@fiado/type-kit 3.141.0 → 3.143.0

package/bin/platformRbac/enums/Permission.js

@@ -107,112 +107,11 @@ var Permission;
     // DEC-RBAC-038: gestión de scope-entities de nivel genérico — crear/editar/borrar entidades del nivel inferior; scope-bound.
     Permission["TENANT_LEVEL_MANAGE"] = "tenant.level.manage";
     // ====================================================
-    // RETAIL — catálogo + inventario + ventas
-    // ====================================================
-    // RETAIL user-management — espejo de tenant.user.* a nivel RETAILER. Los KEYS existen para que el
-    // catálogo + el picker los ofrezcan; sus endpoints/handlers los implementa el agente de retailer
-    // user-management (rbac TD-RBAC-049). create.lateral gobierna create + assign + update (igual que tenant).
-    Permission["RETAIL_USER_CREATE"] = "retail.user.create";
-    Permission["RETAIL_USER_CREATE_LATERAL"] = "retail.user.create.lateral";
-    Permission["RETAIL_USER_READ"] = "retail.user.read";
-    Permission["RETAIL_USER_UPDATE"] = "retail.user.update";
-    Permission["RETAIL_USER_STATUS"] = "retail.user.status";
-    Permission["RETAIL_USER_DELETE"] = "retail.user.delete";
-    Permission["RETAIL_USER_PASSWORD_RESET"] = "retail.user.password.reset";
-    Permission["RETAIL_USER_MFA_RESET"] = "retail.user.mfa.reset";
-    Permission["RETAIL_PRODUCT_CREATE"] = "retail.product.create";
-    Permission["RETAIL_PRODUCT_LIST"] = "retail.product.list";
-    Permission["RETAIL_PRODUCT_VIEW"] = "retail.product.view";
-    Permission["RETAIL_PRODUCT_UPDATE"] = "retail.product.update";
-    Permission["RETAIL_PRODUCT_DELETE"] = "retail.product.delete";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'retail.product.mdm.config' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["RETAIL_PRODUCT_MDM_CONFIG"] = "retail.product.mdm_config";
-    Permission["RETAIL_INVENTORY_LIST"] = "retail.inventory.list";
-    Permission["RETAIL_INVENTORY_VIEW"] = "retail.inventory.view";
-    Permission["RETAIL_INVENTORY_UPDATE"] = "retail.inventory.update";
-    Permission["RETAIL_SALE_CREATE"] = "retail.sale.create";
-    Permission["RETAIL_SALE_LIST"] = "retail.sale.list";
-    Permission["RETAIL_SALE_CANCEL"] = "retail.sale.cancel";
-    Permission["RETAIL_STORE_MANAGE"] = "retail.store.manage";
-    Permission["RETAIL_RETAILER_MANAGE"] = "retail.retailer.manage";
-    // ====================================================
-    // LEND — créditos + cobranza
-    // ====================================================
-    Permission["LEND_CREDIT_CREATE"] = "lend.credit.create";
-    Permission["LEND_CREDIT_LIST"] = "lend.credit.list";
-    Permission["LEND_CREDIT_VIEW"] = "lend.credit.view";
-    Permission["LEND_CREDIT_UPDATE"] = "lend.credit.update";
-    Permission["LEND_CREDIT_LIQUIDATE"] = "lend.credit.liquidate";
-    Permission["LEND_CREDIT_RESTRUCTURE"] = "lend.credit.restructure";
-    Permission["LEND_PAYMENT_APPLY"] = "lend.payment.apply";
-    Permission["LEND_PAYMENT_LIST"] = "lend.payment.list";
-    Permission["LEND_PAYMENT_REVERSE"] = "lend.payment.reverse";
