAC-057) no lo setea. */
+    adminCognitoSub?: string;
+    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). Opcional (ver adminCognitoSub). */
+    temporaryPassword?: string;
+    /** Estado resultante del onboarding (DEC-RBAC-058). Opcional para back-compat; `active` o `pending-infra` en el happy path. */
+    status?: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'` (DEC-RBAC-058). */
+    infraRequirements?: string[];
 }

package/src/platformRbac/dtos/TenantDetailResponse.ts

@@ -0,0 +1,20 @@
+import { TenantStatus } from './TenantStatus';
+
+/**
+ * Output del GET backoffice de detalle de tenant (F-11). Response plain sin validators
+ * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * Superficie de contrato que el frontend consume para la feature de infra (DEC-RBAC-058/059):
+ * `status` (que ahora incluye `pending-infra`) e `infraRequirements` (tablas del silo faltantes,
+ * presente solo en `pending-infra`). El detalle completo del tenant (cognitoPool, branding,
+ * securityPolicy, etc.) lo arma el manager a partir del Row; este DTO declara los campos del
+ * contrato relevantes a la feature sin duplicar el shape interno del Row.
+ */
+export interface TenantDetailResponse {
+    tenantId: string;
+    displayName: string;
+    tablePrefix: string;
+    status: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/src/platformRbac/dtos/TenantStatus.ts

@@ -0,0 +1,12 @@
+/**
+ * Estado de un tenant del platform-rbac-business (F-11 — onboarding de tenant).
+ *
+ * - `provisioning`: saga de onboarding en curso (estado transitorio).
+ * - `active`: tenant operativo (config + pool + roles sembrados).
+ * - `suspended`: tenant deshabilitado (saga abortada y compensada, o suspensión manual).
+ * - `pending-infra` (DEC-RBAC-058): el pre-check de infra encontró tablas del silo faltantes.
+ *   El tenant quedó creado pero inutilizable hasta que infra cree las tablas; los nombres
+ *   faltantes viajan en `infraRequirements`. No se sembraron roles. Re-verificable vía
+ *   `POST /platform/tenants/{tenantId}/verify-infra` (DEC-RBAC-059).
+ */
+export type TenantStatus = 'provisioning' | 'active' | 'suspended' | 'pending-infra';

package/src/platformRbac/dtos/VerifyTenantInfraResponse.ts

@@ -0,0 +1,16 @@
+import { TenantStatus } from './TenantStatus';
+
+/**
+ * Output del POST backoffice `verify-infra` (DEC-RBAC-059) — re-verificación de la infra del silo
+ * de un tenant `pending-infra`. Response plain sin validators (fiado-validation-and-dtos § 7).
+ * El `tenantId` viaja en el path, no hay request DTO.
+ *
+ * - Si ya están todas las tablas → siembra roles diferida → `status === 'active'` (sin `infraRequirements`).
+ * - Si aún faltan → `status === 'pending-infra'` + `infraRequirements` con los faltantes actuales.
+ * - Si el tenant no estaba `pending-infra` → no-op idempotente: devuelve el status actual.
+ */
+export interface VerifyTenantInfraResponse {
+    status: TenantStatus;
+    /** Nombres de tablas del silo aún faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/src/platformRbac/enums/Permission.ts

@@ -122,6 +122,7 @@ export enum Permission {
     RETAIL_PRODUCT_VIEW = 'retail.product.view',
     RETAIL_PRODUCT_UPDATE = 'retail.product.update',
     RETAIL_PRODUCT_DELETE = 'retail.product.delete',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     RETAIL_PRODUCT_MDM_CONFIG = 'retail.product.mdm_config',
     RETAIL_INVENTORY_LIST = 'retail.inventory.list',
     RETAIL_INVENTORY_VIEW = 'retail.inventory.view',
@@ -155,10 +156,13 @@ export enum Permission {
     MDM_DEVICE_DEACTIVATE = 'mdm.device.deactivate',
     MDM_DEVICE_LOCK_MANUAL = 'mdm.device.lock.manual',
     MDM_DEVICE_UNLOCK_MANUAL = 'mdm.device.unlock.manual',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_PIN_UNLOCK = 'mdm.device.pin_unlock',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_DEVICE_EXTEND_VALIDITY = 'mdm.device.extend_validity',
     MDM_DEVICE_NOTIFY = 'mdm.device.notify',
     MDM_DEVICE_STATUS_VIEW = 'mdm.device.status.view',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     MDM_OPERATION_LOG_VIEW = 'mdm.operation_log.view',
     MDM_TEST = 'mdm.test',
 
