@fiado/type-kit 3.124.0 → 3.125.0

package/_test_/unit/platformRbac/enums/__snapshots__/permissionBits.test.ts.snap

@@ -1,6 +1,6 @@
 // Jest Snapshot v1, https://jestjs.io/docs/snapshot-testing
 
-exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `288024102`;
+exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `1703336986`;
 
 exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe ante cualquier reorden/inserción) 1`] = `
 [
@@ -126,5 +126,41 @@ exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe an
   "platform.application.manage",
   "tenant.level.manage",
   "platform.tenant.autoregister.manage",
+  "level1.user.create",
+  "level1.user.read",
+  "level1.user.update",
+  "level1.user.delete",
+  "level1.role.create",
+  "level1.role.list",
+  "level1.role.view",
+  "level1.role.update",
+  "level1.role.delete",
+  "level1.role.assign",
+  "level1.role.revoke",
+  "level1.audit.view",
+  "level2.user.create",
+  "level2.user.read",
+  "level2.user.update",
+  "level2.user.delete",
+  "level2.role.create",
+  "level2.role.list",
+  "level2.role.view",
+  "level2.role.update",
+  "level2.role.delete",
+  "level2.role.assign",
+  "level2.role.revoke",
+  "level2.audit.view",
+  "level3.user.create",
+  "level3.user.read",
+  "level3.user.update",
+  "level3.user.delete",
+  "level3.role.create",
+  "level3.role.list",
+  "level3.role.view",
+  "level3.role.update",
+  "level3.role.delete",
+  "level3.role.assign",
+  "level3.role.revoke",
+  "level3.audit.view",
 ]
 `;

package/bin/platformRbac/dtos/CreateTenantResponse.d.ts

@@ -1,12 +1,23 @@
+import { TenantStatus } from './TenantStatus';
 /**
  * Output del POST backoffice de creación de tenant (F-11). Response plain sin validators
  * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * DEC-RBAC-058 (aditivo): el response expone el `status` resultante; si quedó `pending-infra`,
+ * viaja `infraRequirements` con las tablas del silo faltantes. `adminCognitoSub`/`temporaryPassword`
+ * pasan a OPCIONALES (no se quitan): el alta clásica con admin los setea; el alta sin admin
+ * (DEC-RBAC-057) no. `status`/`infraRequirements` son opcionales para back-compat con el alta clásica.
  */
 export interface CreateTenantResponse {
     tenantId: string;
     userPoolId: string;
     appClientId: string;
-    adminCognitoSub: string;
-    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). */
-    temporaryPassword: string;
+    /** Presente en el alta CON admin (flujo clásico F-11). Opcional: el alta sin admin (DEC-RBAC-057) no lo setea. */
+    adminCognitoSub?: string;
+    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). Opcional (ver adminCognitoSub). */
+    temporaryPassword?: string;
+    /** Estado resultante del onboarding (DEC-RBAC-058). Opcional para back-compat; `active` o `pending-infra` en el happy path. */
+    status?: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'` (DEC-RBAC-058). */
+    infraRequirements?: string[];
 }