-    Permission["LEND_INSTALLMENT_VIEW"] = "lend.installment.view";
-    // ====================================================
-    // MDM — device management (subset especializado de LEND)
-    // ====================================================
-    Permission["MDM_DEVICE_ENROLL"] = "mdm.device.enroll";
-    Permission["MDM_DEVICE_RELEASE"] = "mdm.device.release";
-    Permission["MDM_DEVICE_ARCHIVE"] = "mdm.device.archive";
-    Permission["MDM_DEVICE_DEACTIVATE"] = "mdm.device.deactivate";
-    Permission["MDM_DEVICE_LOCK_MANUAL"] = "mdm.device.lock.manual";
-    Permission["MDM_DEVICE_UNLOCK_MANUAL"] = "mdm.device.unlock.manual";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.pin.unlock' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_DEVICE_PIN_UNLOCK"] = "mdm.device.pin_unlock";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.device.extend.validity' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_DEVICE_EXTEND_VALIDITY"] = "mdm.device.extend_validity";
-    Permission["MDM_DEVICE_NOTIFY"] = "mdm.device.notify";
-    Permission["MDM_DEVICE_STATUS_VIEW"] = "mdm.device.status.view";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'mdm.operation.log.view' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["MDM_OPERATION_LOG_VIEW"] = "mdm.operation_log.view";
-    Permission["MDM_TEST"] = "mdm.test";
-    // ====================================================
-    // PAY — futuro FiadoPay (placeholder, no usado en MVP)
-    // ====================================================
-    Permission["PAY_TRANSACTION_VIEW"] = "pay.transaction.view";
-    // ====================================================
-    // AGENTS — Fiado Agents (tenant type AGENTS, roles scope GROUP).
-    // Permisos de DOMINIO derivados de los endpoints/pantallas reales del webapp de agents
-    // (ver fiado-agents-webapp/docs/rbac/RBAC-agents.md §5.2). El aislamiento entre orgs lo da el
-    // scope GROUP del roleAssignment (scopeRef = Group_GT.id), no un permiso aparte.
-    // ====================================================
-    // Gate de ACCESO a la app web de Agents (gobernanza). Sin este permiso el usuario no
-    // entra a la app. Lo otorgan los 5 roles GROUP de agents (en su propio repo, no acá).
-    Permission["AGENTS_APP_ACCESS"] = "agents.app.access";
-    Permission["AGENTS_AGENT_LIST"] = "agents.agent.list";
-    Permission["AGENTS_AGENT_CREATE"] = "agents.agent.create";
-    /** @deprecated DEC-RBAC-061: se renombrará a 'agents.agent.create.bulk' (naming con puntos). Migración de datos coordinada por backend pendiente; no usar en código nuevo. */
-    Permission["AGENTS_AGENT_CREATE_BULK"] = "agents.agent.create_bulk";
-    Permission["AGENTS_AGENT_MOVE"] = "agents.agent.move";
-    Permission["AGENTS_AGENT_DELETE"] = "agents.agent.delete";
-    Permission["AGENTS_REFERRAL_VIEW"] = "agents.referral.view";
-    Permission["AGENTS_RANKING_VIEW"] = "agents.ranking.view";
-    Permission["AGENTS_PRODUCTION_VIEW"] = "agents.production.view";
-    Permission["AGENTS_PERSON_SEARCH"] = "agents.person.search";
-    Permission["AGENTS_PERSON_VIEW"] = "agents.person.view";
