@fiado/type-kit 3.127.0 → 3.129.0

package/_test_/unit/platformRbac/dtos/CreateTenantRequest.test.ts

@@ -60,6 +60,48 @@ describe('CreateTenantRequest', () => {
         expect(errors.some(e => e.property === 'tenantType')).toBe(true);
     });
 
+    it('valida con securityPolicy omitido (opcional — hereda app.defaults)', async () => {
+        const dto = plainToInstance(CreateTenantRequest, valid);
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+        expect(dto.securityPolicy).toBeUndefined();
+    });
+
+    it('valida securityPolicy con métodos válidos y mfaEnabled', async () => {
+        const dto = plainToInstance(CreateTenantRequest, {
+            ...valid,
+            securityPolicy: { methodsAllowed: ['EMAIL', 'TOTP'], mfaEnabled: true },
+        });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+        expect(dto.securityPolicy?.methodsAllowed).toEqual(['EMAIL', 'TOTP']);
+        expect(dto.securityPolicy?.mfaEnabled).toBe(true);
+    });
+
+    it('valida securityPolicy con ambos campos opcionales ausentes (objeto vacío)', async () => {
+        const dto = plainToInstance(CreateTenantRequest, { ...valid, securityPolicy: {} });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('falla si securityPolicy.methodsAllowed tiene un método fuera del value-set', async () => {
+        const dto = plainToInstance(CreateTenantRequest, {
+            ...valid,
+            securityPolicy: { methodsAllowed: ['SMS'] },
+        });
+        const errors = await validate(dto);
+        expect(errors.some(e => e.property === 'securityPolicy')).toBe(true);
+    });
+
+    it('falla si securityPolicy.mfaEnabled no es boolean', async () => {
+        const dto = plainToInstance(CreateTenantRequest, {
+            ...valid,
+            securityPolicy: { mfaEnabled: 'si' },
+        });
+        const errors = await validate(dto);
+        expect(errors.some(e => e.property === 'securityPolicy')).toBe(true);
+    });
+
     it('NO expone temporaryPassword en el request (campo del response, no del body)', () => {
         // El request NO debe llevar temporaryPassword (es solo del response, fallback out-of-band F-11).
         // Con excludeExtraneousValues solo sobreviven las props @Expose() del DTO → el contrato lo excluye.

package/bin/cognitoBackofficeConnector/dtos/MfaPoolConfig.d.ts

@@ -0,0 +1,7 @@
+declare const ALLOWED_MFA_TYPES: readonly ["SOFTWARE_TOKEN_MFA"];
+export type AllowedMfaType = (typeof ALLOWED_MFA_TYPES)[number];
+export declare class MfaPoolConfig {
+    requireMfa: boolean;
+    mfaTypes: AllowedMfaType[];
+}
+export {};

package/bin/cognitoBackofficeConnector/dtos/MfaPoolConfig.js

@@ -0,0 +1,36 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.MfaPoolConfig = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+const MfaTypesRequiresOne_1 = require("../validators/MfaTypesRequiresOne");
+// EMAIL_OTP removido (3.41.0): el cognito-backoffice-connector no provisiona
+// EmailMfaConfiguration a nivel pool (requiere infra SES que no está montada
+// y la integración con messages-lambda aún no tiene diseño). Ver TD-020 +
+// DEC-001 en cognito-backoffice-connector/docs/. Si se reintroduce, agregar
+// 'EMAIL_OTP' a este array.
+const ALLOWED_MFA_TYPES = ['SOFTWARE_TOKEN_MFA'];
+class MfaPoolConfig {
+}
+exports.MfaPoolConfig = MfaPoolConfig;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], MfaPoolConfig.prototype, "requireMfa", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.IsIn)(ALLOWED_MFA_TYPES, { each: true }),
+    (0, class_validator_1.Validate)(MfaTypesRequiresOne_1.MfaTypesRequiresOne),
+    __metadata("design:type", Array)
+], MfaPoolConfig.prototype, "mfaTypes", void 0);