package/bin/platformRbac/enums/Permission.d.ts

@@ -155,7 +155,43 @@ export declare enum Permission {
     AGENTS_EXPORT_RUN = "agents.export.run",
     AGENTS_CATALOG_VIEW = "agents.catalog.view",
     AGENTS_GROUP_MANAGE = "agents.group.manage",
-    AGENTS_GROUP_USER_MANAGE = "agents.group.user.manage"
+    AGENTS_GROUP_USER_MANAGE = "agents.group.user.manage",
+    LEVEL1_USER_CREATE = "level1.user.create",
+    LEVEL1_USER_READ = "level1.user.read",
+    LEVEL1_USER_UPDATE = "level1.user.update",
+    LEVEL1_USER_DELETE = "level1.user.delete",
+    LEVEL1_ROLE_CREATE = "level1.role.create",
+    LEVEL1_ROLE_LIST = "level1.role.list",
+    LEVEL1_ROLE_VIEW = "level1.role.view",
+    LEVEL1_ROLE_UPDATE = "level1.role.update",
+    LEVEL1_ROLE_DELETE = "level1.role.delete",
+    LEVEL1_ROLE_ASSIGN = "level1.role.assign",
+    LEVEL1_ROLE_REVOKE = "level1.role.revoke",
+    LEVEL1_AUDIT_VIEW = "level1.audit.view",
+    LEVEL2_USER_CREATE = "level2.user.create",
+    LEVEL2_USER_READ = "level2.user.read",
+    LEVEL2_USER_UPDATE = "level2.user.update",
+    LEVEL2_USER_DELETE = "level2.user.delete",
+    LEVEL2_ROLE_CREATE = "level2.role.create",
+    LEVEL2_ROLE_LIST = "level2.role.list",
+    LEVEL2_ROLE_VIEW = "level2.role.view",
+    LEVEL2_ROLE_UPDATE = "level2.role.update",
+    LEVEL2_ROLE_DELETE = "level2.role.delete",
+    LEVEL2_ROLE_ASSIGN = "level2.role.assign",
+    LEVEL2_ROLE_REVOKE = "level2.role.revoke",
+    LEVEL2_AUDIT_VIEW = "level2.audit.view",
+    LEVEL3_USER_CREATE = "level3.user.create",
+    LEVEL3_USER_READ = "level3.user.read",
+    LEVEL3_USER_UPDATE = "level3.user.update",
+    LEVEL3_USER_DELETE = "level3.user.delete",
+    LEVEL3_ROLE_CREATE = "level3.role.create",
+    LEVEL3_ROLE_LIST = "level3.role.list",
+    LEVEL3_ROLE_VIEW = "level3.role.view",
+    LEVEL3_ROLE_UPDATE = "level3.role.update",
+    LEVEL3_ROLE_DELETE = "level3.role.delete",
+    LEVEL3_ROLE_ASSIGN = "level3.role.assign",
+    LEVEL3_ROLE_REVOKE = "level3.role.revoke",
+    LEVEL3_AUDIT_VIEW = "level3.audit.view"
 }
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.