-    Permission["AGENTS_PERSON_UPDATE"] = "agents.person.update";
-    Permission["AGENTS_PERSON_CREATE"] = "agents.person.create";
-    Permission["AGENTS_DOCUMENT_VIEW"] = "agents.document.view";
-    Permission["AGENTS_DOCUMENT_UPLOAD"] = "agents.document.upload";
-    Permission["AGENTS_ADDRESS_VIEW"] = "agents.address.view";
-    Permission["AGENTS_ADDRESS_MANAGE"] = "agents.address.manage";
-    Permission["AGENTS_BENEFICIARY_VIEW"] = "agents.beneficiary.view";
-    Permission["AGENTS_BENEFICIARY_MANAGE"] = "agents.beneficiary.manage";
-    Permission["AGENTS_CARD_ISSUE"] = "agents.card.issue";
-    Permission["AGENTS_CHAT_VIEW"] = "agents.chat.view";
-    Permission["AGENTS_CHAT_SEND"] = "agents.chat.send";
-    Permission["AGENTS_NOTIFICATION_SEND"] = "agents.notification.send";
-    Permission["AGENTS_EXPORT_RUN"] = "agents.export.run";
-    Permission["AGENTS_CATALOG_VIEW"] = "agents.catalog.view";
-    // Gestión de grupos del tenant AGENTS (scope TENANT — el operador). Espejo de retail.retailer.manage.
-    Permission["AGENTS_GROUP_MANAGE"] = "agents.group.manage";
-    // Gestión de usuarios DENTRO de un grupo (scope GROUP — el group_owner/admin sobre su grupo; el
-    // operador la cubre por TENANT). Crea usuarios + asigna roles group_* acotado al groupId. DEC-102.
-    Permission["AGENTS_GROUP_USER_MANAGE"] = "agents.group.user.manage";
-    // ====================================================
-    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063, ADITIVO)
-    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Coexisten con los
-    // legacy retail.*/agents.* (categorías @deprecated), NO los reemplazan en la línea 3.x.
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Los permisos de
+    // DOMINIO (retail.*/lend.*/mdm.*/pay.*/agents.*) fueron purgados del catálogo (v4.0.0,
+    // BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; los permisos de
+    // dominio viven como data (catálogo por aplicación), no hardcodeados acá.
     // ====================================================
     Permission["LEVEL1_USER_CREATE"] = "level1.user.create";
     Permission["LEVEL1_USER_READ"] = "level1.user.read";
@@ -308,87 +207,10 @@ exports.PERMISSION_BIT_ORDER = [
     Permission.TENANT_SECURITY_POLICY_MANAGE,
     Permission.TENANT_BRANDING_MANAGE,
     Permission.TENANT_AUDIT_VIEW,
-    Permission.RETAIL_USER_CREATE,
-    Permission.RETAIL_USER_CREATE_LATERAL,
-    Permission.RETAIL_USER_READ,
-    Permission.RETAIL_USER_UPDATE,
-    Permission.RETAIL_USER_STATUS,
-    Permission.RETAIL_USER_DELETE,
-    Permission.RETAIL_USER_PASSWORD_RESET,
-    Permission.RETAIL_USER_MFA_RESET,
-    Permission.RETAIL_PRODUCT_CREATE,
-    Permission.RETAIL_PRODUCT_LIST,
-    Permission.RETAIL_PRODUCT_VIEW,
-    Permission.RETAIL_PRODUCT_UPDATE,
-    Permission.RETAIL_PRODUCT_DELETE,
-    Permission.RETAIL_PRODUCT_MDM_CONFIG,
-    Permission.RETAIL_INVENTORY_LIST,
-    Permission.RETAIL_INVENTORY_VIEW,
-    Permission.RETAIL_INVENTORY_UPDATE,
-    Permission.RETAIL_SALE_CREATE,
-    Permission.RETAIL_SALE_LIST,