package/bin/cognitoBackofficeConnector/dtos/PoolConfigResponse.d.ts

@@ -0,0 +1,20 @@
+import { PoolKind } from '../../rbac/enums/PoolKind';
+/**
+ * Shape del `PoolConfigRow` expuesto al caller (BFF M18 / otros lambdas Fiado).
+ * Refleja la configuración de un Cognito User Pool registrado en la tabla
+ * `PoolConfigs_GT` del lambda `cognito-backoffice-connector`.
+ */
+export declare class PoolConfigResponse {
+    userPoolId: string;
+    userPoolArn: string;
+    region: string;
+    poolKind: PoolKind;
+    displayName: string;
+    appClients: Record<string, {
+        clientId: string;
+        clientName: string;
+    }>;
+    status: 'active' | 'deprecated';
+    createdAt: number;
+    updatedAt: number;
+}

package/bin/cognitoBackofficeConnector/dtos/PoolConfigResponse.js

@@ -0,0 +1,11 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolConfigResponse = void 0;
+/**
+ * Shape del `PoolConfigRow` expuesto al caller (BFF M18 / otros lambdas Fiado).
+ * Refleja la configuración de un Cognito User Pool registrado en la tabla
+ * `PoolConfigs_GT` del lambda `cognito-backoffice-connector`.
+ */
+class PoolConfigResponse {
+}
+exports.PoolConfigResponse = PoolConfigResponse;

package/bin/cognitoBackofficeConnector/dtos/PoolsListResponse.d.ts

@@ -0,0 +1,4 @@
+import { PoolConfigResponse } from './PoolConfigResponse';
+export declare class PoolsListResponse {
+    pools: PoolConfigResponse[];
+}

package/bin/cognitoBackofficeConnector/dtos/PoolsListResponse.js

@@ -0,0 +1,6 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolsListResponse = void 0;
+class PoolsListResponse {
+}
+exports.PoolsListResponse = PoolsListResponse;

package/bin/cognitoBackofficeConnector/validators/MfaTypesRequiresOne.d.ts

@@ -0,0 +1,17 @@
+import { ValidatorConstraintInterface, ValidationArguments } from 'class-validator';
+/**
+ * Cross-field validator: si `requireMfa: true`, entonces `mfaTypes` debe tener
+ * al menos 1 elemento. Si `requireMfa: false`, `mfaTypes` puede ser vacío.
+ *
+ * Razón: cuando el pool nace con MFA habilitado, el connector llama
+ * `SetUserPoolMfaConfigCommand` con la lista de tipos del DTO. Si el array
+ * llega vacío con `requireMfa: true`, el SDK rechaza con InvalidParameterException
+ * y el pool queda en estado inconsistente (MfaConfiguration:'ON' sin tipos).
+ * Mejor rechazar en validación del DTO antes de tocar AWS.
+ *
+ * Ver pivote v1.4.1 TD-017 cerrado + spec doc §1 R3.
+ */
+export declare class MfaTypesRequiresOne implements ValidatorConstraintInterface {
+    validate(mfaTypes: unknown, args: ValidationArguments): boolean;
+    defaultMessage(): string;
+}

