@fiado/type-kit 3.174.0 → 3.176.0

package/src/platformRbac/enums/Permission.ts

@@ -1,299 +1,299 @@
-/**
- * Catálogo universal de permisos del sistema RBAC Fiado.
- *
- * Origen: componente 01 de Fase 0 SureKeep (spec maestro):
- *   surekeep/docs/5_fases/00_fase0_cognito_rbac_users_mfa/componentes/01_typekit-rbac-additions.md
- *
- * Copy-paste literal de los valores del spec (DEC-003).
- * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- *
- * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
- * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
- * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
- * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
- * QUÉ permisos usa, no CUÁLES existen.
- *
- * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
- *   1. Agregar el valor a ESTE enum.
- *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
- *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
- *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
- *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
- *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
- *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
- *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
- *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
- *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
- *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
- *
- * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
- */
-export enum Permission {
-    // ====================================================
-    // RBAC — gestión genérica del propio sistema RBAC
-    // ====================================================
-    RBAC_CATALOG_MANAGE = 'rbac.catalog.manage',
-
-    // ====================================================
-    // PLATFORM — operaciones a nivel meta-plataforma (Fiado equipo)
-    // ====================================================
-    PLATFORM_TENANT_CREATE = 'platform.tenant.create',
-    PLATFORM_TENANT_LIST = 'platform.tenant.list',
-    PLATFORM_TENANT_VIEW = 'platform.tenant.view',
-    PLATFORM_TENANT_UPDATE = 'platform.tenant.update',
-    PLATFORM_TENANT_SUSPEND = 'platform.tenant.suspend',
-    PLATFORM_TENANT_ACTIVATE = 'platform.tenant.activate',
-    PLATFORM_TENANT_ADMIN_REPLACE = 'platform.tenant.admin.replace',
-    PLATFORM_COGNITO_POOL_MANAGE = 'platform.cognito.pool.manage',
-    PLATFORM_COGNITO_POOL_LIST = 'platform.cognito.pool.list',
-    PLATFORM_USER_CREATE = 'platform.user.create',
-    PLATFORM_USER_LIST = 'platform.user.list',
-    PLATFORM_USER_VIEW = 'platform.user.view',
-    PLATFORM_USER_UPDATE = 'platform.user.update',
-    PLATFORM_USER_DISABLE = 'platform.user.disable',
-    PLATFORM_USER_ENABLE = 'platform.user.enable',
-    PLATFORM_USER_DELETE = 'platform.user.delete',
-    // Crear/asignar usuarios platform de TU MISMO nivel (platform_admin → platform_admin).
-    // Espejo de tenant.user.create.lateral / retail.user.create.lateral: habilita allowOwnLevel
-    // en ScopeValidationService.canAssign para scope PLATFORM. DEC-052.
-    PLATFORM_USER_CREATE_LATERAL = 'platform.user.create.lateral',
-    PLATFORM_ROLE_CREATE = 'platform.role.create',
-    PLATFORM_ROLE_LIST = 'platform.role.list',
-    PLATFORM_ROLE_UPDATE = 'platform.role.update',
-    PLATFORM_ROLE_DELETE = 'platform.role.delete',
-    PLATFORM_AUDIT_VIEW = 'platform.audit.view',
-    PLATFORM_TENANT_USERFIELDS_MANAGE = 'platform.tenant.userfields.manage',
-    // DEC-RBAC-050: edición del autoregistro self-service del tenant (allowlist anti-escalación
-    // centralizada/platform). Espejo EXACTO de PLATFORM_TENANT_USERFIELDS_MANAGE (scope PLATFORM).
-    PLATFORM_TENANT_AUTOREGISTER_MANAGE = 'platform.tenant.autoregister.manage',
-    // DEC-RBAC-036: gestión de aplicaciones (plantillas) — reemplaza el reuso de rbac.catalog.manage en /applications.
-    PLATFORM_APPLICATION_MANAGE = 'platform.application.manage',
-
-    // ====================================================
-    // TENANT — operaciones dentro del silo de un tenant
-    // ====================================================
-    TENANT_USER_CREATE = 'tenant.user.create',
-    // Crear/gestionar usuarios de TU MISMO nivel jerárquico (ej. tenant_admin → tenant_admin).
-    // Gobierna create + assign-role + update (no solo create). Sin el permiso: solo "para abajo".
-    TENANT_USER_CREATE_LATERAL = 'tenant.user.create.lateral',
-    // Merge de tenant.user.list + tenant.user.view (read unificado del listado y el detalle).
