@fiado/type-kit 3.259.0 → 3.261.0

package/_test_/unit/platformRbac/PasswordPolicyInput.test.ts

@@ -0,0 +1,58 @@
+import 'reflect-metadata';
+import { plainToInstance } from 'class-transformer';
+import { validateSync } from 'class-validator';
+
+import { PasswordPolicyInput } from '../../../src/platformRbac/dtos/PasswordPolicyInput';
+
+// DEC-RBAC-111: política de contraseña per-tenant. Los 5 campos son opcionales — un campo ausente
+// cae a la plantilla de la app y, de ahí, a la policy global del lambda.
+describe('PasswordPolicyInput', () => {
+    it('acepta los 5 campos válidos', () => {
+        const dto = plainToInstance(PasswordPolicyInput, {
+            minLength: 16,
+            requireUppercase: true,
+            requireLowercase: true,
+            requireNumber: true,
+            requireSymbol: true,
+        });
+        expect(validateSync(dto)).toHaveLength(0);
+    });
+
+    it('acepta el objeto vacío (todos los campos son opcionales)', () => {
+        expect(validateSync(plainToInstance(PasswordPolicyInput, {}))).toHaveLength(0);
+    });
+
+    // Cognito acepta PasswordPolicy.MinimumLength en 6..99. Fuera de ese rango, CreateUserPool tira
+    // InvalidParameterException DESPUÉS de que la saga de onboarding ya escribió la ficha del tenant
+    // en estado 'provisioning' — o sea el fallo cae en la rama de compensación. Se ataja acá.
+    it.each([5, 100, 150])('rechaza minLength %i (fuera del rango 6-99 de Cognito)', (minLength) => {
+        const errors = validateSync(plainToInstance(PasswordPolicyInput, { minLength }));
+        expect(errors).toHaveLength(1);
+        expect(errors[0].property).toBe('minLength');
+    });
+
+    it.each([6, 99])('acepta minLength %i (los bordes del rango de Cognito)', (minLength) => {
+        expect(validateSync(plainToInstance(PasswordPolicyInput, { minLength }))).toHaveLength(0);
+    });
+
+    it('rechaza minLength no entero', () => {
+        const errors = validateSync(plainToInstance(PasswordPolicyInput, { minLength: 12.5 }));
+        expect(errors).toHaveLength(1);
+        expect(errors[0].property).toBe('minLength');
+    });
+
+    it('rechaza un require* que no es booleano', () => {
+        const errors = validateSync(
+            plainToInstance(PasswordPolicyInput, { requireSymbol: 'sí' as unknown as boolean }),
+        );
+        expect(errors).toHaveLength(1);
+        expect(errors[0].property).toBe('requireSymbol');
+    });
+
+    // El piso (que la policy no sea MÁS DÉBIL que la global del lambda) NO se valida acá a propósito:
+    // depende de env vars del lambda, así que ponerlo también en el type-kit sería una segunda fuente
+    // de verdad en otro repo, que driftea en cuanto alguien cambia la env var.
+    it('NO rechaza una policy débil: el piso lo decide el lambda, no el type-kit', () => {
+        expect(validateSync(plainToInstance(PasswordPolicyInput, { minLength: 6 }))).toHaveLength(0);
+    });
+});

package/_test_/unit/retailWizard/saleFinancier.test.ts

@@ -0,0 +1,68 @@
+import { SaleTypeEnum } from '../../../src/retailWizard/enums/SaleTypeEnum';
+import { ExternalProviderEnum } from '../../../src/retailWizard/enums/ExternalProviderEnum';
+import { SaleFinancierEnum } from '../../../src/retailWizard/enums/SaleFinancierEnum';
+import {
+  financierOfSale,
+  isSureKeepFinanced,
+  isExternallyFinanced,
+} from '../../../src/retailWizard/helpers/saleFinancier';
+
+describe('financierOfSale', () => {
+  it('el contado no tiene financiera', () => {
+    expect(financierOfSale({ type: SaleTypeEnum.CASH, externalProvider: null })).toBe(
+      SaleFinancierEnum.NONE,
+    );
+  });
+
+  it('el crédito propio es SUREKEEP', () => {
+    expect(financierOfSale({ type: SaleTypeEnum.CREDIT, externalProvider: null })).toBe(
+      SaleFinancierEnum.SUREKEEP,
+    );
+  });
+
+  it.each([
+    [ExternalProviderEnum.PAYJOY, SaleFinancierEnum.PAYJOY],
+    [ExternalProviderEnum.CREDIYA, SaleFinancierEnum.CREDIYA],
+    [ExternalProviderEnum.LESPAGO, SaleFinancierEnum.LESPAGO],
+    [ExternalProviderEnum.INNOVA, SaleFinancierEnum.INNOVA],
+  ])('la derivación a %s mapea a su financiera', (provider, expected) => {
+    expect(financierOfSale({ type: SaleTypeEnum.EXTERNAL_REFERRAL, externalProvider: provider })).toBe(
+      expected,
+    );
+  });
+
+  it('una derivación sin proveedor cae en NONE, no revienta (ventas viejas sin el campo)', () => {
+    expect(financierOfSale({ type: SaleTypeEnum.EXTERNAL_REFERRAL, externalProvider: null })).toBe(
+      SaleFinancierEnum.NONE,
+    );
+  });
+
+  it('el crédito propio gana sobre un externalProvider colado en la fila', () => {
+    expect(
+      financierOfSale({ type: SaleTypeEnum.CREDIT, externalProvider: ExternalProviderEnum.PAYJOY }),
+    ).toBe(SaleFinancierEnum.SUREKEEP);
+  });
+});
+
+describe('particiones de los pills del Admin VL', () => {
+  it('SUREKEEP y externas son disjuntas', () => {
+    const surekeep = { type: SaleTypeEnum.CREDIT, externalProvider: null };
+    expect(isSureKeepFinanced(surekeep)).toBe(true);
+    expect(isExternallyFinanced(surekeep)).toBe(false);
+  });
+
+  it('una externa cuenta como externa y no como SureKeep', () => {
+    const externa = {
+      type: SaleTypeEnum.EXTERNAL_REFERRAL,
+      externalProvider: ExternalProviderEnum.CREDIYA,
+    };
+    expect(isExternallyFinanced(externa)).toBe(true);
+    expect(isSureKeepFinanced(externa)).toBe(false);
+  });
+
+  it('el contado NO cuenta en ninguna de las dos: no tiene financiera', () => {
+    const contado = { type: SaleTypeEnum.CASH, externalProvider: null };
+    expect(isSureKeepFinanced(contado)).toBe(false);
+    expect(isExternallyFinanced(contado)).toBe(false);
+  });
+});