package/bin/platformRbac/enums/Permission.js

@@ -209,6 +209,47 @@ var Permission;
     // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
     // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
     Permission["AGENTS_GROUP_USER_MANAGE"] = "agents.group.user.manage";
+    // ====================================================
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
+    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // ====================================================
+    Permission["LEVEL1_USER_CREATE"] = "level1.user.create";
+    Permission["LEVEL1_USER_READ"] = "level1.user.read";
+    Permission["LEVEL1_USER_UPDATE"] = "level1.user.update";
+    Permission["LEVEL1_USER_DELETE"] = "level1.user.delete";
+    Permission["LEVEL1_ROLE_CREATE"] = "level1.role.create";
+    Permission["LEVEL1_ROLE_LIST"] = "level1.role.list";
+    Permission["LEVEL1_ROLE_VIEW"] = "level1.role.view";
+    Permission["LEVEL1_ROLE_UPDATE"] = "level1.role.update";
+    Permission["LEVEL1_ROLE_DELETE"] = "level1.role.delete";
+    Permission["LEVEL1_ROLE_ASSIGN"] = "level1.role.assign";
+    Permission["LEVEL1_ROLE_REVOKE"] = "level1.role.revoke";
+    Permission["LEVEL1_AUDIT_VIEW"] = "level1.audit.view";
+    Permission["LEVEL2_USER_CREATE"] = "level2.user.create";
+    Permission["LEVEL2_USER_READ"] = "level2.user.read";
+    Permission["LEVEL2_USER_UPDATE"] = "level2.user.update";
+    Permission["LEVEL2_USER_DELETE"] = "level2.user.delete";
+    Permission["LEVEL2_ROLE_CREATE"] = "level2.role.create";
+    Permission["LEVEL2_ROLE_LIST"] = "level2.role.list";
+    Permission["LEVEL2_ROLE_VIEW"] = "level2.role.view";
+    Permission["LEVEL2_ROLE_UPDATE"] = "level2.role.update";
+    Permission["LEVEL2_ROLE_DELETE"] = "level2.role.delete";
+    Permission["LEVEL2_ROLE_ASSIGN"] = "level2.role.assign";
+    Permission["LEVEL2_ROLE_REVOKE"] = "level2.role.revoke";
+    Permission["LEVEL2_AUDIT_VIEW"] = "level2.audit.view";
+    Permission["LEVEL3_USER_CREATE"] = "level3.user.create";
+    Permission["LEVEL3_USER_READ"] = "level3.user.read";
+    Permission["LEVEL3_USER_UPDATE"] = "level3.user.update";
+    Permission["LEVEL3_USER_DELETE"] = "level3.user.delete";
+    Permission["LEVEL3_ROLE_CREATE"] = "level3.role.create";
+    Permission["LEVEL3_ROLE_LIST"] = "level3.role.list";
+    Permission["LEVEL3_ROLE_VIEW"] = "level3.role.view";
+    Permission["LEVEL3_ROLE_UPDATE"] = "level3.role.update";
+    Permission["LEVEL3_ROLE_DELETE"] = "level3.role.delete";
+    Permission["LEVEL3_ROLE_ASSIGN"] = "level3.role.assign";
+    Permission["LEVEL3_ROLE_REVOKE"] = "level3.role.revoke";
+    Permission["LEVEL3_AUDIT_VIEW"] = "level3.audit.view";
 })(Permission || (exports.Permission = Permission = {}));
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
@@ -360,6 +401,44 @@ exports.PERMISSION_BIT_ORDER = [
     // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
     // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
+    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
+    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.LEVEL1_USER_CREATE,
+    Permission.LEVEL1_USER_READ,
+    Permission.LEVEL1_USER_UPDATE,
+    Permission.LEVEL1_USER_DELETE,
+    Permission.LEVEL1_ROLE_CREATE,
+    Permission.LEVEL1_ROLE_LIST,
+    Permission.LEVEL1_ROLE_VIEW,
+    Permission.LEVEL1_ROLE_UPDATE,
+    Permission.LEVEL1_ROLE_DELETE,
+    Permission.LEVEL1_ROLE_ASSIGN,
+    Permission.LEVEL1_ROLE_REVOKE,
+    Permission.LEVEL1_AUDIT_VIEW,
+    Permission.LEVEL2_USER_CREATE,
+    Permission.LEVEL2_USER_READ,
+    Permission.LEVEL2_USER_UPDATE,
+    Permission.LEVEL2_USER_DELETE,
+    Permission.LEVEL2_ROLE_CREATE,
+    Permission.LEVEL2_ROLE_LIST,
+    Permission.LEVEL2_ROLE_VIEW,
+    Permission.LEVEL2_ROLE_UPDATE,
+    Permission.LEVEL2_ROLE_DELETE,
+    Permission.LEVEL2_ROLE_ASSIGN,
+    Permission.LEVEL2_ROLE_REVOKE,
+    Permission.LEVEL2_AUDIT_VIEW,
+    Permission.LEVEL3_USER_CREATE,
+    Permission.LEVEL3_USER_READ,
+    Permission.LEVEL3_USER_UPDATE,
+    Permission.LEVEL3_USER_DELETE,
+    Permission.LEVEL3_ROLE_CREATE,
+    Permission.LEVEL3_ROLE_LIST,
+    Permission.LEVEL3_ROLE_VIEW,
+    Permission.LEVEL3_ROLE_UPDATE,
+    Permission.LEVEL3_ROLE_DELETE,
+    Permission.LEVEL3_ROLE_ASSIGN,
+    Permission.LEVEL3_ROLE_REVOKE,
+    Permission.LEVEL3_AUDIT_VIEW,
 ];
 function djb2(input) {
     let h = 5381;

package/bin/platformRbac/enums/PermissionCategory.d.ts

@@ -13,5 +13,8 @@ export declare enum PermissionCategory {
     AUDIT = "audit",
     PAY = "pay",
     /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    AGENTS = "agents"
+    AGENTS = "agents",
+    LEVEL1 = "level1",
+    LEVEL2 = "level2",
+    LEVEL3 = "level3"
 }

