@fiado/type-kit 3.148.0 → 3.150.0

package/_test_/unit/platformRbac/auth/PrepareChallengeRequest.test.ts

@@ -0,0 +1,64 @@
+import 'reflect-metadata';
+import { plainToInstance } from 'class-transformer';
+import { validate } from 'class-validator';
+import { PrepareChallengeRequest } from '../../../../src/platformRbac/auth/PrepareChallengeRequest';
+import { ChallengeNameEnum } from '../../../../src/platformRbac/enums/ChallengeNameEnum';
+
+/**
+ * DEC-RBAC-093: `email` es opcional y robusto a string vacío. Un usuario phone-primario
+ * (sin email) hace login MFA (SMS_OTP / TOTP) sin email — el trigger CreateAuthChallenge
+ * ya no manda `''`. `@ValidateIf` saltea undefined/null/'' (`@IsOptional` NO saltea `''`).
+ * La rama EMAIL_OTP del preparer sigue necesitando email en runtime — eso NO lo valida el DTO.
+ */
+describe('PrepareChallengeRequest', () => {
+    const base = {
+        cognitoSub: 'f4586478-20c1-700c-c40a-2396db1affe3',
+        challengeName: ChallengeNameEnum.SMS_OTP,
+        phone: '+524422194128',
+    };
+
+    it('valida SMS_OTP sin email (undefined)', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida SMS_OTP con email = "" (string vacío del trigger legacy)', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: '' });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida SMS_OTP con email = null', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: null });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida cuando email SÍ viene y es un email válido', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, {
+            ...base,
+            challengeName: ChallengeNameEnum.EMAIL_OTP,
+            email: 'user@dominio.com',
+        });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('falla cuando email viene pero NO es un email válido', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: 'no-es-email' });
+        const errors = await validate(dto);
+        expect(errors.length).toBeGreaterThan(0);
+        expect(errors[0].property).toBe('email');
+    });
+
+    it('falla si challengeName no es un valor del enum', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, {
+            ...base,
+            challengeName: 'BOGUS' as ChallengeNameEnum,
+        });
+        const errors = await validate(dto);
+        expect(errors.length).toBeGreaterThan(0);
+        expect(errors[0].property).toBe('challengeName');
+    });
+});

package/bin/cognitoBackofficeConnector/dtos/MfaPoolConfig.d.ts

@@ -0,0 +1,7 @@
+declare const ALLOWED_MFA_TYPES: readonly ["SOFTWARE_TOKEN_MFA"];
+export type AllowedMfaType = (typeof ALLOWED_MFA_TYPES)[number];
+export declare class MfaPoolConfig {
+    requireMfa: boolean;
+    mfaTypes: AllowedMfaType[];
+}
+export {};

package/bin/{platformRbac/dtos/ResendSelfRegisterOtpRequest.js → cognitoBackofficeConnector/dtos/MfaPoolConfig.js}

@@ -9,28 +9,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.ResendSelfRegisterOtpRequest = void 0;
+exports.MfaPoolConfig = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
-/**
- * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
- * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
- * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
- * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
- * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
- */
-class ResendSelfRegisterOtpRequest {
+const MfaTypesRequiresOne_1 = require("../validators/MfaTypesRequiresOne");
+// EMAIL_OTP removido (3.41.0): el cognito-backoffice-connector no provisiona
+// EmailMfaConfiguration a nivel pool (requiere infra SES que no está montada
+// y la integración con messages-lambda aún no tiene diseño). Ver TD-020 +
+// DEC-001 en cognito-backoffice-connector/docs/. Si se reintroduce, agregar
+// 'EMAIL_OTP' a este array.
+const ALLOWED_MFA_TYPES = ['SOFTWARE_TOKEN_MFA'];
+class MfaPoolConfig {
 }
-exports.ResendSelfRegisterOtpRequest = ResendSelfRegisterOtpRequest;
+exports.MfaPoolConfig = MfaPoolConfig;
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsString)(),
-    (0, class_validator_1.IsNotEmpty)(),
-    __metadata("design:type", String)
-], ResendSelfRegisterOtpRequest.prototype, "tenantId", void 0);
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], MfaPoolConfig.prototype, "requireMfa", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsEmail)(),
-    (0, class_validator_1.IsNotEmpty)(),
-    __metadata("design:type", String)
-], ResendSelfRegisterOtpRequest.prototype, "email", void 0);
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.IsIn)(ALLOWED_MFA_TYPES, { each: true }),
+    (0, class_validator_1.Validate)(MfaTypesRequiresOne_1.MfaTypesRequiresOne),
+    __metadata("design:type", Array)
+], MfaPoolConfig.prototype, "mfaTypes", void 0);