-    TENANT_USER_READ = 'tenant.user.read',
-    // Merge de tenant.user.disable + tenant.user.enable (cambio de estado activo/suspendido).
-    TENANT_USER_STATUS = 'tenant.user.status',
-    // Deprecados (NO borrar — compat): reemplazados por TENANT_USER_READ / TENANT_USER_STATUS.
-    TENANT_USER_LIST = 'tenant.user.list',
-    TENANT_USER_VIEW = 'tenant.user.view',
-    TENANT_USER_UPDATE = 'tenant.user.update',
-    TENANT_USER_DISABLE = 'tenant.user.disable',
-    TENANT_USER_ENABLE = 'tenant.user.enable',
-    TENANT_USER_DELETE = 'tenant.user.delete',
-    TENANT_USER_MFA_RESET = 'tenant.user.mfa.reset',
-    TENANT_USER_PASSWORD_RESET = 'tenant.user.password.reset',
-    TENANT_ROLE_CREATE = 'tenant.role.create',
-    TENANT_ROLE_LIST = 'tenant.role.list',
-    TENANT_ROLE_UPDATE = 'tenant.role.update',
-    TENANT_ROLE_DELETE = 'tenant.role.delete',
-    TENANT_ROLE_VIEW = 'tenant.role.view',
-    TENANT_ROLE_ASSIGN = 'tenant.role.assign',
-    TENANT_ROLE_REVOKE = 'tenant.role.revoke',
-    TENANT_SECURITY_POLICY_VIEW = 'tenant.security.policy.view',
-    TENANT_SECURITY_POLICY_MANAGE = 'tenant.security.policy.manage',
-    TENANT_BRANDING_MANAGE = 'tenant.branding.manage',
-    TENANT_AUDIT_VIEW = 'tenant.audit.view',
-    // DEC-RBAC-038: gestión de scope-entities de nivel genérico — crear/editar/borrar entidades del nivel inferior; scope-bound.
-    TENANT_LEVEL_MANAGE = 'tenant.level.manage',
-
-    // ====================================================
-    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063)
-    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Los permisos de
-    // DOMINIO (retail.*/lend.*/mdm.*/pay.*/agents.*) fueron purgados del catálogo (v4.0.0,
-    // BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; los permisos de
-    // dominio viven como data (catálogo por aplicación), no hardcodeados acá.
-    // ====================================================
-    LEVEL1_USER_CREATE = 'level1.user.create',
-    LEVEL1_USER_READ = 'level1.user.read',
-    LEVEL1_USER_UPDATE = 'level1.user.update',
-    LEVEL1_USER_DELETE = 'level1.user.delete',
-    LEVEL1_ROLE_CREATE = 'level1.role.create',
-    LEVEL1_ROLE_LIST = 'level1.role.list',
-    LEVEL1_ROLE_VIEW = 'level1.role.view',
-    LEVEL1_ROLE_UPDATE = 'level1.role.update',
-    LEVEL1_ROLE_DELETE = 'level1.role.delete',
-    LEVEL1_ROLE_ASSIGN = 'level1.role.assign',
-    LEVEL1_ROLE_REVOKE = 'level1.role.revoke',
-    LEVEL1_AUDIT_VIEW = 'level1.audit.view',
-    LEVEL2_USER_CREATE = 'level2.user.create',
-    LEVEL2_USER_READ = 'level2.user.read',
-    LEVEL2_USER_UPDATE = 'level2.user.update',
-    LEVEL2_USER_DELETE = 'level2.user.delete',
-    LEVEL2_ROLE_CREATE = 'level2.role.create',
-    LEVEL2_ROLE_LIST = 'level2.role.list',
-    LEVEL2_ROLE_VIEW = 'level2.role.view',
-    LEVEL2_ROLE_UPDATE = 'level2.role.update',
-    LEVEL2_ROLE_DELETE = 'level2.role.delete',
-    LEVEL2_ROLE_ASSIGN = 'level2.role.assign',
-    LEVEL2_ROLE_REVOKE = 'level2.role.revoke',
-    LEVEL2_AUDIT_VIEW = 'level2.audit.view',
-    LEVEL3_USER_CREATE = 'level3.user.create',
-    LEVEL3_USER_READ = 'level3.user.read',
-    LEVEL3_USER_UPDATE = 'level3.user.update',
-    LEVEL3_USER_DELETE = 'level3.user.delete',
-    LEVEL3_ROLE_CREATE = 'level3.role.create',
-    LEVEL3_ROLE_LIST = 'level3.role.list',
-    LEVEL3_ROLE_VIEW = 'level3.role.view',
-    LEVEL3_ROLE_UPDATE = 'level3.role.update',
-    LEVEL3_ROLE_DELETE = 'level3.role.delete',
-    LEVEL3_ROLE_ASSIGN = 'level3.role.assign',
-    LEVEL3_ROLE_REVOKE = 'level3.role.revoke',
-    LEVEL3_AUDIT_VIEW = 'level3.audit.view',
-}
-
-/**
- * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
- * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
- * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
- * Derivado explícitamente (no Object.values, frágil ante edición del enum).