package/bin/platformRbac/enums/PermissionCategory.js

@@ -18,4 +18,9 @@ var PermissionCategory;
     PermissionCategory["PAY"] = "pay";
     /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     PermissionCategory["AGENTS"] = "agents";
+    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
+    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    PermissionCategory["LEVEL1"] = "level1";
+    PermissionCategory["LEVEL2"] = "level2";
+    PermissionCategory["LEVEL3"] = "level3";
 })(PermissionCategory || (exports.PermissionCategory = PermissionCategory = {}));

package/bin/platformRbac/index.d.ts

@@ -26,6 +26,9 @@ export * from './dtos/AuthorizeRequest';
 export * from './dtos/AuthorizeResponse';
 export * from './dtos/CreateTenantRequest';
 export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
+export type { TenantStatus } from './dtos/TenantStatus';
+export type { VerifyTenantInfraResponse } from './dtos/VerifyTenantInfraResponse';
+export type { TenantDetailResponse } from './dtos/TenantDetailResponse';
 export * from './dtos/UpdateTenantSecurityPolicyRequest';
 export type { TenantSecurityPolicyResponse } from './dtos/TenantSecurityPolicyResponse';
 export * from './dtos/UpdateTenantAutoregisterRequest';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.124.0",
+  "version": "3.125.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateTenantResponse.ts

@@ -1,12 +1,24 @@
+import { TenantStatus } from './TenantStatus';
+
 /**
  * Output del POST backoffice de creación de tenant (F-11). Response plain sin validators
  * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * DEC-RBAC-058 (aditivo): el response expone el `status` resultante; si quedó `pending-infra`,
+ * viaja `infraRequirements` con las tablas del silo faltantes. `adminCognitoSub`/`temporaryPassword`
+ * pasan a OPCIONALES (no se quitan): el alta clásica con admin los setea; el alta sin admin
+ * (DEC-RBAC-057) no. `status`/`infraRequirements` son opcionales para back-compat con el alta clásica.
  */
 export interface CreateTenantResponse {
     tenantId: string;
     userPoolId: string;
     appClientId: string;
-    adminCognitoSub: string;
-    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). */
-    temporaryPassword: string;
+    /** Presente en el alta CON admin (flujo clásico F-11). Opcional: el alta sin admin (DEC-RBAC-057) no lo setea. */
+    adminCognitoSub?: string;
+    /** Fallback out-of-band mientras el correo de invitación no entrega (F-11). Opcional (ver adminCognitoSub). */
+    temporaryPassword?: string;
+    /** Estado resultante del onboarding (DEC-RBAC-058). Opcional para back-compat; `active` o `pending-infra` en el happy path. */
+    status?: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'` (DEC-RBAC-058). */
+    infraRequirements?: string[];
 }

package/src/platformRbac/dtos/TenantDetailResponse.ts

@@ -0,0 +1,20 @@
+import { TenantStatus } from './TenantStatus';
+
+/**
+ * Output del GET backoffice de detalle de tenant (F-11). Response plain sin validators
+ * (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ *
+ * Superficie de contrato que el frontend consume para la feature de infra (DEC-RBAC-058/059):
+ * `status` (que ahora incluye `pending-infra`) e `infraRequirements` (tablas del silo faltantes,
+ * presente solo en `pending-infra`). El detalle completo del tenant (cognitoPool, branding,
+ * securityPolicy, etc.) lo arma el manager a partir del Row; este DTO declara los campos del
+ * contrato relevantes a la feature sin duplicar el shape interno del Row.
+ */
+export interface TenantDetailResponse {
+    tenantId: string;
+    displayName: string;
+    tablePrefix: string;
+    status: TenantStatus;
+    /** Nombres de tablas del silo faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/src/platformRbac/dtos/TenantStatus.ts