package/bin/cognitoBackofficeConnector/dtos/PoolConfigResponse.d.ts

@@ -0,0 +1,20 @@
+import { PoolKind } from '../../rbac/enums/PoolKind';
+/**
+ * Shape del `PoolConfigRow` expuesto al caller (BFF M18 / otros lambdas Fiado).
+ * Refleja la configuración de un Cognito User Pool registrado en la tabla
+ * `PoolConfigs_GT` del lambda `cognito-backoffice-connector`.
+ */
+export declare class PoolConfigResponse {
+    userPoolId: string;
+    userPoolArn: string;
+    region: string;
+    poolKind: PoolKind;
+    displayName: string;
+    appClients: Record<string, {
+        clientId: string;
+        clientName: string;
+    }>;
+    status: 'active' | 'deprecated';
+    createdAt: number;
+    updatedAt: number;
+}

package/bin/cognitoBackofficeConnector/dtos/PoolConfigResponse.js

@@ -0,0 +1,11 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolConfigResponse = void 0;
+/**
+ * Shape del `PoolConfigRow` expuesto al caller (BFF M18 / otros lambdas Fiado).
+ * Refleja la configuración de un Cognito User Pool registrado en la tabla
+ * `PoolConfigs_GT` del lambda `cognito-backoffice-connector`.
+ */
+class PoolConfigResponse {
+}
+exports.PoolConfigResponse = PoolConfigResponse;

package/bin/cognitoBackofficeConnector/dtos/PoolsListResponse.d.ts

@@ -0,0 +1,4 @@
+import { PoolConfigResponse } from './PoolConfigResponse';
+export declare class PoolsListResponse {
+    pools: PoolConfigResponse[];
+}

package/bin/cognitoBackofficeConnector/dtos/PoolsListResponse.js

@@ -0,0 +1,6 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolsListResponse = void 0;
+class PoolsListResponse {
+}
+exports.PoolsListResponse = PoolsListResponse;

package/bin/cognitoBackofficeConnector/validators/MfaTypesRequiresOne.d.ts

@@ -0,0 +1,17 @@
+import { ValidatorConstraintInterface, ValidationArguments } from 'class-validator';
+/**
+ * Cross-field validator: si `requireMfa: true`, entonces `mfaTypes` debe tener
+ * al menos 1 elemento. Si `requireMfa: false`, `mfaTypes` puede ser vacío.
+ *
+ * Razón: cuando el pool nace con MFA habilitado, el connector llama
+ * `SetUserPoolMfaConfigCommand` con la lista de tipos del DTO. Si el array
+ * llega vacío con `requireMfa: true`, el SDK rechaza con InvalidParameterException
+ * y el pool queda en estado inconsistente (MfaConfiguration:'ON' sin tipos).
+ * Mejor rechazar en validación del DTO antes de tocar AWS.
+ *
+ * Ver pivote v1.4.1 TD-017 cerrado + spec doc §1 R3.
+ */
+export declare class MfaTypesRequiresOne implements ValidatorConstraintInterface {
+    validate(mfaTypes: unknown, args: ValidationArguments): boolean;
+    defaultMessage(): string;
+}