@@ -178,6 +182,7 @@ export enum Permission {
     AGENTS_APP_ACCESS = 'agents.app.access',
     AGENTS_AGENT_LIST = 'agents.agent.list',
     AGENTS_AGENT_CREATE = 'agents.agent.create',
+    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
     AGENTS_AGENT_CREATE_BULK = 'agents.agent.create_bulk',
     AGENTS_AGENT_MOVE = 'agents.agent.move',
     AGENTS_AGENT_DELETE = 'agents.agent.delete',
@@ -205,6 +210,48 @@ export enum Permission {
     // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
     // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
     AGENTS_GROUP_USER_MANAGE = 'agents.group.user.manage',
+
+    // ====================================================
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
+    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // ====================================================
+    LEVEL1_USER_CREATE = 'level1.user.create',
+    LEVEL1_USER_READ = 'level1.user.read',
+    LEVEL1_USER_UPDATE = 'level1.user.update',
+    LEVEL1_USER_DELETE = 'level1.user.delete',
+    LEVEL1_ROLE_CREATE = 'level1.role.create',
+    LEVEL1_ROLE_LIST = 'level1.role.list',
+    LEVEL1_ROLE_VIEW = 'level1.role.view',
+    LEVEL1_ROLE_UPDATE = 'level1.role.update',
+    LEVEL1_ROLE_DELETE = 'level1.role.delete',
+    LEVEL1_ROLE_ASSIGN = 'level1.role.assign',
+    LEVEL1_ROLE_REVOKE = 'level1.role.revoke',
+    LEVEL1_AUDIT_VIEW = 'level1.audit.view',
+    LEVEL2_USER_CREATE = 'level2.user.create',
+    LEVEL2_USER_READ = 'level2.user.read',
+    LEVEL2_USER_UPDATE = 'level2.user.update',
+    LEVEL2_USER_DELETE = 'level2.user.delete',
+    LEVEL2_ROLE_CREATE = 'level2.role.create',
+    LEVEL2_ROLE_LIST = 'level2.role.list',
+    LEVEL2_ROLE_VIEW = 'level2.role.view',
+    LEVEL2_ROLE_UPDATE = 'level2.role.update',
+    LEVEL2_ROLE_DELETE = 'level2.role.delete',
+    LEVEL2_ROLE_ASSIGN = 'level2.role.assign',
+    LEVEL2_ROLE_REVOKE = 'level2.role.revoke',
+    LEVEL2_AUDIT_VIEW = 'level2.audit.view',
+    LEVEL3_USER_CREATE = 'level3.user.create',
+    LEVEL3_USER_READ = 'level3.user.read',
+    LEVEL3_USER_UPDATE = 'level3.user.update',
+    LEVEL3_USER_DELETE = 'level3.user.delete',
+    LEVEL3_ROLE_CREATE = 'level3.role.create',
+    LEVEL3_ROLE_LIST = 'level3.role.list',
+    LEVEL3_ROLE_VIEW = 'level3.role.view',
+    LEVEL3_ROLE_UPDATE = 'level3.role.update',
+    LEVEL3_ROLE_DELETE = 'level3.role.delete',
+    LEVEL3_ROLE_ASSIGN = 'level3.role.assign',
+    LEVEL3_ROLE_REVOKE = 'level3.role.revoke',
+    LEVEL3_AUDIT_VIEW = 'level3.audit.view',
 }
 