package/bin/cognitoBackofficeConnector/validators/MfaTypesRequiresOne.js

@@ -0,0 +1,39 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.MfaTypesRequiresOne = void 0;
+const class_validator_1 = require("class-validator");
+/**
+ * Cross-field validator: si `requireMfa: true`, entonces `mfaTypes` debe tener
+ * al menos 1 elemento. Si `requireMfa: false`, `mfaTypes` puede ser vacío.
+ *
+ * Razón: cuando el pool nace con MFA habilitado, el connector llama
+ * `SetUserPoolMfaConfigCommand` con la lista de tipos del DTO. Si el array
+ * llega vacío con `requireMfa: true`, el SDK rechaza con InvalidParameterException
+ * y el pool queda en estado inconsistente (MfaConfiguration:'ON' sin tipos).
+ * Mejor rechazar en validación del DTO antes de tocar AWS.
+ *
+ * Ver pivote v1.4.1 TD-017 cerrado + spec doc §1 R3.
+ */
+let MfaTypesRequiresOne = class MfaTypesRequiresOne {
+    validate(mfaTypes, args) {
+        const obj = args.object;
+        if (obj.requireMfa === true) {
+            return Array.isArray(mfaTypes) && mfaTypes.length >= 1;
+        }
+        // requireMfa: false → cualquier mfaTypes pasa.
+        return true;
+    }
+    defaultMessage() {
+        return 'mfaTypes requiere al menos un tipo cuando requireMfa=true';
+    }
+};
+exports.MfaTypesRequiresOne = MfaTypesRequiresOne;
+exports.MfaTypesRequiresOne = MfaTypesRequiresOne = __decorate([
+    (0, class_validator_1.ValidatorConstraint)({ name: 'MfaTypesRequiresOneWhenMfaRequired', async: false })
+], MfaTypesRequiresOne);

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -1,5 +1,18 @@
 import { TokenValidationMode } from '../enums/TokenValidationMode';
 import { TenantType } from '../tenantTypes';
+/**
+ * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
+ * ambos campos son OPCIONALES: es un override del punto de partida — si se omite, el onboarding
+ * hereda de `app.defaults.securityPolicy`.
+ *
+ * TD-RBAC-071: `methodsAllowed` usa el value-set 'EMAIL'|'TOTP' (string), espejo del que usa
+ * `UpdateTenantSecurityPolicyRequest`. NO se reusa ese DTO porque allí `methodsAllowed` es REQUERIDO
+ * (@ArrayNotEmpty); en el create es opcional.
+ */
+export declare class CreateTenantSecurityPolicy {
+    methodsAllowed?: ('EMAIL' | 'TOTP')[];
+    mfaEnabled?: boolean;
+}
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -28,4 +41,9 @@ export declare class CreateTenantRequest {
     tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     applicationId?: string;
+    /**
+     * DEC-RBAC-064: punto inicial de métodos 2FA elegido en el alta. Opcional: si se omite, el
+     * onboarding hereda `app.defaults.securityPolicy`. Aditivo, no rompe altas existentes.
+     */
+    securityPolicy?: CreateTenantSecurityPolicy;
 }

package/bin/platformRbac/dtos/CreateTenantRequest.js

@@ -9,11 +9,36 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CreateTenantRequest = void 0;
+exports.CreateTenantRequest = exports.CreateTenantSecurityPolicy = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 const TokenValidationMode_1 = require("../enums/TokenValidationMode");
 const tenantTypes_1 = require("../tenantTypes");
+/**
+ * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
+ * ambos campos son OPCIONALES: es un override del punto de partida — si se omite, el onboarding
+ * hereda de `app.defaults.securityPolicy`.
+ *
+ * TD-RBAC-071: `methodsAllowed` usa el value-set 'EMAIL'|'TOTP' (string), espejo del que usa
+ * `UpdateTenantSecurityPolicyRequest`. NO se reusa ese DTO porque allí `methodsAllowed` es REQUERIDO
+ * (@ArrayNotEmpty); en el create es opcional.
+ */
+class CreateTenantSecurityPolicy {
+}
+exports.CreateTenantSecurityPolicy = CreateTenantSecurityPolicy;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.IsIn)(['EMAIL', 'TOTP'], { each: true }),
+    __metadata("design:type", Array)
+], CreateTenantSecurityPolicy.prototype, "methodsAllowed", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], CreateTenantSecurityPolicy.prototype, "mfaEnabled", void 0);
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -75,3 +100,10 @@ __decorate([
     (0, class_validator_1.IsString)(),
     __metadata("design:type", String)
 ], CreateTenantRequest.prototype, "applicationId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.ValidateNested)(),
+    (0, class_transformer_1.Type)(() => CreateTenantSecurityPolicy),
+    __metadata("design:type", CreateTenantSecurityPolicy)
+], CreateTenantRequest.prototype, "securityPolicy", void 0);