package/bin/cognitoBackofficeConnector/validators/MfaTypesRequiresOne.js

@@ -0,0 +1,39 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.MfaTypesRequiresOne = void 0;
+const class_validator_1 = require("class-validator");
+/**
+ * Cross-field validator: si `requireMfa: true`, entonces `mfaTypes` debe tener
+ * al menos 1 elemento. Si `requireMfa: false`, `mfaTypes` puede ser vacío.
+ *
+ * Razón: cuando el pool nace con MFA habilitado, el connector llama
+ * `SetUserPoolMfaConfigCommand` con la lista de tipos del DTO. Si el array
+ * llega vacío con `requireMfa: true`, el SDK rechaza con InvalidParameterException
+ * y el pool queda en estado inconsistente (MfaConfiguration:'ON' sin tipos).
+ * Mejor rechazar en validación del DTO antes de tocar AWS.
+ *
+ * Ver pivote v1.4.1 TD-017 cerrado + spec doc §1 R3.
+ */
+let MfaTypesRequiresOne = class MfaTypesRequiresOne {
+    validate(mfaTypes, args) {
+        const obj = args.object;
+        if (obj.requireMfa === true) {
+            return Array.isArray(mfaTypes) && mfaTypes.length >= 1;
+        }
+        // requireMfa: false → cualquier mfaTypes pasa.
+        return true;
+    }
+    defaultMessage() {
+        return 'mfaTypes requiere al menos un tipo cuando requireMfa=true';
+    }
+};
+exports.MfaTypesRequiresOne = MfaTypesRequiresOne;
+exports.MfaTypesRequiresOne = MfaTypesRequiresOne = __decorate([
+    (0, class_validator_1.ValidatorConstraint)({ name: 'MfaTypesRequiresOneWhenMfaRequired', async: false })
+], MfaTypesRequiresOne);

package/bin/platformRbac/auth/PrepareChallengeRequest.d.ts

@@ -2,6 +2,6 @@ import { ChallengeNameEnum } from '../enums/ChallengeNameEnum';
 export declare class PrepareChallengeRequest {
     cognitoSub: string;
     challengeName: ChallengeNameEnum;
-    email: string;
+    email?: string;
     phone?: string;
 }

package/bin/platformRbac/auth/PrepareChallengeRequest.js

@@ -24,6 +24,7 @@ __decorate([
     __metadata("design:type", String)
 ], PrepareChallengeRequest.prototype, "challengeName", void 0);
 __decorate([
+    (0, class_validator_1.ValidateIf)((o) => o.email !== undefined && o.email !== null && o.email !== ''),
     (0, class_validator_1.IsEmail)(),
     __metadata("design:type", String)
 ], PrepareChallengeRequest.prototype, "email", void 0);

package/bin/rbac/enums/PoolKind.d.ts

@@ -0,0 +1,16 @@
+/**
+ * Tipo de User Pool de Cognito desde la perspectiva del modelo RBAC Fiado.
+ *
+ * Origen: spec del proyecto `cognito-backoffice-connector` (Fase 0, componente 01
+ * documento `docs/superpowers/specs/2026-05-26-cognito-connector-decisiones-pendientes-design.md`).
+ *
+ * Decisión (TD-003): el proyecto converge en estos 2 valores. El documento componente 03
+ * lista 3 valores (incluyendo una variante adicional) pero queda como outlier — la
+ * decisión vigente en los 6 docs restantes y en el plan de implementación es 2 valores:
+ *  - BACKOFFICE_PLATFORM — pool del backoffice de plataforma (cross-tenant)
+ *  - BACKOFFICE_TENANT — pool por tenant (multi-tenant isolation)
+ */
+export declare enum PoolKind {
+    BACKOFFICE_PLATFORM = "BACKOFFICE_PLATFORM",
+    BACKOFFICE_TENANT = "BACKOFFICE_TENANT"
+}