-    Permission.RETAIL_SALE_CANCEL,
-    Permission.RETAIL_STORE_MANAGE,
-    Permission.RETAIL_RETAILER_MANAGE,
-    Permission.LEND_CREDIT_CREATE,
-    Permission.LEND_CREDIT_LIST,
-    Permission.LEND_CREDIT_VIEW,
-    Permission.LEND_CREDIT_UPDATE,
-    Permission.LEND_CREDIT_LIQUIDATE,
-    Permission.LEND_CREDIT_RESTRUCTURE,
-    Permission.LEND_PAYMENT_APPLY,
-    Permission.LEND_PAYMENT_LIST,
-    Permission.LEND_PAYMENT_REVERSE,
-    Permission.LEND_INSTALLMENT_VIEW,
-    Permission.MDM_DEVICE_ENROLL,
-    Permission.MDM_DEVICE_RELEASE,
-    Permission.MDM_DEVICE_ARCHIVE,
-    Permission.MDM_DEVICE_DEACTIVATE,
-    Permission.MDM_DEVICE_LOCK_MANUAL,
-    Permission.MDM_DEVICE_UNLOCK_MANUAL,
-    Permission.MDM_DEVICE_PIN_UNLOCK,
-    Permission.MDM_DEVICE_EXTEND_VALIDITY,
-    Permission.MDM_DEVICE_NOTIFY,
-    Permission.MDM_DEVICE_STATUS_VIEW,
-    Permission.MDM_OPERATION_LOG_VIEW,
-    Permission.MDM_TEST,
-    Permission.PAY_TRANSACTION_VIEW,
-    // AGENTS (append-only) — Fiado Agents domain perms.
-    Permission.AGENTS_AGENT_LIST,
-    Permission.AGENTS_AGENT_CREATE,
-    Permission.AGENTS_AGENT_CREATE_BULK,
-    Permission.AGENTS_AGENT_MOVE,
-    Permission.AGENTS_AGENT_DELETE,
-    Permission.AGENTS_REFERRAL_VIEW,
-    Permission.AGENTS_RANKING_VIEW,
-    Permission.AGENTS_PRODUCTION_VIEW,
-    Permission.AGENTS_PERSON_SEARCH,
-    Permission.AGENTS_PERSON_VIEW,
-    Permission.AGENTS_PERSON_UPDATE,
-    Permission.AGENTS_DOCUMENT_VIEW,
-    Permission.AGENTS_DOCUMENT_UPLOAD,
-    Permission.AGENTS_ADDRESS_VIEW,
-    Permission.AGENTS_ADDRESS_MANAGE,
-    Permission.AGENTS_BENEFICIARY_VIEW,
-    Permission.AGENTS_BENEFICIARY_MANAGE,
-    Permission.AGENTS_CARD_ISSUE,
-    Permission.AGENTS_CHAT_VIEW,
-    Permission.AGENTS_CHAT_SEND,
-    Permission.AGENTS_NOTIFICATION_SEND,
-    Permission.AGENTS_EXPORT_RUN,
-    Permission.AGENTS_CATALOG_VIEW,
-    Permission.AGENTS_GROUP_MANAGE,
-    Permission.AGENTS_GROUP_USER_MANAGE,
-    // Append-only: nuevo permiso agregado 2026-06-18 (DEC-A2-02). Va al FINAL para no correr los bits
-    // existentes (PERMS_VERSION cambia, pero los índices previos se conservan).
-    Permission.AGENTS_PERSON_CREATE,
-    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant. Al FINAL para
-    // no correr bits existentes. (El bitset está deprecado por token-flaco, pero el orden se mantiene
-    // sincronizado con el enum para que el test de bits no rompa.)
+    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant.
+    // (El bitset está deprecado por token-flaco, pero el orden se mantiene sincronizado con el
+    // enum para que el test de bits no rompa.)
     Permission.PLATFORM_TENANT_USERFIELDS_MANAGE,
-    // Append-only 2026-06-21: gate de acceso a la app web de Agents (gobernanza). Al FINAL para no
-    // correr bits existentes (PERMS_VERSION cambia, pero los índices previos se conservan).
-    Permission.AGENTS_APP_ACCESS,
     // Append-only 2026-06-19: lateral platform (platform_super_admin asigna roles scope PLATFORM).
     // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.PLATFORM_USER_CREATE_LATERAL,