@@ -0,0 +1,12 @@
+/**
+ * Estado de un tenant del platform-rbac-business (F-11 — onboarding de tenant).
+ *
+ * - `provisioning`: saga de onboarding en curso (estado transitorio).
+ * - `active`: tenant operativo (config + pool + roles sembrados).
+ * - `suspended`: tenant deshabilitado (saga abortada y compensada, o suspensión manual).
+ * - `pending-infra` (DEC-RBAC-058): el pre-check de infra encontró tablas del silo faltantes.
+ *   El tenant quedó creado pero inutilizable hasta que infra cree las tablas; los nombres
+ *   faltantes viajan en `infraRequirements`. No se sembraron roles. Re-verificable vía
+ *   `POST /platform/tenants/{tenantId}/verify-infra` (DEC-RBAC-059).
+ */
+export type TenantStatus = 'provisioning' | 'active' | 'suspended' | 'pending-infra';

package/src/platformRbac/dtos/VerifyTenantInfraResponse.ts

@@ -0,0 +1,16 @@
+import { TenantStatus } from './TenantStatus';
+
+/**
+ * Output del POST backoffice `verify-infra` (DEC-RBAC-059) — re-verificación de la infra del silo
+ * de un tenant `pending-infra`. Response plain sin validators (fiado-validation-and-dtos § 7).
+ * El `tenantId` viaja en el path, no hay request DTO.
+ *
+ * - Si ya están todas las tablas → siembra roles diferida → `status === 'active'` (sin `infraRequirements`).
+ * - Si aún faltan → `status === 'pending-infra'` + `infraRequirements` con los faltantes actuales.
+ * - Si el tenant no estaba `pending-infra` → no-op idempotente: devuelve el status actual.
+ */
+export interface VerifyTenantInfraResponse {
+    status: TenantStatus;
+    /** Nombres de tablas del silo aún faltantes. Presente solo cuando `status === 'pending-infra'`. */
+    infraRequirements?: string[];
+}

package/src/platformRbac/enums/Permission.ts

@@ -210,6 +210,48 @@ export enum Permission {
     // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
     // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
     AGENTS_GROUP_USER_MANAGE = 'agents.group.user.manage',
+
+    // ====================================================
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
+    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // ====================================================
+    LEVEL1_USER_CREATE = 'level1.user.create',
+    LEVEL1_USER_READ = 'level1.user.read',
+    LEVEL1_USER_UPDATE = 'level1.user.update',
+    LEVEL1_USER_DELETE = 'level1.user.delete',
+    LEVEL1_ROLE_CREATE = 'level1.role.create',
+    LEVEL1_ROLE_LIST = 'level1.role.list',
+    LEVEL1_ROLE_VIEW = 'level1.role.view',
+    LEVEL1_ROLE_UPDATE = 'level1.role.update',
+    LEVEL1_ROLE_DELETE = 'level1.role.delete',
+    LEVEL1_ROLE_ASSIGN = 'level1.role.assign',
+    LEVEL1_ROLE_REVOKE = 'level1.role.revoke',
+    LEVEL1_AUDIT_VIEW = 'level1.audit.view',
+    LEVEL2_USER_CREATE = 'level2.user.create',
+    LEVEL2_USER_READ = 'level2.user.read',
+    LEVEL2_USER_UPDATE = 'level2.user.update',
+    LEVEL2_USER_DELETE = 'level2.user.delete',
+    LEVEL2_ROLE_CREATE = 'level2.role.create',
+    LEVEL2_ROLE_LIST = 'level2.role.list',
+    LEVEL2_ROLE_VIEW = 'level2.role.view',
+    LEVEL2_ROLE_UPDATE = 'level2.role.update',
+    LEVEL2_ROLE_DELETE = 'level2.role.delete',
+    LEVEL2_ROLE_ASSIGN = 'level2.role.assign',
+    LEVEL2_ROLE_REVOKE = 'level2.role.revoke',
+    LEVEL2_AUDIT_VIEW = 'level2.audit.view',
+    LEVEL3_USER_CREATE = 'level3.user.create',
+    LEVEL3_USER_READ = 'level3.user.read',
+    LEVEL3_USER_UPDATE = 'level3.user.update',
+    LEVEL3_USER_DELETE = 'level3.user.delete',
+    LEVEL3_ROLE_CREATE = 'level3.role.create',
+    LEVEL3_ROLE_LIST = 'level3.role.list',
+    LEVEL3_ROLE_VIEW = 'level3.role.view',
+    LEVEL3_ROLE_UPDATE = 'level3.role.update',
+    LEVEL3_ROLE_DELETE = 'level3.role.delete',
+    LEVEL3_ROLE_ASSIGN = 'level3.role.assign',
+    LEVEL3_ROLE_REVOKE = 'level3.role.revoke',
+    LEVEL3_AUDIT_VIEW = 'level3.audit.view',
 }
 