package/bin/rbac/enums/PoolKind.js

@@ -0,0 +1,20 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PoolKind = void 0;
+/**
+ * Tipo de User Pool de Cognito desde la perspectiva del modelo RBAC Fiado.
+ *
+ * Origen: spec del proyecto `cognito-backoffice-connector` (Fase 0, componente 01
+ * documento `docs/superpowers/specs/2026-05-26-cognito-connector-decisiones-pendientes-design.md`).
+ *
+ * Decisión (TD-003): el proyecto converge en estos 2 valores. El documento componente 03
+ * lista 3 valores (incluyendo una variante adicional) pero queda como outlier — la
+ * decisión vigente en los 6 docs restantes y en el plan de implementación es 2 valores:
+ *  - BACKOFFICE_PLATFORM — pool del backoffice de plataforma (cross-tenant)
+ *  - BACKOFFICE_TENANT — pool por tenant (multi-tenant isolation)
+ */
+var PoolKind;
+(function (PoolKind) {
+    PoolKind["BACKOFFICE_PLATFORM"] = "BACKOFFICE_PLATFORM";
+    PoolKind["BACKOFFICE_TENANT"] = "BACKOFFICE_TENANT";
+})(PoolKind || (exports.PoolKind = PoolKind = {}));

package/bin/rbac/index.d.ts

@@ -0,0 +1 @@
+export * from './enums/PoolKind';

package/bin/rbac/index.js

@@ -0,0 +1,17 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __exportStar = (this && this.__exportStar) || function(m, exports) {
+    for (var p in m) if (p !== "default" && !Object.prototype.hasOwnProperty.call(exports, p)) __createBinding(exports, m, p);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+__exportStar(require("./enums/PoolKind"), exports);

package/bin/remittance/dtos/RemittanceCommittee.d.ts

@@ -0,0 +1,61 @@
+/**
+ * DTOs de Comités (Dashboard Ops · Configuración §1).
+ *
+ * Un comité es un grupo de OPERADORES de backoffice (DirectoryBackoffice_GT) que
+ * recibe notificación de cambios/alarmas sensibles. CRUD libre (no comités fijos).
+ * Los miembros se persisten POR REFERENCIA (ids) y se resuelven en runtime contra
+ * el catálogo de operadores ACTIVE (vía IDirectoriesApi.getBackofficeDirectoryList);
+ * los inactivos se omiten del display y se depuran en el próximo Save.
+ *
+ * Canal MVP = solo email (config inerte hasta que exista el disparador — Reglas B3).
+ */
+/** Operador de backoffice resuelto (catálogo del picker y miembros del comité). */
+export declare class BackofficeOperator {
+    /** DirectoryBackoffice_GT.id */
+    id: string;
+    fullName: string;
+    email: string;
+    /** Rol mostrado en la UI (puesto del operador). */
+    jobTitle: string;
+}
+/** Referencia a una regla que notifica al comité (Reglas · B3). Vacío en MVP. */
+export declare class CommitteeRuleRef {
+    id: string;
+    name: string;
+    category: string;
+}
+/** Body de POST /backoffice/config/committees. */
+export declare class CreateCommitteeRequest {
+    name: string;
+    /** Ids de DirectoryBackoffice_GT (referencia; puede ser []). */
+    members: string[];
+    /** Canal email on/off (único canal del MVP; inerte hasta B3). */
+    emailNotifications: boolean;
+}
+/** Body de PUT /backoffice/config/committees/{id} (reemplazo completo). */
+export declare class UpdateCommitteeRequest {
+    name: string;
+    members: string[];
+    emailNotifications: boolean;
+}
+/** Comité completo (response) — members ya RESUELTOS a operadores. */
+export declare class Committee {
+    id: string;
+    name: string;
+    members: BackofficeOperator[];
+    emailNotifications: boolean;
+    /** Reglas que notifican a este comité (B3) — siempre [] en MVP. */
+    rulesNotifying: CommitteeRuleRef[];
+    createdAt: string;
+    updatedAt: string;
+    createdBy: string;
+    updatedBy: string;
+}
+/** Response de GET /backoffice/config/committees. */
+export declare class CommitteeListResponse {
+    items: Committee[];
+}
+/** Response de GET /backoffice/config/committees/operators (solo ACTIVE). */
+export declare class CommitteeOperatorsResponse {
+    items: BackofficeOperator[];
+}