package/bin/platformRbac/enums/PermissionCategory.d.ts

@@ -6,14 +6,7 @@ export declare enum PermissionCategory {
     RBAC = "rbac",
     PLATFORM = "platform",
     TENANT = "tenant",
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    RETAIL = "retail",
-    LEND = "lend",
-    MDM = "mdm",
     AUDIT = "audit",
-    PAY = "pay",
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    AGENTS = "agents",
     LEVEL1 = "level1",
     LEVEL2 = "level2",
     LEVEL3 = "level3"

package/bin/platformRbac/enums/PermissionCategory.js

@@ -10,16 +10,11 @@ var PermissionCategory;
     PermissionCategory["RBAC"] = "rbac";
     PermissionCategory["PLATFORM"] = "platform";
     PermissionCategory["TENANT"] = "tenant";
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    PermissionCategory["RETAIL"] = "retail";
-    PermissionCategory["LEND"] = "lend";
-    PermissionCategory["MDM"] = "mdm";
     PermissionCategory["AUDIT"] = "audit";
-    PermissionCategory["PAY"] = "pay";
-    /** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-    PermissionCategory["AGENTS"] = "agents";
-    // DEC-RBAC-063 (aditivo): categorías de las primitivas RBAC por nivel genérico.
-    // Coexisten con RETAIL/AGENTS (@deprecated), no los reemplazan en la línea 3.x.
+    // DEC-RBAC-063: categorías de las primitivas RBAC por nivel genérico.
+    // Las categorías de DOMINIO (retail/lend/mdm/pay/agents) fueron purgadas del catálogo
+    // (v4.0.0, BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; el dominio
+    // vive como data (catálogo por aplicación), no hardcodeado acá.
     PermissionCategory["LEVEL1"] = "level1";
     PermissionCategory["LEVEL2"] = "level2";
     PermissionCategory["LEVEL3"] = "level3";

package/bin/platformRbac/tenantTypes.d.ts

@@ -1,14 +1,18 @@
 import { PermissionScope } from './enums/PermissionScope';
 /**
- * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
- * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ * Tipos de tenant de DOMINIO (retail/agents) — PURGADOS (v4.0.0, BREAKING).
  *
- * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
- * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
+ * El modelo de tipos de tenant de dominio se consolidó en niveles genéricos (LEVEL_1..n)
+ * data-driven (DEC-RBAC-062/063). El type-kit contiene SOLO el vocabulario del sistema RBAC;
+ * la jerarquía de niveles de cada aplicación vive como data (catálogo por aplicación,
+ * ver `LevelDef` en `application/Application`), no hardcodeada acá.
+ *
+ * El enum queda SIN miembros de dominio a propósito. La maquinaria genérica
+ * (`TENANT_TYPES`, `levelsOf`, `tableSuffixForLevel`, `scopeRankOrder`) se conserva para no
+ * romper a los consumidores (ej. `ScopeValidationService._rank` vía `scopeRankOrder`), pero
+ * ya no aporta niveles legacy: el orden queda definido por los niveles genéricos.
  */
 export declare enum TenantType {
-    RETAIL = "retail",
-    AGENTS = "agents"
 }
 interface TenantTypeDef {
     displayName: string;
@@ -17,17 +21,18 @@ interface TenantTypeDef {
     /** Sufijo de tabla DDB por nivel (el prefix del tenant se antepone en runtime). */
     tableSuffix: Partial<Record<PermissionScope, string>>;
 }
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
+/**
+ * Registro de tipos de tenant de dominio — VACÍO tras la purga (v4.0.0). Las jerarquías de
+ * niveles se definen como data por aplicación (LEVEL_n), no acá.
+ */
 export declare const TENANT_TYPES: Record<TenantType, TenantTypeDef>;
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function levelsOf(type: TenantType): PermissionScope[];
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 export declare function tableSuffixForLevel(type: TenantType, level: PermissionScope): string | undefined;
 /**
- * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.
- * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas
- * (sugeriría falsamente que RETAILER cubre GROUP). La cobertura se decide con una relación
- * explícita por niveles — ver `canAccess`/`scopeCovers` en @fiado/gateway-adapter (DEC-RBAC-010).
+ * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles genéricos.
+ * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas.
+ * La cobertura se decide con una relación explícita por niveles — ver `canAccess`/`scopeCovers`
+ * en @fiado/gateway-adapter (DEC-RBAC-010).
  */
 export declare function scopeRankOrder(): PermissionScope[];
 export {};