 /**
@@ -362,6 +404,44 @@ export const PERMISSION_BIT_ORDER: readonly Permission[] = [
     // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
     // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
+    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
+    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.LEVEL1_USER_CREATE,
+    Permission.LEVEL1_USER_READ,
+    Permission.LEVEL1_USER_UPDATE,
+    Permission.LEVEL1_USER_DELETE,
+    Permission.LEVEL1_ROLE_CREATE,
+    Permission.LEVEL1_ROLE_LIST,
+    Permission.LEVEL1_ROLE_VIEW,
+    Permission.LEVEL1_ROLE_UPDATE,
+    Permission.LEVEL1_ROLE_DELETE,
+    Permission.LEVEL1_ROLE_ASSIGN,
+    Permission.LEVEL1_ROLE_REVOKE,
+    Permission.LEVEL1_AUDIT_VIEW,
+    Permission.LEVEL2_USER_CREATE,
+    Permission.LEVEL2_USER_READ,
+    Permission.LEVEL2_USER_UPDATE,
+    Permission.LEVEL2_USER_DELETE,
+    Permission.LEVEL2_ROLE_CREATE,
+    Permission.LEVEL2_ROLE_LIST,
+    Permission.LEVEL2_ROLE_VIEW,
+    Permission.LEVEL2_ROLE_UPDATE,
+    Permission.LEVEL2_ROLE_DELETE,
+    Permission.LEVEL2_ROLE_ASSIGN,
+    Permission.LEVEL2_ROLE_REVOKE,
+    Permission.LEVEL2_AUDIT_VIEW,
+    Permission.LEVEL3_USER_CREATE,
+    Permission.LEVEL3_USER_READ,
+    Permission.LEVEL3_USER_UPDATE,
+    Permission.LEVEL3_USER_DELETE,
+    Permission.LEVEL3_ROLE_CREATE,
+    Permission.LEVEL3_ROLE_LIST,
+    Permission.LEVEL3_ROLE_VIEW,
+    Permission.LEVEL3_ROLE_UPDATE,
+    Permission.LEVEL3_ROLE_DELETE,
+    Permission.LEVEL3_ROLE_ASSIGN,
+    Permission.LEVEL3_ROLE_REVOKE,
+    Permission.LEVEL3_AUDIT_VIEW,
 ] as const;
 
 function djb2(input: string): number {

package/src/platformRbac/enums/PermissionCategory.ts

@@ -14,4 +14,9 @@ export enum PermissionCategory {
     PAY = 'pay',
     /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
     AGENTS = 'agents',
+    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
+    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    LEVEL1 = 'level1',
+    LEVEL2 = 'level2',
+    LEVEL3 = 'level3',
 }

package/src/platformRbac/index.ts

@@ -51,6 +51,10 @@ export * from './dtos/AuthorizeResponse';
 // decoradores class-validator → export de valor; CreateTenantResponse es interface → type-only.
 export * from './dtos/CreateTenantRequest';
 export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
+// DEC-RBAC-058/059 (aditivo) — tenant pending-infra + verify-infra
+export type { TenantStatus } from './dtos/TenantStatus';
+export type { VerifyTenantInfraResponse } from './dtos/VerifyTenantInfraResponse';
+export type { TenantDetailResponse } from './dtos/TenantDetailResponse';
 
 // MFA por tenant — methodsAllowed (value-set 'EMAIL'|'TOTP', TD-RBAC-071, DEC-095).
 // UpdateTenantSecurityPolicyRequest lleva decoradores class-validator → export de valor;