package/bin/rbac/enums/PoolKind.d.ts

@@ -0,0 +1,16 @@
+/**
+ * Tipo de User Pool de Cognito desde la perspectiva del modelo RBAC Fiado.
+ *
+ * Origen: spec del proyecto `cognito-backoffice-connector` (Fase 0, componente 01
+ * documento `docs/superpowers/specs/2026-05-26-cognito-connector-decisiones-pendientes-design.md`).
+ *
+ * Decisión (TD-003): el proyecto converge en estos 2 valores. El documento componente 03
+ * lista 3 valores (incluyendo una variante adicional) pero queda como outlier — la
+ * decisión vigente en los 6 docs restantes y en el plan de implementación es 2 valores:
+ *  - BACKOFFICE_PLATFORM — pool del backoffice de plataforma (cross-tenant)
+ *  - BACKOFFICE_TENANT — pool por tenant (multi-tenant isolation)
+ */
+export declare enum PoolKind {
+    BACKOFFICE_PLATFORM = "BACKOFFICE_PLATFORM",
+    BACKOFFICE_TENANT = "BACKOFFICE_TENANT"
+}

package/bin/rbac/enums/PoolKind.js

@@ -0,0 +1,20 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolKind = void 0;
+/**
+ * Tipo de User Pool de Cognito desde la perspectiva del modelo RBAC Fiado.
+ *
+ * Origen: spec del proyecto `cognito-backoffice-connector` (Fase 0, componente 01
+ * documento `docs/superpowers/specs/2026-05-26-cognito-connector-decisiones-pendientes-design.md`).
+ *
+ * Decisión (TD-003): el proyecto converge en estos 2 valores. El documento componente 03
+ * lista 3 valores (incluyendo una variante adicional) pero queda como outlier — la
+ * decisión vigente en los 6 docs restantes y en el plan de implementación es 2 valores:
+ *  - BACKOFFICE_PLATFORM — pool del backoffice de plataforma (cross-tenant)
+ *  - BACKOFFICE_TENANT — pool por tenant (multi-tenant isolation)
+ */
+var PoolKind;
+(function (PoolKind) {
+    PoolKind["BACKOFFICE_PLATFORM"] = "BACKOFFICE_PLATFORM";
+    PoolKind["BACKOFFICE_TENANT"] = "BACKOFFICE_TENANT";
+})(PoolKind || (exports.PoolKind = PoolKind = {}));

package/bin/rbac/index.d.ts

@@ -0,0 +1 @@
+export * from './enums/PoolKind';

package/bin/rbac/index.js

@@ -0,0 +1,17 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __exportStar = (this && this.__exportStar) || function(m, exports) {
+    for (var p in m) if (p !== "default" && !Object.prototype.hasOwnProperty.call(exports, p)) __createBinding(exports, m, p);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+__exportStar(require("./enums/PoolKind"), exports);

package/bin/remittance/dtos/RemittanceBackofficeStats.d.ts

@@ -8,8 +8,13 @@ export declare class RemittanceBackofficeCountryBucket extends RemittanceBackoff
 }
 export declare class RemittanceBackofficeDayBucket extends RemittanceBackofficeStatsBucket {
     date: string;
+    /** Fees recaudados ese día (para el delta de fees vs. el día anterior). */
+    feesUSD: number;
 }
-/** Volumen/fees agregados por país y por día (F9). */
+export declare class RemittanceBackofficeStatusBucket extends RemittanceBackofficeStatsBucket {
+    status: string;
+}
+/** Volumen/fees agregados por país, por status y por día (F9). */
 export declare class RemittanceBackofficeStats {
     period: RemittanceBackofficeStatsPeriod;
     from: string;
@@ -17,5 +22,6 @@ export declare class RemittanceBackofficeStats {
     volumeUSD: number;
     totalFeesUSD: number;
     byCountry: RemittanceBackofficeCountryBucket[];
+    byStatus: RemittanceBackofficeStatusBucket[];
     byDay: RemittanceBackofficeDayBucket[];
 }