- *
- * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
- * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
- * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
- * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
- */
-export const PERMISSION_BIT_ORDER: readonly Permission[] = [
-    Permission.RBAC_CATALOG_MANAGE,
-    Permission.PLATFORM_TENANT_CREATE,
-    Permission.PLATFORM_TENANT_LIST,
-    Permission.PLATFORM_TENANT_VIEW,
-    Permission.PLATFORM_TENANT_UPDATE,
-    Permission.PLATFORM_TENANT_SUSPEND,
-    Permission.PLATFORM_TENANT_ACTIVATE,
-    Permission.PLATFORM_TENANT_ADMIN_REPLACE,
-    Permission.PLATFORM_COGNITO_POOL_MANAGE,
-    Permission.PLATFORM_COGNITO_POOL_LIST,
-    Permission.PLATFORM_USER_CREATE,
-    Permission.PLATFORM_USER_LIST,
-    Permission.PLATFORM_USER_VIEW,
-    Permission.PLATFORM_USER_UPDATE,
-    Permission.PLATFORM_USER_DISABLE,
-    Permission.PLATFORM_USER_ENABLE,
-    Permission.PLATFORM_USER_DELETE,
-    Permission.PLATFORM_ROLE_CREATE,
-    Permission.PLATFORM_ROLE_LIST,
-    Permission.PLATFORM_ROLE_UPDATE,
-    Permission.PLATFORM_ROLE_DELETE,
-    Permission.PLATFORM_AUDIT_VIEW,
-    Permission.TENANT_USER_CREATE,
-    Permission.TENANT_USER_CREATE_LATERAL,
-    Permission.TENANT_USER_READ,
-    Permission.TENANT_USER_STATUS,
-    Permission.TENANT_USER_LIST,
-    Permission.TENANT_USER_VIEW,
-    Permission.TENANT_USER_UPDATE,
-    Permission.TENANT_USER_DISABLE,
-    Permission.TENANT_USER_ENABLE,
-    Permission.TENANT_USER_DELETE,
-    Permission.TENANT_USER_MFA_RESET,
-    Permission.TENANT_USER_PASSWORD_RESET,
-    Permission.TENANT_ROLE_CREATE,
-    Permission.TENANT_ROLE_LIST,
-    Permission.TENANT_ROLE_UPDATE,
-    Permission.TENANT_ROLE_DELETE,
-    Permission.TENANT_ROLE_VIEW,
-    Permission.TENANT_ROLE_ASSIGN,
-    Permission.TENANT_ROLE_REVOKE,
-    Permission.TENANT_SECURITY_POLICY_VIEW,
-    Permission.TENANT_SECURITY_POLICY_MANAGE,
-    Permission.TENANT_BRANDING_MANAGE,
-    Permission.TENANT_AUDIT_VIEW,
-    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant.
-    // (El bitset está deprecado por token-flaco, pero el orden se mantiene sincronizado con el
-    // enum para que el test de bits no rompa.)
-    Permission.PLATFORM_TENANT_USERFIELDS_MANAGE,
-    // Append-only 2026-06-19: lateral platform (platform_super_admin asigna roles scope PLATFORM).
-    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
-    Permission.PLATFORM_USER_CREATE_LATERAL,
-    // Append-only 2026-06-24 (DEC-RBAC-036): gate dedicada de gestión de aplicaciones (plantillas).
-    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
-    Permission.PLATFORM_APPLICATION_MANAGE,
-    // Append-only 2026-06-24 (DEC-RBAC-038): gestión de scope-entities de nivel genérico (scope-bound).