package/bin/platformRbac/tenantTypes.js

@@ -6,47 +6,37 @@ exports.tableSuffixForLevel = tableSuffixForLevel;
 exports.scopeRankOrder = scopeRankOrder;
 const PermissionScope_1 = require("./enums/PermissionScope");
 /**
- * Tipos de tenant soportados por el rbac-business. Cada tipo define su propia
- * jerarquía de niveles DEBAJO de TENANT (data-driven). Hoy solo existe `retail`.
+ * Tipos de tenant de DOMINIO (retail/agents) — PURGADOS (v4.0.0, BREAKING).
  *
- * @deprecated DEC-RBAC-062/063: el modelo de tipos de tenant se consolida en niveles genéricos
- * (LEVEL_1..n) data-driven. Migración de tenants pendiente; no usar en código nuevo.
+ * El modelo de tipos de tenant de dominio se consolidó en niveles genéricos (LEVEL_1..n)
+ * data-driven (DEC-RBAC-062/063). El type-kit contiene SOLO el vocabulario del sistema RBAC;
+ * la jerarquía de niveles de cada aplicación vive como data (catálogo por aplicación,
+ * ver `LevelDef` en `application/Application`), no hardcodeada acá.
+ *
+ * El enum queda SIN miembros de dominio a propósito. La maquinaria genérica
+ * (`TENANT_TYPES`, `levelsOf`, `tableSuffixForLevel`, `scopeRankOrder`) se conserva para no
+ * romper a los consumidores (ej. `ScopeValidationService._rank` vía `scopeRankOrder`), pero
+ * ya no aporta niveles legacy: el orden queda definido por los niveles genéricos.
  */
 var TenantType;
 (function (TenantType) {
-    TenantType["RETAIL"] = "retail";
-    TenantType["AGENTS"] = "agents";
 })(TenantType || (exports.TenantType = TenantType = {}));
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
-exports.TENANT_TYPES = {
-    [TenantType.RETAIL]: {
-        displayName: 'Retail',
-        levels: [PermissionScope_1.PermissionScope.RETAILER, PermissionScope_1.PermissionScope.STORE],
-        tableSuffix: {
-            [PermissionScope_1.PermissionScope.RETAILER]: 'SharedRetailer',
-            [PermissionScope_1.PermissionScope.STORE]: 'SharedStore',
-        },
-    },
-    // Fiado Agents — un único nivel GROUP debajo de TENANT.
-    [TenantType.AGENTS]: {
-        displayName: 'Agents',
-        levels: [PermissionScope_1.PermissionScope.GROUP],
-        tableSuffix: { [PermissionScope_1.PermissionScope.GROUP]: 'SharedGroup' },
-    },
-};
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
+/**
+ * Registro de tipos de tenant de dominio — VACÍO tras la purga (v4.0.0). Las jerarquías de
+ * niveles se definen como data por aplicación (LEVEL_n), no acá.
+ */
+exports.TENANT_TYPES = {};
 function levelsOf(type) {
     return exports.TENANT_TYPES[type].levels;
 }
-/** @deprecated DEC-RBAC-062/063: se consolida en niveles genéricos (LEVEL_n) data-driven. Migración de tenants pendiente; no usar en código nuevo. */
 function tableSuffixForLevel(type, level) {
     return exports.TENANT_TYPES[type].tableSuffix[level];
 }
 /**
- * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles de cada tipo.
- * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas
- * (sugeriría falsamente que RETAILER cubre GROUP). La cobertura se decide con una relación
- * explícita por niveles — ver `canAccess`/`scopeCovers` en @fiado/gateway-adapter (DEC-RBAC-010).
+ * Orden global de scopes para ORDENAR (ej. UI): PLATFORM, TENANT + niveles genéricos.
+ * ⚠️ NO usar para COBERTURA de autorización: es un orden total que cruzaría ramas.
+ * La cobertura se decide con una relación explícita por niveles — ver `canAccess`/`scopeCovers`
+ * en @fiado/gateway-adapter (DEC-RBAC-010).
  */
 function scopeRankOrder() {
     const order = [PermissionScope_1.PermissionScope.PLATFORM, PermissionScope_1.PermissionScope.TENANT];
@@ -55,7 +45,7 @@ function scopeRankOrder() {
             if (!order.includes(lvl))
                 order.push(lvl);
     }
-    // DEC-RBAC-032: niveles genéricos al final del orden total (UI/ranking). Append-only, después de los legacy.
+    // DEC-RBAC-032: niveles genéricos al final del orden total (UI/ranking). Append-only.
     for (const lvl of [PermissionScope_1.PermissionScope.LEVEL_1, PermissionScope_1.PermissionScope.LEVEL_2, PermissionScope_1.PermissionScope.LEVEL_3]) {
         if (!order.includes(lvl))
             order.push(lvl);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.141.0",
+  "version": "3.143.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/application/Application.ts