package/bin/remittance/dtos/RemittanceBackofficeStats.js

@@ -1,6 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.RemittanceBackofficeStats = exports.RemittanceBackofficeDayBucket = exports.RemittanceBackofficeCountryBucket = exports.RemittanceBackofficeStatsBucket = void 0;
+exports.RemittanceBackofficeStats = exports.RemittanceBackofficeStatusBucket = exports.RemittanceBackofficeDayBucket = exports.RemittanceBackofficeCountryBucket = exports.RemittanceBackofficeStatsBucket = void 0;
 class RemittanceBackofficeStatsBucket {
 }
 exports.RemittanceBackofficeStatsBucket = RemittanceBackofficeStatsBucket;
@@ -10,7 +10,10 @@ exports.RemittanceBackofficeCountryBucket = RemittanceBackofficeCountryBucket;
 class RemittanceBackofficeDayBucket extends RemittanceBackofficeStatsBucket {
 }
 exports.RemittanceBackofficeDayBucket = RemittanceBackofficeDayBucket;
-/** Volumen/fees agregados por país y por día (F9). */
+class RemittanceBackofficeStatusBucket extends RemittanceBackofficeStatsBucket {
+}
+exports.RemittanceBackofficeStatusBucket = RemittanceBackofficeStatusBucket;
+/** Volumen/fees agregados por país, por status y por día (F9). */
 class RemittanceBackofficeStats {
 }
 exports.RemittanceBackofficeStats = RemittanceBackofficeStats;

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.d.ts

@@ -1,14 +1,5 @@
-/**
- * Body para cancelar una referencia de funding ya creada. La referencia/fundingId
- * viaja en la URL (`/funding/{moduleName}/{fundingId}/cancel`); este body aporta
- * el contexto del solicitante + idempotencia.
- *
- * NOTA: shape inferido desde el uso en `@fiado/api-invoker`
- * (benefits-marketplace / equality-connector) — confirmar con el dueño del
- * módulo walletFunding / el lambda equality-connector que implementa el cancel.
- */
 export declare class CancelFundingReferenceRequest {
+    fundingId: string;
     directoryId: string;
-    reason?: string;
     idempotencyKey: string;
 }

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.js

@@ -11,15 +11,6 @@ var __metadata = (this && this.__metadata) || function (k, v) {
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.CancelFundingReferenceRequest = void 0;
 const class_validator_1 = require("class-validator");
-/**
- * Body para cancelar una referencia de funding ya creada. La referencia/fundingId
- * viaja en la URL (`/funding/{moduleName}/{fundingId}/cancel`); este body aporta
- * el contexto del solicitante + idempotencia.
- *
- * NOTA: shape inferido desde el uso en `@fiado/api-invoker`
- * (benefits-marketplace / equality-connector) — confirmar con el dueño del
- * módulo walletFunding / el lambda equality-connector que implementa el cancel.
- */
 class CancelFundingReferenceRequest {
 }
 exports.CancelFundingReferenceRequest = CancelFundingReferenceRequest;
@@ -27,13 +18,12 @@ __decorate([
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
+], CancelFundingReferenceRequest.prototype, "fundingId", void 0);
 __decorate([
-    (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(256),
+    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "reason", void 0);
+], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
 __decorate([
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.MaxLength)(64),