package/bin/remittance/dtos/RemittanceCommittee.js

@@ -0,0 +1,83 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CommitteeOperatorsResponse = exports.CommitteeListResponse = exports.Committee = exports.UpdateCommitteeRequest = exports.CreateCommitteeRequest = exports.CommitteeRuleRef = exports.BackofficeOperator = void 0;
+const class_validator_1 = require("class-validator");
+const class_validator_2 = require("class-validator");
+/**
+ * DTOs de Comités (Dashboard Ops · Configuración §1).
+ *
+ * Un comité es un grupo de OPERADORES de backoffice (DirectoryBackoffice_GT) que
+ * recibe notificación de cambios/alarmas sensibles. CRUD libre (no comités fijos).
+ * Los miembros se persisten POR REFERENCIA (ids) y se resuelven en runtime contra
+ * el catálogo de operadores ACTIVE (vía IDirectoriesApi.getBackofficeDirectoryList);
+ * los inactivos se omiten del display y se depuran en el próximo Save.
+ *
+ * Canal MVP = solo email (config inerte hasta que exista el disparador — Reglas B3).
+ */
+/** Operador de backoffice resuelto (catálogo del picker y miembros del comité). */
+class BackofficeOperator {
+}
+exports.BackofficeOperator = BackofficeOperator;
+/** Referencia a una regla que notifica al comité (Reglas · B3). Vacío en MVP. */
+class CommitteeRuleRef {
+}
+exports.CommitteeRuleRef = CommitteeRuleRef;
+/** Body de POST /backoffice/config/committees. */
+class CreateCommitteeRequest {
+}
+exports.CreateCommitteeRequest = CreateCommitteeRequest;
+__decorate([
+    (0, class_validator_2.IsString)(),
+    (0, class_validator_1.Length)(3, 100),
+    __metadata("design:type", String)
+], CreateCommitteeRequest.prototype, "name", void 0);
+__decorate([
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.IsUUID)("4", { each: true }),
+    (0, class_validator_1.ArrayMaxSize)(100),
+    __metadata("design:type", Array)
+], CreateCommitteeRequest.prototype, "members", void 0);
+__decorate([
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], CreateCommitteeRequest.prototype, "emailNotifications", void 0);
+/** Body de PUT /backoffice/config/committees/{id} (reemplazo completo). */
+class UpdateCommitteeRequest {
+}
+exports.UpdateCommitteeRequest = UpdateCommitteeRequest;
+__decorate([
+    (0, class_validator_2.IsString)(),
+    (0, class_validator_1.Length)(3, 100),
+    __metadata("design:type", String)
+], UpdateCommitteeRequest.prototype, "name", void 0);
+__decorate([
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.IsUUID)("4", { each: true }),
+    (0, class_validator_1.ArrayMaxSize)(100),
+    __metadata("design:type", Array)
+], UpdateCommitteeRequest.prototype, "members", void 0);
+__decorate([
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], UpdateCommitteeRequest.prototype, "emailNotifications", void 0);
+/** Comité completo (response) — members ya RESUELTOS a operadores. */
+class Committee {
+}
+exports.Committee = Committee;
+/** Response de GET /backoffice/config/committees. */
+class CommitteeListResponse {
+}
+exports.CommitteeListResponse = CommitteeListResponse;
+/** Response de GET /backoffice/config/committees/operators (solo ACTIVE). */
+class CommitteeOperatorsResponse {
+}
+exports.CommitteeOperatorsResponse = CommitteeOperatorsResponse;

package/bin/remittance/dtos/index.d.ts

@@ -39,3 +39,4 @@ export * from "./RemittanceKyc";
 export * from "./RemittanceCohort";
 export * from "./RemittanceAuditLog";
 export * from "./RemittanceSegment";
+export * from "./RemittanceCommittee";

package/bin/remittance/dtos/index.js

@@ -55,3 +55,4 @@ __exportStar(require("./RemittanceKyc"), exports);
 __exportStar(require("./RemittanceCohort"), exports);
 __exportStar(require("./RemittanceAuditLog"), exports);
 __exportStar(require("./RemittanceSegment"), exports);
+__exportStar(require("./RemittanceCommittee"), exports);