-    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
-    Permission.TENANT_LEVEL_MANAGE,
-    // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
-    // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
-    Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
-    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
-    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
-    Permission.LEVEL1_USER_CREATE,
-    Permission.LEVEL1_USER_READ,
-    Permission.LEVEL1_USER_UPDATE,
-    Permission.LEVEL1_USER_DELETE,
-    Permission.LEVEL1_ROLE_CREATE,
-    Permission.LEVEL1_ROLE_LIST,
-    Permission.LEVEL1_ROLE_VIEW,
-    Permission.LEVEL1_ROLE_UPDATE,
-    Permission.LEVEL1_ROLE_DELETE,
-    Permission.LEVEL1_ROLE_ASSIGN,
-    Permission.LEVEL1_ROLE_REVOKE,
-    Permission.LEVEL1_AUDIT_VIEW,
-    Permission.LEVEL2_USER_CREATE,
-    Permission.LEVEL2_USER_READ,
-    Permission.LEVEL2_USER_UPDATE,
-    Permission.LEVEL2_USER_DELETE,
-    Permission.LEVEL2_ROLE_CREATE,
-    Permission.LEVEL2_ROLE_LIST,
-    Permission.LEVEL2_ROLE_VIEW,
-    Permission.LEVEL2_ROLE_UPDATE,
-    Permission.LEVEL2_ROLE_DELETE,
-    Permission.LEVEL2_ROLE_ASSIGN,
-    Permission.LEVEL2_ROLE_REVOKE,
-    Permission.LEVEL2_AUDIT_VIEW,
-    Permission.LEVEL3_USER_CREATE,
-    Permission.LEVEL3_USER_READ,
-    Permission.LEVEL3_USER_UPDATE,
-    Permission.LEVEL3_USER_DELETE,
-    Permission.LEVEL3_ROLE_CREATE,
-    Permission.LEVEL3_ROLE_LIST,
-    Permission.LEVEL3_ROLE_VIEW,
-    Permission.LEVEL3_ROLE_UPDATE,
-    Permission.LEVEL3_ROLE_DELETE,
-    Permission.LEVEL3_ROLE_ASSIGN,
-    Permission.LEVEL3_ROLE_REVOKE,
-    Permission.LEVEL3_AUDIT_VIEW,
-] as const;
-
-function djb2(input: string): number {
-    let h = 5381;
-    for (let i = 0; i < input.length; i++) h = ((h << 5) + h + input.charCodeAt(i)) >>> 0;
-    return h;
-}
-/** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */
-export const PERMS_VERSION: number = djb2(PERMISSION_BIT_ORDER.join('|'));
-
-const BIT_INDEX: ReadonlyMap<Permission, number> = new Map(PERMISSION_BIT_ORDER.map((p, i) => [p, i]));
-
-/** Comprime un set de permisos a bitset base64url. */
-export function permissionsToBits(perms: readonly Permission[]): string {
-    const bytes = new Uint8Array(Math.ceil(PERMISSION_BIT_ORDER.length / 8));
-    for (const p of perms) {
-        const idx = BIT_INDEX.get(p);
-        if (idx === undefined) continue;
-        bytes[idx >> 3] |= 1 << (idx & 7);
-    }
-    return Buffer.from(bytes).toString('base64url');
-}
-/** Decodifica un bitset base64url a la lista de permisos. Tolerante a basura → []. */
-export function bitsToPermissions(bits: string): Permission[] {
-    if (typeof bits !== 'string' || bits.length === 0) return [];
-    let bytes: Buffer;
-    try {
-        bytes = Buffer.from(bits, 'base64url');
-    } catch {
-        return [];
-    }
-    const out: Permission[] = [];
-    for (let i = 0; i < PERMISSION_BIT_ORDER.length; i++) {
-        const byte = bytes[i >> 3] ?? 0;
-        if (byte & (1 << (i & 7))) out.push(PERMISSION_BIT_ORDER[i]);
-    }
-    return out;
-}
+/**
+ * Catálogo universal de permisos del sistema RBAC Fiado.
+ *
+ * Origen: componente 01 de Fase 0 SureKeep (spec maestro):
+ *   surekeep/docs/5_fases/00_fase0_cognito_rbac_users_mfa/componentes/01_typekit-rbac-additions.md
+ *
+ * Copy-paste literal de los valores del spec (DEC-003).
+ * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
+ *
+ * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
+ */
+export enum Permission {
+    // ====================================================
+    // RBAC — gestión genérica del propio sistema RBAC
+    // ====================================================
+    RBAC_CATALOG_MANAGE = 'rbac.catalog.manage',
+
+    // ====================================================
+    // PLATFORM — operaciones a nivel meta-plataforma (Fiado equipo)
+    // ====================================================
+    PLATFORM_TENANT_CREATE = 'platform.tenant.create',
+    PLATFORM_TENANT_LIST = 'platform.tenant.list',
+    PLATFORM_TENANT_VIEW = 'platform.tenant.view',
+    PLATFORM_TENANT_UPDATE = 'platform.tenant.update',
+    PLATFORM_TENANT_SUSPEND = 'platform.tenant.suspend',
+    PLATFORM_TENANT_ACTIVATE = 'platform.tenant.activate',
+    PLATFORM_TENANT_ADMIN_REPLACE = 'platform.tenant.admin.replace',
+    PLATFORM_COGNITO_POOL_MANAGE = 'platform.cognito.pool.manage',
+    PLATFORM_COGNITO_POOL_LIST = 'platform.cognito.pool.list',
+    PLATFORM_USER_CREATE = 'platform.user.create',
+    PLATFORM_USER_LIST = 'platform.user.list',
+    PLATFORM_USER_VIEW = 'platform.user.view',
+    PLATFORM_USER_UPDATE = 'platform.user.update',
+    PLATFORM_USER_DISABLE = 'platform.user.disable',
+    PLATFORM_USER_ENABLE = 'platform.user.enable',
+    PLATFORM_USER_DELETE = 'platform.user.delete',
+    // Crear/asignar usuarios platform de TU MISMO nivel (platform_admin → platform_admin).
+    // Espejo de tenant.user.create.lateral / retail.user.create.lateral: habilita allowOwnLevel
+    // en ScopeValidationService.canAssign para scope PLATFORM. DEC-052.
+    PLATFORM_USER_CREATE_LATERAL = 'platform.user.create.lateral',
+    PLATFORM_ROLE_CREATE = 'platform.role.create',
+    PLATFORM_ROLE_LIST = 'platform.role.list',
+    PLATFORM_ROLE_UPDATE = 'platform.role.update',
+    PLATFORM_ROLE_DELETE = 'platform.role.delete',
+    PLATFORM_AUDIT_VIEW = 'platform.audit.view',
+    PLATFORM_TENANT_USERFIELDS_MANAGE = 'platform.tenant.userfields.manage',
+    // DEC-RBAC-050: edición del autoregistro self-service del tenant (allowlist anti-escalación
+    // centralizada/platform). Espejo EXACTO de PLATFORM_TENANT_USERFIELDS_MANAGE (scope PLATFORM).
+    PLATFORM_TENANT_AUTOREGISTER_MANAGE = 'platform.tenant.autoregister.manage',
+    // DEC-RBAC-036: gestión de aplicaciones (plantillas) — reemplaza el reuso de rbac.catalog.manage en /applications.
+    PLATFORM_APPLICATION_MANAGE = 'platform.application.manage',
+
+    // ====================================================
+    // TENANT — operaciones dentro del silo de un tenant
+    // ====================================================
+    TENANT_USER_CREATE = 'tenant.user.create',
+    // Crear/gestionar usuarios de TU MISMO nivel jerárquico (ej. tenant_admin → tenant_admin).
+    // Gobierna create + assign-role + update (no solo create). Sin el permiso: solo "para abajo".
+    TENANT_USER_CREATE_LATERAL = 'tenant.user.create.lateral',
+    // Merge de tenant.user.list + tenant.user.view (read unificado del listado y el detalle).
+    TENANT_USER_READ = 'tenant.user.read',
+    // Merge de tenant.user.disable + tenant.user.enable (cambio de estado activo/suspendido).
+    TENANT_USER_STATUS = 'tenant.user.status',
+    // Deprecados (NO borrar — compat): reemplazados por TENANT_USER_READ / TENANT_USER_STATUS.
+    TENANT_USER_LIST = 'tenant.user.list',
+    TENANT_USER_VIEW = 'tenant.user.view',
+    TENANT_USER_UPDATE = 'tenant.user.update',
+    TENANT_USER_DISABLE = 'tenant.user.disable',
+    TENANT_USER_ENABLE = 'tenant.user.enable',
+    TENANT_USER_DELETE = 'tenant.user.delete',
+    TENANT_USER_MFA_RESET = 'tenant.user.mfa.reset',
+    TENANT_USER_PASSWORD_RESET = 'tenant.user.password.reset',
+    TENANT_ROLE_CREATE = 'tenant.role.create',
+    TENANT_ROLE_LIST = 'tenant.role.list',
+    TENANT_ROLE_UPDATE = 'tenant.role.update',
+    TENANT_ROLE_DELETE = 'tenant.role.delete',
+    TENANT_ROLE_VIEW = 'tenant.role.view',
+    TENANT_ROLE_ASSIGN = 'tenant.role.assign',
+    TENANT_ROLE_REVOKE = 'tenant.role.revoke',
+    TENANT_SECURITY_POLICY_VIEW = 'tenant.security.policy.view',
+    TENANT_SECURITY_POLICY_MANAGE = 'tenant.security.policy.manage',
+    TENANT_BRANDING_MANAGE = 'tenant.branding.manage',
+    TENANT_AUDIT_VIEW = 'tenant.audit.view',
+    // DEC-RBAC-038: gestión de scope-entities de nivel genérico — crear/editar/borrar entidades del nivel inferior; scope-bound.