 /**
@@ -357,6 +404,44 @@ export const PERMISSION_BIT_ORDER: readonly Permission[] = [
     // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
     // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
+    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
+    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.LEVEL1_USER_CREATE,
+    Permission.LEVEL1_USER_READ,
+    Permission.LEVEL1_USER_UPDATE,
+    Permission.LEVEL1_USER_DELETE,
+    Permission.LEVEL1_ROLE_CREATE,
+    Permission.LEVEL1_ROLE_LIST,
+    Permission.LEVEL1_ROLE_VIEW,
+    Permission.LEVEL1_ROLE_UPDATE,
+    Permission.LEVEL1_ROLE_DELETE,
+    Permission.LEVEL1_ROLE_ASSIGN,
+    Permission.LEVEL1_ROLE_REVOKE,
+    Permission.LEVEL1_AUDIT_VIEW,
+    Permission.LEVEL2_USER_CREATE,
+    Permission.LEVEL2_USER_READ,
+    Permission.LEVEL2_USER_UPDATE,
+    Permission.LEVEL2_USER_DELETE,
+    Permission.LEVEL2_ROLE_CREATE,
+    Permission.LEVEL2_ROLE_LIST,
+    Permission.LEVEL2_ROLE_VIEW,
+    Permission.LEVEL2_ROLE_UPDATE,
+    Permission.LEVEL2_ROLE_DELETE,
+    Permission.LEVEL2_ROLE_ASSIGN,
+    Permission.LEVEL2_ROLE_REVOKE,
+    Permission.LEVEL2_AUDIT_VIEW,
+    Permission.LEVEL3_USER_CREATE,
+    Permission.LEVEL3_USER_READ,
+    Permission.LEVEL3_USER_UPDATE,
+    Permission.LEVEL3_USER_DELETE,
+    Permission.LEVEL3_ROLE_CREATE,
+    Permission.LEVEL3_ROLE_LIST,
+    Permission.LEVEL3_ROLE_VIEW,
+    Permission.LEVEL3_ROLE_UPDATE,
+    Permission.LEVEL3_ROLE_DELETE,
+    Permission.LEVEL3_ROLE_ASSIGN,
+    Permission.LEVEL3_ROLE_REVOKE,
+    Permission.LEVEL3_AUDIT_VIEW,
 ] as const;
 
 function djb2(input: string): number {

package/src/platformRbac/enums/PermissionCategory.ts

@@ -6,10 +6,17 @@ export enum PermissionCategory {
     RBAC = 'rbac',
     PLATFORM = 'platform',
     TENANT = 'tenant',
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     RETAIL = 'retail',
     LEND = 'lend',
     MDM = 'mdm',
     AUDIT = 'audit',
     PAY = 'pay',
+    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     AGENTS = 'agents',
+    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
+    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    LEVEL1 = 'level1',
+    LEVEL2 = 'level2',
+    LEVEL3 = 'level3',
 }

package/src/platformRbac/index.ts

@@ -51,6 +51,10 @@ export * from './dtos/AuthorizeResponse';
 // decoradores class-validator → export de valor; CreateTenantResponse es interface → type-only.
 export * from './dtos/CreateTenantRequest';
 export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
+// DEC-RBAC-058/059 (aditivo) — tenant pending-infra + verify-infra
+export type { TenantStatus } from './dtos/TenantStatus';
+export type { VerifyTenantInfraResponse } from './dtos/VerifyTenantInfraResponse';
+export type { TenantDetailResponse } from './dtos/TenantDetailResponse';
 