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.d.ts

@@ -0,0 +1,5 @@
+export declare class CancelFundingReferenceRequest {
+    fundingId: string;
+    directoryId: string;
+    idempotencyKey: string;
+}

package/bin/walletFunding/dtos/CancelFundingReferenceRequest.js

@@ -0,0 +1,31 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelFundingReferenceRequest = void 0;
+const class_validator_1 = require("class-validator");
+class CancelFundingReferenceRequest {
+}
+exports.CancelFundingReferenceRequest = CancelFundingReferenceRequest;
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(64),
+    __metadata("design:type", String)
+], CancelFundingReferenceRequest.prototype, "fundingId", void 0);
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(64),
+    __metadata("design:type", String)
+], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(64),
+    __metadata("design:type", String)
+], CancelFundingReferenceRequest.prototype, "idempotencyKey", void 0);

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.d.ts

@@ -0,0 +1,7 @@
+import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
+import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
+export declare class CancelFundingReferenceResponse {
+    fundingId: string;
+    status: BenefitPaymentStatusEnum;
+    errorCode?: WalletFundingErrorCodeEnum;
+}

package/bin/walletFunding/dtos/CancelFundingReferenceResponse.js

@@ -0,0 +1,6 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelFundingReferenceResponse = void 0;
+class CancelFundingReferenceResponse {
+}
+exports.CancelFundingReferenceResponse = CancelFundingReferenceResponse;

package/bin/walletFunding/dtos/CancelFundingRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Request del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `fundingId` viaja en el path, `directoryId` se resuelve del JWT.
+ * `providerModuleName` permite al marketplace rutear al publisher correcto
+ * sin tener que persistir el mapping (el wallet-app sabe el moduleName
+ * porque vino en la respuesta del authorize).
+ */
+export declare class CancelFundingRequest {
+    idempotencyKey: string;
+    providerModuleName: string;
+}

package/bin/{platformRbac/dtos/ResendOtpRequest.js → walletFunding/dtos/CancelFundingRequest.js}

@@ -9,28 +9,25 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.ResendOtpRequest = void 0;
-const class_transformer_1 = require("class-transformer");
+exports.CancelFundingRequest = void 0;
 const class_validator_1 = require("class-validator");
 /**
- * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
- * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
- * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
- * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
- * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ * Request del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `fundingId` viaja en el path, `directoryId` se resuelve del JWT.
+ * `providerModuleName` permite al marketplace rutear al publisher correcto
+ * sin tener que persistir el mapping (el wallet-app sabe el moduleName
+ * porque vino en la respuesta del authorize).
  */
-class ResendOtpRequest {
+class CancelFundingRequest {
 }
-exports.ResendOtpRequest = ResendOtpRequest;
+exports.CancelFundingRequest = CancelFundingRequest;
 __decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsEmail)(),
-    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], ResendOtpRequest.prototype, "email", void 0);
+], CancelFundingRequest.prototype, "idempotencyKey", void 0);
 __decorate([
-    (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(128),
     __metadata("design:type", String)
-], ResendOtpRequest.prototype, "tenantId", void 0);
+], CancelFundingRequest.prototype, "providerModuleName", void 0);

package/bin/walletFunding/dtos/CancelFundingResponse.d.ts

@@ -0,0 +1,14 @@
+import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
+import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
+/**
+ * Response del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
+ * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
+ * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
+ */
+export declare class CancelFundingResponse {
+    fundingId: string;
+    status: BenefitPaymentStatusEnum;
+    errorCode?: WalletFundingErrorCodeEnum;
+    message?: string;
+}

package/bin/walletFunding/dtos/CancelFundingResponse.js

@@ -0,0 +1,12 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelFundingResponse = void 0;
+/**
+ * Response del cancel via Centro de Beneficios (spec 13 v2.0).
+ * `status` reusa `BenefitPaymentStatusEnum` (APPROVED = cancel aceptado;
+ * REJECTED = no se pudo) para consistencia con `CancelFundingReferenceResponse`
+ * (marketplace ↔ connector). Idempotente: re-cancelar devuelve APPROVED.
+ */
+class CancelFundingResponse {
+}
+exports.CancelFundingResponse = CancelFundingResponse;