+    TENANT_LEVEL_MANAGE = 'tenant.level.manage',
+
+    // ====================================================
+    // LEVEL{1,2,3} — primitivas RBAC genéricas por nivel (DEC-RBAC-063)
+    // Permisos básicos auto-sembrables por nivel genérico (data-driven). Los permisos de
+    // DOMINIO (retail.*/lend.*/mdm.*/pay.*/agents.*) fueron purgados del catálogo (v4.0.0,
+    // BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; los permisos de
+    // dominio viven como data (catálogo por aplicación), no hardcodeados acá.
+    // ====================================================
+    LEVEL1_USER_CREATE = 'level1.user.create',
+    LEVEL1_USER_READ = 'level1.user.read',
+    LEVEL1_USER_UPDATE = 'level1.user.update',
+    LEVEL1_USER_DELETE = 'level1.user.delete',
+    LEVEL1_ROLE_CREATE = 'level1.role.create',
+    LEVEL1_ROLE_LIST = 'level1.role.list',
+    LEVEL1_ROLE_VIEW = 'level1.role.view',
+    LEVEL1_ROLE_UPDATE = 'level1.role.update',
+    LEVEL1_ROLE_DELETE = 'level1.role.delete',
+    LEVEL1_ROLE_ASSIGN = 'level1.role.assign',
+    LEVEL1_ROLE_REVOKE = 'level1.role.revoke',
+    LEVEL1_AUDIT_VIEW = 'level1.audit.view',
+    LEVEL2_USER_CREATE = 'level2.user.create',
+    LEVEL2_USER_READ = 'level2.user.read',
+    LEVEL2_USER_UPDATE = 'level2.user.update',
+    LEVEL2_USER_DELETE = 'level2.user.delete',
+    LEVEL2_ROLE_CREATE = 'level2.role.create',
+    LEVEL2_ROLE_LIST = 'level2.role.list',
+    LEVEL2_ROLE_VIEW = 'level2.role.view',
+    LEVEL2_ROLE_UPDATE = 'level2.role.update',
+    LEVEL2_ROLE_DELETE = 'level2.role.delete',
+    LEVEL2_ROLE_ASSIGN = 'level2.role.assign',
+    LEVEL2_ROLE_REVOKE = 'level2.role.revoke',
+    LEVEL2_AUDIT_VIEW = 'level2.audit.view',
+    LEVEL3_USER_CREATE = 'level3.user.create',
+    LEVEL3_USER_READ = 'level3.user.read',
+    LEVEL3_USER_UPDATE = 'level3.user.update',
+    LEVEL3_USER_DELETE = 'level3.user.delete',
+    LEVEL3_ROLE_CREATE = 'level3.role.create',
+    LEVEL3_ROLE_LIST = 'level3.role.list',
+    LEVEL3_ROLE_VIEW = 'level3.role.view',
+    LEVEL3_ROLE_UPDATE = 'level3.role.update',
+    LEVEL3_ROLE_DELETE = 'level3.role.delete',
+    LEVEL3_ROLE_ASSIGN = 'level3.role.assign',
+    LEVEL3_ROLE_REVOKE = 'level3.role.revoke',
+    LEVEL3_AUDIT_VIEW = 'level3.audit.view',
+}
+
+/**
+ * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
+ * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
+ * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
+ * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
+ */
+export const PERMISSION_BIT_ORDER: readonly Permission[] = [
+    Permission.RBAC_CATALOG_MANAGE,
+    Permission.PLATFORM_TENANT_CREATE,
+    Permission.PLATFORM_TENANT_LIST,
+    Permission.PLATFORM_TENANT_VIEW,
+    Permission.PLATFORM_TENANT_UPDATE,
+    Permission.PLATFORM_TENANT_SUSPEND,
+    Permission.PLATFORM_TENANT_ACTIVATE,
+    Permission.PLATFORM_TENANT_ADMIN_REPLACE,
+    Permission.PLATFORM_COGNITO_POOL_MANAGE,
+    Permission.PLATFORM_COGNITO_POOL_LIST,
+    Permission.PLATFORM_USER_CREATE,
+    Permission.PLATFORM_USER_LIST,
+    Permission.PLATFORM_USER_VIEW,
+    Permission.PLATFORM_USER_UPDATE,
+    Permission.PLATFORM_USER_DISABLE,
+    Permission.PLATFORM_USER_ENABLE,