 // MFA por tenant — methodsAllowed (value-set 'EMAIL'|'TOTP', TD-RBAC-071, DEC-095).
 // UpdateTenantSecurityPolicyRequest lleva decoradores class-validator → export de valor;

package/src/platformRbac/tenantTypes.ts

@@ -3,6 +3,9 @@ import { PermissionScope } from './enums/PermissionScope';
 /**
  * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
  * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ *
+ * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
+ * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
  */
 export enum TenantType {
     RETAIL = 'retail',
@@ -17,6 +20,7 @@ interface TenantTypeDef {
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export const TENANT_TYPES: Record<TenantType, TenantTypeDef> = {
     [TenantType.RETAIL]: {
         displayName: 'Retail',
@@ -34,10 +38,12 @@ export const TENANT_TYPES: Record<TenantType, TenantTypeDef> = {
     },
 };
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export function levelsOf(type: TenantType): PermissionScope[] {
     return TENANT_TYPES[type].levels;
 }
 
+/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined {
     return TENANT_TYPES[type].tableSuffix[level];
 }

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.d.ts

@@ -1,6 +0,0 @@
-export declare class CancelFundingReferenceRequest {
-    /** Referencia Passport (PK de EqualityFundingReference_GT). */
-    reference: string;
-    directoryId: string;
-    idempotencyKey: string;
-}

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.d.ts

@@ -1,7 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-export declare class CancelFundingReferenceResponse {
-    reference: string;
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-}

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.js

@@ -1,6 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingReferenceResponse = void 0;
-class CancelFundingReferenceResponse {
-}
-exports.CancelFundingReferenceResponse = CancelFundingReferenceResponse;

package/bin/walletFunding/dtos/CancelFundingRequest.d.ts

@@ -1,11 +0,0 @@
-/**
- * Request del cancel via Centro de Beneficios (spec 13 v2.0).
- * `reference` viaja en el path, `directoryId` se resuelve del JWT.
- * `providerModuleName` permite al marketplace rutear al publisher correcto
- * sin tener que persistir el mapping (el wallet-app sabe el moduleName
- * porque vino en la respuesta del authorize).
- */
-export declare class CancelFundingRequest {
-    idempotencyKey: string;
-    providerModuleName: string;
-}

package/bin/walletFunding/dtos/CancelFundingResponse.d.ts

@@ -1,14 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-/**
- * Response del cancel via Centro de Beneficios (spec 13 v2.0).
- * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
- * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
- * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
- */
-export declare class CancelFundingResponse {
-    reference: string;
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-    message?: string;
-}

package/bin/walletFunding/dtos/CancelFundingResponse.js

@@ -1,12 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingResponse = void 0;
-/**
- * Response del cancel via Centro de Beneficios (spec 13 v2.0).
- * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
- * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
- * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
- */
-class CancelFundingResponse {
-}
-exports.CancelFundingResponse = CancelFundingResponse;

package/bin/walletFunding/dtos/CancelWalletFundingRequest.d.ts

@@ -1,3 +0,0 @@
-export declare class CancelWalletFundingRequest {
-    idempotencyKey: string;
-}

package/bin/walletFunding/dtos/CancelWalletFundingRequest.js

@@ -1,21 +0,0 @@
-"use strict";
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelWalletFundingRequest = void 0;
-const class_validator_1 = require("class-validator");
-class CancelWalletFundingRequest {
-}
-exports.CancelWalletFundingRequest = CancelWalletFundingRequest;
-__decorate([
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
-    __metadata("design:type", String)
-], CancelWalletFundingRequest.prototype, "idempotencyKey", void 0);

package/bin/walletFunding/dtos/CancelWalletFundingResponse.d.ts

@@ -1,7 +0,0 @@
-import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
-import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-export declare class CancelWalletFundingResponse {
-    status: BenefitPaymentStatusEnum;
-    errorCode?: WalletFundingErrorCodeEnum;
-    reference?: string;
-}

package/bin/walletFunding/dtos/CancelWalletFundingResponse.js

@@ -1,6 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelWalletFundingResponse = void 0;
-class CancelWalletFundingResponse {
-}
-exports.CancelWalletFundingResponse = CancelWalletFundingResponse;