package/bin/walletFunding/dtos/CancelWalletFundingRequest.d.ts

@@ -0,0 +1,3 @@
+export declare class CancelWalletFundingRequest {
+    idempotencyKey: string;
+}

package/bin/walletFunding/dtos/CancelWalletFundingRequest.js

@@ -0,0 +1,21 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelWalletFundingRequest = void 0;
+const class_validator_1 = require("class-validator");
+class CancelWalletFundingRequest {
+}
+exports.CancelWalletFundingRequest = CancelWalletFundingRequest;
+__decorate([
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.MaxLength)(64),
+    __metadata("design:type", String)
+], CancelWalletFundingRequest.prototype, "idempotencyKey", void 0);

package/bin/walletFunding/dtos/CancelWalletFundingResponse.d.ts

@@ -0,0 +1,7 @@
+import { BenefitPaymentStatusEnum } from "../../benefitCenter/enums/BenefitPaymentStatusEnum";
+import { WalletFundingErrorCodeEnum } from "../enums/WalletFundingErrorCodeEnum";
+export declare class CancelWalletFundingResponse {
+    status: BenefitPaymentStatusEnum;
+    errorCode?: WalletFundingErrorCodeEnum;
+    fundingId?: string;
+}

package/bin/walletFunding/dtos/CancelWalletFundingResponse.js

@@ -0,0 +1,6 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CancelWalletFundingResponse = void 0;
+class CancelWalletFundingResponse {
+}
+exports.CancelWalletFundingResponse = CancelWalletFundingResponse;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.148.0",
+  "version": "3.150.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/auth/PrepareChallengeRequest.ts

@@ -1,4 +1,4 @@
-import { IsEmail, IsEnum, IsOptional, IsString } from 'class-validator';
+import { IsEmail, IsEnum, IsOptional, IsString, ValidateIf } from 'class-validator';
 import { ChallengeNameEnum } from '../enums/ChallengeNameEnum';
 
 export class PrepareChallengeRequest {
@@ -8,8 +8,14 @@ export class PrepareChallengeRequest {
     @IsEnum(ChallengeNameEnum)
     challengeName!: ChallengeNameEnum;
 
+    // DEC-RBAC-093: email OPCIONAL y robusto a string vacío. Un usuario phone-primario (sin email)
+    // hace login MFA (SMS_OTP/TOTP) sin email; el trigger CreateAuthChallenge ya no manda ''. Se usa
+    // @ValidateIf (no @IsOptional) porque @IsOptional NO saltea '' — acá necesitamos que undefined,
+    // null y '' NO rompan la validación. Cuando email SÍ trae valor no vacío, debe ser un email válido.
+    // La rama EMAIL_OTP del preparer sigue exigiendo email en runtime (no se fuerza en el DTO). Ver DECISIONES.md.
+    @ValidateIf((o) => o.email !== undefined && o.email !== null && o.email !== '')
     @IsEmail()
-    email!: string;
+    email?: string;
 
     // DEC-RBAC-083: teléfono destino del challenge SMS_OTP. Lo popula el trigger CreateAuthChallenge
     // (JWTAuth-cognito) desde el atributo phone_number de Cognito, igual que email. Opcional: ausente