+    Permission.PLATFORM_USER_DELETE,
+    Permission.PLATFORM_ROLE_CREATE,
+    Permission.PLATFORM_ROLE_LIST,
+    Permission.PLATFORM_ROLE_UPDATE,
+    Permission.PLATFORM_ROLE_DELETE,
+    Permission.PLATFORM_AUDIT_VIEW,
+    Permission.TENANT_USER_CREATE,
+    Permission.TENANT_USER_CREATE_LATERAL,
+    Permission.TENANT_USER_READ,
+    Permission.TENANT_USER_STATUS,
+    Permission.TENANT_USER_LIST,
+    Permission.TENANT_USER_VIEW,
+    Permission.TENANT_USER_UPDATE,
+    Permission.TENANT_USER_DISABLE,
+    Permission.TENANT_USER_ENABLE,
+    Permission.TENANT_USER_DELETE,
+    Permission.TENANT_USER_MFA_RESET,
+    Permission.TENANT_USER_PASSWORD_RESET,
+    Permission.TENANT_ROLE_CREATE,
+    Permission.TENANT_ROLE_LIST,
+    Permission.TENANT_ROLE_UPDATE,
+    Permission.TENANT_ROLE_DELETE,
+    Permission.TENANT_ROLE_VIEW,
+    Permission.TENANT_ROLE_ASSIGN,
+    Permission.TENANT_ROLE_REVOKE,
+    Permission.TENANT_SECURITY_POLICY_VIEW,
+    Permission.TENANT_SECURITY_POLICY_MANAGE,
+    Permission.TENANT_BRANDING_MANAGE,
+    Permission.TENANT_AUDIT_VIEW,
+    // Append-only 2026-06-18 (DEC-RBAC-017): catálogo de campos personalizados por tenant.
+    // (El bitset está deprecado por token-flaco, pero el orden se mantiene sincronizado con el
+    // enum para que el test de bits no rompa.)
+    Permission.PLATFORM_TENANT_USERFIELDS_MANAGE,
+    // Append-only 2026-06-19: lateral platform (platform_super_admin asigna roles scope PLATFORM).
+    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.PLATFORM_USER_CREATE_LATERAL,
+    // Append-only 2026-06-24 (DEC-RBAC-036): gate dedicada de gestión de aplicaciones (plantillas).
+    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.PLATFORM_APPLICATION_MANAGE,
+    // Append-only 2026-06-24 (DEC-RBAC-038): gestión de scope-entities de nivel genérico (scope-bound).
+    // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.TENANT_LEVEL_MANAGE,
+    // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
+    // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
+    // Append-only 2026-06-28 (DEC-RBAC-063): 36 primitivas RBAC por nivel genérico. Al FINAL para no
+    // correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.LEVEL1_USER_CREATE,
+    Permission.LEVEL1_USER_READ,
+    Permission.LEVEL1_USER_UPDATE,
+    Permission.LEVEL1_USER_DELETE,
+    Permission.LEVEL1_ROLE_CREATE,
+    Permission.LEVEL1_ROLE_LIST,
+    Permission.LEVEL1_ROLE_VIEW,
+    Permission.LEVEL1_ROLE_UPDATE,
+    Permission.LEVEL1_ROLE_DELETE,
+    Permission.LEVEL1_ROLE_ASSIGN,
+    Permission.LEVEL1_ROLE_REVOKE,
+    Permission.LEVEL1_AUDIT_VIEW,
+    Permission.LEVEL2_USER_CREATE,
+    Permission.LEVEL2_USER_READ,
+    Permission.LEVEL2_USER_UPDATE,
+    Permission.LEVEL2_USER_DELETE,
+    Permission.LEVEL2_ROLE_CREATE,
+    Permission.LEVEL2_ROLE_LIST,
+    Permission.LEVEL2_ROLE_VIEW,
+    Permission.LEVEL2_ROLE_UPDATE,
+    Permission.LEVEL2_ROLE_DELETE,
+    Permission.LEVEL2_ROLE_ASSIGN,
+    Permission.LEVEL2_ROLE_REVOKE,
+    Permission.LEVEL2_AUDIT_VIEW,
+    Permission.LEVEL3_USER_CREATE,
+    Permission.LEVEL3_USER_READ,
+    Permission.LEVEL3_USER_UPDATE,