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.d.ts

@@ -1,15 +1,7 @@
 import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
 import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
-/**
- * Respuesta de la cancelación de una referencia de funding. Mismo estilo que
- * CreateFundingReferenceResponse.
- *
- * NOTA: shape inferido desde el uso en `@fiado/api-invoker` — confirmar con el
- * dueño del módulo walletFunding / el lambda equality-connector.
- */
 export declare class CancelFundingReferenceResponse {
-    /** Referencia cancelada (misma PK que se creó). */
-    reference: string;
+    fundingId: string;
     status: BenefitPaymentStatusEnum;
     errorCode?: WalletFundingErrorCodeEnum;
 }

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.js

@@ -1,13 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.CancelFundingReferenceResponse = void 0;
-/**
- * Respuesta de la cancelación de una referencia de funding. Mismo estilo que
- * CreateFundingReferenceResponse.
- *
- * NOTA: shape inferido desde el uso en `@fiado/api-invoker` — confirmar con el
- * dueño del módulo walletFunding / el lambda equality-connector.
- */
 class CancelFundingReferenceResponse {
 }
 exports.CancelFundingReferenceResponse = CancelFundingReferenceResponse;

package/bin/walletFunding/dtos/CancelFundingRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Request del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `fundingId` viaja en el path, `directoryId` se resuelve del JWT.
+ * `providerModuleName` permite al marketplace rutear al publisher correcto
+ * sin tener que persistir el mapping (el wallet-app sabe el moduleName
+ * porque vino en la respuesta del authorize).
+ */
+export declare class CancelFundingRequest {
+    idempotencyKey: string;
+    providerModuleName: string;
+}

package/bin/{platformRbac/dtos/CompleteMyProfileRequest.js → walletFunding/dtos/CancelFundingRequest.js}

@@ -9,26 +9,25 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CompleteMyProfileRequest = void 0;
-const class_transformer_1 = require("class-transformer");
+exports.CancelFundingRequest = void 0;
 const class_validator_1 = require("class-validator");
 /**
- * Body del PUT /me/profile/complete (autenticado, gate post-MFA del autoregistro). DEC-RBAC-034.
- * Opera sobre el propio usuario (cognitoSub del token). Valida nombre + los `userFieldDefs` requeridos
- * del tenant (422 MISSING_REQUIRED_FIELDS si faltan) y flipea `profileComplete=true`.
+ * Request del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `fundingId` viaja en el path, `directoryId` se resuelve del JWT.
+ * `providerModuleName` permite al marketplace rutear al publisher correcto
+ * sin tener que persistir el mapping (el wallet-app sabe el moduleName
+ * porque vino en la respuesta del authorize).
  */
-class CompleteMyProfileRequest {
+class CancelFundingRequest {
 }
-exports.CompleteMyProfileRequest = CompleteMyProfileRequest;
+exports.CancelFundingRequest = CancelFundingRequest;
 __decorate([
-    (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], CompleteMyProfileRequest.prototype, "displayName", void 0);
+], CancelFundingRequest.prototype, "idempotencyKey", void 0);
 __decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsObject)(),
-    __metadata("design:type", Object)
-], CompleteMyProfileRequest.prototype, "customFields", void 0);
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(128),
+    __metadata("design:type", String)
+], CancelFundingRequest.prototype, "providerModuleName", void 0);

package/bin/walletFunding/dtos/CancelFundingResponse.d.ts

@@ -0,0 +1,14 @@
+import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
+import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
+/**
+ * Response del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
+ * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
+ * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
+ */
+export declare class CancelFundingResponse {
+    fundingId: string;
+    status: BenefitPaymentStatusEnum;
+    errorCode?: WalletFundingErrorCodeEnum;
+    message?: string;
+}

package/bin/walletFunding/dtos/CancelFundingResponse.js

@@ -0,0 +1,12 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelFundingResponse = void 0;
+/**
+ * Response del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
+ * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
+ * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
+ */
+class CancelFundingResponse {
+}
+exports.CancelFundingResponse = CancelFundingResponse;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.127.0",
+  "version": "3.129.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -1,8 +1,35 @@
-import { Expose } from 'class-transformer';
-import { IsEmail, IsEnum, IsOptional, IsString, Matches } from 'class-validator';
+import { Expose, Type } from 'class-transformer';
+import {
+    IsArray,
+    IsBoolean,
+    IsEmail,
+    IsEnum,
+    IsIn,
+    IsOptional,
+    IsString,
+    Matches,
+    ValidateNested,
+} from 'class-validator';
 import { TokenValidationMode } from '../enums/TokenValidationMode';
 import { TenantType } from '../tenantTypes';
 