package/src/remittance/dtos/RemittanceCommittee.ts

@@ -0,0 +1,87 @@
+import { ArrayMaxSize, IsArray, IsBoolean, IsUUID, Length } from "class-validator";
+import { IsString } from "class-validator";
+
+/**
+ * DTOs de Comités (Dashboard Ops · Configuración §1).
+ *
+ * Un comité es un grupo de OPERADORES de backoffice (DirectoryBackoffice_GT) que
+ * recibe notificación de cambios/alarmas sensibles. CRUD libre (no comités fijos).
+ * Los miembros se persisten POR REFERENCIA (ids) y se resuelven en runtime contra
+ * el catálogo de operadores ACTIVE (vía IDirectoriesApi.getBackofficeDirectoryList);
+ * los inactivos se omiten del display y se depuran en el próximo Save.
+ *
+ * Canal MVP = solo email (config inerte hasta que exista el disparador — Reglas B3).
+ */
+
+/** Operador de backoffice resuelto (catálogo del picker y miembros del comité). */
+export class BackofficeOperator {
+    /** DirectoryBackoffice_GT.id */
+    id!: string;
+    fullName!: string;
+    email!: string;
+    /** Rol mostrado en la UI (puesto del operador). */
+    jobTitle!: string;
+}
+
+/** Referencia a una regla que notifica al comité (Reglas · B3). Vacío en MVP. */
+export class CommitteeRuleRef {
+    id!: string;
+    name!: string;
+    category!: string;
+}
+
+/** Body de POST /backoffice/config/committees. */
+export class CreateCommitteeRequest {
+    @IsString()
+    @Length(3, 100)
+    name!: string;
+
+    /** Ids de DirectoryBackoffice_GT (referencia; puede ser []). */
+    @IsArray()
+    @IsUUID("4", { each: true })
+    @ArrayMaxSize(100)
+    members!: string[];
+
+    /** Canal email on/off (único canal del MVP; inerte hasta B3). */
+    @IsBoolean()
+    emailNotifications!: boolean;
+}
+
+/** Body de PUT /backoffice/config/committees/{id} (reemplazo completo). */
+export class UpdateCommitteeRequest {
+    @IsString()
+    @Length(3, 100)
+    name!: string;
+
+    @IsArray()
+    @IsUUID("4", { each: true })
+    @ArrayMaxSize(100)
+    members!: string[];
+
+    @IsBoolean()
+    emailNotifications!: boolean;
+}
+
+/** Comité completo (response) — members ya RESUELTOS a operadores. */
+export class Committee {
+    id!: string;
+    name!: string;
+    members!: BackofficeOperator[];
+    emailNotifications!: boolean;
+    /** Reglas que notifican a este comité (B3) — siempre [] en MVP. */
+    rulesNotifying!: CommitteeRuleRef[];
+    createdAt!: string;
+    updatedAt!: string;
+    createdBy!: string;
+    updatedBy!: string;
+}
+
+/** Response de GET /backoffice/config/committees. */
+export class CommitteeListResponse {
+    items!: Committee[];
+}
+
+/** Response de GET /backoffice/config/committees/operators (solo ACTIVE). */
+export class CommitteeOperatorsResponse {
+    items!: BackofficeOperator[];
+}

package/src/remittance/dtos/index.ts

@@ -39,3 +39,4 @@ export * from "./RemittanceKyc";
 export * from "./RemittanceCohort";
 export * from "./RemittanceAuditLog";
 export * from "./RemittanceSegment";
+export * from "./RemittanceCommittee";

package/bin/platformRbac/dtos/ResendOtpRequest.d.ts

@@ -1,22 +0,0 @@
-import { MfaMethodEnum } from '../enums/MfaMethodEnum';
-/**
- * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
- * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
- * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
- * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
- * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
- */
-export declare class ResendOtpRequest {
-    email: string;
-    tenantId: string;
-}
-/**
- * Respuesta del resend-otp. `session`/`mfaMethod` frescos del nuevo challenge CUSTOM_AUTH.
- * Plain sin validators (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
- * Ambos opcionales: en los caminos de rechazo silencioso (anti-enumeración) o ramas sin CUSTOM_AUTH
- * el server responde 200 genérico sin session ni método.
- */
-export interface ResendOtpResponse {
-    session?: string;
-    mfaMethod?: MfaMethodEnum;
-}

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.d.ts

@@ -1,11 +0,0 @@
-/**
- * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
- * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
- * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
- * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
- * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
- */
-export declare class ResendSelfRegisterOtpRequest {
-    tenantId: string;
-    email: string;
-}