+    Permission.LEVEL3_USER_DELETE,
+    Permission.LEVEL3_ROLE_CREATE,
+    Permission.LEVEL3_ROLE_LIST,
+    Permission.LEVEL3_ROLE_VIEW,
+    Permission.LEVEL3_ROLE_UPDATE,
+    Permission.LEVEL3_ROLE_DELETE,
+    Permission.LEVEL3_ROLE_ASSIGN,
+    Permission.LEVEL3_ROLE_REVOKE,
+    Permission.LEVEL3_AUDIT_VIEW,
+] as const;
+
+function djb2(input: string): number {
+    let h = 5381;
+    for (let i = 0; i < input.length; i++) h = ((h << 5) + h + input.charCodeAt(i)) >>> 0;
+    return h;
+}
+/** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */
+export const PERMS_VERSION: number = djb2(PERMISSION_BIT_ORDER.join('|'));
+
+const BIT_INDEX: ReadonlyMap<Permission, number> = new Map(PERMISSION_BIT_ORDER.map((p, i) => [p, i]));
+
+/** Comprime un set de permisos a bitset base64url. */
+export function permissionsToBits(perms: readonly Permission[]): string {
+    const bytes = new Uint8Array(Math.ceil(PERMISSION_BIT_ORDER.length / 8));
+    for (const p of perms) {
+        const idx = BIT_INDEX.get(p);
+        if (idx === undefined) continue;
+        bytes[idx >> 3] |= 1 << (idx & 7);
+    }
+    return Buffer.from(bytes).toString('base64url');
+}
+/** Decodifica un bitset base64url a la lista de permisos. Tolerante a basura → []. */
+export function bitsToPermissions(bits: string): Permission[] {
+    if (typeof bits !== 'string' || bits.length === 0) return [];
+    let bytes: Buffer;
+    try {
+        bytes = Buffer.from(bits, 'base64url');
+    } catch {
+        return [];
+    }
+    const out: Permission[] = [];
+    for (let i = 0; i < PERMISSION_BIT_ORDER.length; i++) {
+        const byte = bytes[i >> 3] ?? 0;
+        if (byte & (1 << (i & 7))) out.push(PERMISSION_BIT_ORDER[i]);
+    }
+    return out;
+}

package/src/platformRbac/enums/PermissionCategory.ts

@@ -1,17 +1,17 @@
-/**
- * Categorías del catálogo de permissions (componente 01).
- * TD-RBAC-005: `AUDIT` category sin permissions `audit.*` asociadas — drift consciente.
- */
-export enum PermissionCategory {
-    RBAC = 'rbac',
-    PLATFORM = 'platform',
-    TENANT = 'tenant',
-    AUDIT = 'audit',
-    // DEC-RBAC-063: categorías de las primitivas RBAC por nivel genérico.
-    // Las categorías de DOMINIO (retail/lend/mdm/pay/agents) fueron purgadas del catálogo
-    // (v4.0.0, BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; el dominio
-    // vive como data (catálogo por aplicación), no hardcodeado acá.
-    LEVEL1 = 'level1',
-    LEVEL2 = 'level2',
-    LEVEL3 = 'level3',
-}
+/**
+ * Categorías del catálogo de permissions (componente 01).
+ * TD-RBAC-005: `AUDIT` category sin permissions `audit.*` asociadas — drift consciente.
+ */
+export enum PermissionCategory {
+    RBAC = 'rbac',
+    PLATFORM = 'platform',
+    TENANT = 'tenant',
+    AUDIT = 'audit',
+    // DEC-RBAC-063: categorías de las primitivas RBAC por nivel genérico.
+    // Las categorías de DOMINIO (retail/lend/mdm/pay/agents) fueron purgadas del catálogo
+    // (v4.0.0, BREAKING): el type-kit contiene SOLO el vocabulario del sistema RBAC; el dominio
+    // vive como data (catálogo por aplicación), no hardcodeado acá.
+    LEVEL1 = 'level1',
+    LEVEL2 = 'level2',
+    LEVEL3 = 'level3',
+}