+/**
+ * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
+ * ambos campos son OPCIONALES: es un override del punto de partida — si se omite, el onboarding
+ * hereda de `app.defaults.securityPolicy`.
+ *
+ * TD-RBAC-071: `methodsAllowed` usa el value-set 'EMAIL'|'TOTP' (string), espejo del que usa
+ * `UpdateTenantSecurityPolicyRequest`. NO se reusa ese DTO porque allí `methodsAllowed` es REQUERIDO
+ * (@ArrayNotEmpty); en el create es opcional.
+ */
+export class CreateTenantSecurityPolicy {
+    @Expose() @IsOptional() @IsArray() @IsIn(['EMAIL', 'TOTP'], { each: true })
+    methodsAllowed?: ('EMAIL' | 'TOTP')[];
+
+    @Expose() @IsOptional() @IsBoolean()
+    mfaEnabled?: boolean;
+}
+
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -34,4 +61,10 @@ export class CreateTenantRequest {
     @Expose() @IsOptional() @IsEnum(TenantType) tenantType?: TenantType;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     @Expose() @IsOptional() @IsString() applicationId?: string;
+    /**
+     * DEC-RBAC-064: punto inicial de métodos 2FA elegido en el alta. Opcional: si se omite, el
+     * onboarding hereda `app.defaults.securityPolicy`. Aditivo, no rompe altas existentes.
+     */
+    @Expose() @IsOptional() @ValidateNested() @Type(() => CreateTenantSecurityPolicy)
+    securityPolicy?: CreateTenantSecurityPolicy;
 }

package/src/remittance/dtos/RemittanceBackofficeStats.ts

@@ -11,9 +11,15 @@ export class RemittanceBackofficeCountryBucket extends RemittanceBackofficeStats
 
 export class RemittanceBackofficeDayBucket extends RemittanceBackofficeStatsBucket {
     date!: string;
+    /** Fees recaudados ese día (para el delta de fees vs. el día anterior). */
+    feesUSD!: number;
 }
 
-/** Volumen/fees agregados por país y por día (F9). */
+export class RemittanceBackofficeStatusBucket extends RemittanceBackofficeStatsBucket {
+    status!: string;
+}
+
+/** Volumen/fees agregados por país, por status y por día (F9). */
 export class RemittanceBackofficeStats {
     period!: RemittanceBackofficeStatsPeriod;
     from!: string;
@@ -21,5 +27,6 @@ export class RemittanceBackofficeStats {
     volumeUSD!: number;
     totalFeesUSD!: number;
     byCountry!: RemittanceBackofficeCountryBucket[];
+    byStatus!: RemittanceBackofficeStatusBucket[];
     byDay!: RemittanceBackofficeDayBucket[];
 }

package/bin/platformRbac/dtos/CompleteMyProfileRequest.d.ts

@@ -1,9 +0,0 @@
-/**
- * Body del PUT /me/profile/complete (autenticado, gate post-MFA del autoregistro). DEC-RBAC-034.
- * Opera sobre el propio usuario (cognitoSub del token). Valida nombre + los `userFieldDefs` requeridos
- * del tenant (422 MISSING_REQUIRED_FIELDS si faltan) y flipea `profileComplete=true`.
- */
-export declare class CompleteMyProfileRequest {
-    displayName: string;
-    customFields?: Record<string, string>;
-}