@@ -12,7 +12,8 @@ export interface LevelDef {
 export interface ApplicationSecurityPolicyDefault {
     // DEC-RBAC-045: 2FA master switch por tenant. Ausente ⇒ habilitado (secure-by-default).
     mfaEnabled?: boolean;
-    methodsAllowed?: Array<'TOTP' | 'EMAIL'>;
+    // DEC-RBAC-085: 'SMS' se suma como 3er método de MFA tenant-controlado.
+    methodsAllowed?: Array<'TOTP' | 'EMAIL' | 'SMS'>;
     // DEC-RBAC-051: purgados mfaRequired / defaultPreferred / sessionTimeoutMin (write-only sin enforcement).
     // DEC-RBAC-052: passwordPolicy deja de ser per-tenant → política global por env vars (Cognito enforce).
 }

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -11,7 +11,6 @@ import {
     ValidateNested,
 } from 'class-validator';
 import { TokenValidationMode } from '../enums/TokenValidationMode';
-import { TenantType } from '../tenantTypes';
 
 /**
  * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
@@ -23,8 +22,9 @@ import { TenantType } from '../tenantTypes';
  * (@ArrayNotEmpty); en el create es opcional.
  */
 export class CreateTenantSecurityPolicy {
-    @Expose() @IsOptional() @IsArray() @IsIn(['EMAIL', 'TOTP'], { each: true })
-    methodsAllowed?: ('EMAIL' | 'TOTP')[];
+    // DEC-RBAC-085: 'SMS' se suma como 3er método de MFA tenant-controlado.
+    @Expose() @IsOptional() @IsArray() @IsIn(['EMAIL', 'TOTP', 'SMS'], { each: true })
+    methodsAllowed?: ('EMAIL' | 'TOTP' | 'SMS')[];
 
     @Expose() @IsOptional() @IsBoolean()
     mfaEnabled?: boolean;
@@ -55,10 +55,12 @@ export class CreateTenantRequest {
     // enforce Cognito (política nativa del pool), ya no es per-tenant en el create.
     @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
     /**
-     * Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail).
-     * @deprecated DEC-RBAC-062/063: el alta se hace por `applicationId`; `tenantType` se elimina al consolidar niveles. Migración pendiente; no usar en código nuevo.
+     * Tipo de tenant a crear (legacy). El alta se hace por `applicationId`.
+     * @deprecated DEC-RBAC-062/063: los tenant-types de dominio fueron purgados (v4.0.0, BREAKING).
+     * El alta se hace por `applicationId`; `tenantType` queda como string libre solo por back-compat
+     * del shape del body. No usar en código nuevo.
      */
-    @Expose() @IsOptional() @IsEnum(TenantType) tenantType?: TenantType;
+    @Expose() @IsOptional() @IsString() tenantType?: string;
     /** DEC-RBAC-034: aplicación (plantilla) de la que se crea el tenant; opcional, fallback a tenantType (back-compat). */
     @Expose() @IsOptional() @IsString() applicationId?: string;
     /**