package/bin/helpdesk/dtos/ZendeskInternalAlertRequest.d.ts

@@ -0,0 +1,18 @@
+import { InternalAlertChannel } from "../enums/InternalAlertChannelEnum";
+/**
+ * Alerta interna sobre un usuario. Se publica en la cola de alertamiento y zendesk-business
+ * la convierte en una nota interna de Zendesk: solo la ven los agentes, el usuario nunca.
+ *
+ * El asunto del ticket lo genera zendesk-business — es el único campo que el usuario podría
+ * llegar a ver, así que no lo escribe el caller.
+ */
+export declare class ZendeskInternalAlertRequest {
+    /** Usuario sobre el que se alerta. */
+    directoryId: string;
+    /** Detalle del problema. Acá va lo sensible: es lo que se escribe como nota interna. */
+    note: string;
+    /** Decide el ruteo en Zendesk (tag, vista y equipo). */
+    channel: InternalAlertChannel;
+    /** Id del evento origen, para rastrear la alerta de vuelta. */
+    reference?: string;
+}

package/bin/{walletFunding/dtos/CancelFundingReferenceRequest.js → helpdesk/dtos/ZendeskInternalAlertRequest.js}

@@ -9,33 +9,35 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CancelFundingReferenceRequest = void 0;
+exports.ZendeskInternalAlertRequest = void 0;
 const class_validator_1 = require("class-validator");
+const InternalAlertChannelEnum_1 = require("../enums/InternalAlertChannelEnum");
 /**
- * Body para cancelar una referencia de funding ya creada. La referencia/fundingId
- * viaja en la URL (`/funding/{moduleName}/{fundingId}/cancel`); este body aporta
- * el contexto del solicitante + idempotencia.
+ * Alerta interna sobre un usuario. Se publica en la cola de alertamiento y zendesk-business
+ * la convierte en una nota interna de Zendesk: solo la ven los agentes, el usuario nunca.
  *
- * NOTA: shape inferido desde el uso en `@fiado/api-invoker`
- * (benefits-marketplace / equality-connector) — confirmar con el dueño del
- * módulo walletFunding / el lambda equality-connector que implementa el cancel.
+ * El asunto del ticket lo genera zendesk-business — es el único campo que el usuario podría
+ * llegar a ver, así que no lo escribe el caller.
  */
-class CancelFundingReferenceRequest {
+class ZendeskInternalAlertRequest {
 }
-exports.CancelFundingReferenceRequest = CancelFundingReferenceRequest;
+exports.ZendeskInternalAlertRequest = ZendeskInternalAlertRequest;
 __decorate([
+    (0, class_validator_1.IsNotEmpty)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "directoryId", void 0);
+], ZendeskInternalAlertRequest.prototype, "directoryId", void 0);
 __decorate([
-    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsNotEmpty)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(256),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "reason", void 0);
+], ZendeskInternalAlertRequest.prototype, "note", void 0);
+__decorate([
+    (0, class_validator_1.IsEnum)(InternalAlertChannelEnum_1.InternalAlertChannel),
+    __metadata("design:type", String)
+], ZendeskInternalAlertRequest.prototype, "channel", void 0);
 __decorate([
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.MaxLength)(64),
+    (0, class_validator_1.IsOptional)(),
     __metadata("design:type", String)
-], CancelFundingReferenceRequest.prototype, "idempotencyKey", void 0);
+], ZendeskInternalAlertRequest.prototype, "reference", void 0);

package/bin/helpdesk/enums/InternalAlertChannelEnum.d.ts

@@ -0,0 +1,7 @@
+/** Canal de una alerta interna: decide el ruteo dentro de Zendesk (tag, vista y equipo). */
+export declare enum InternalAlertChannel {
+    /** Alertas operativas que resuelve el equipo interno sin involucrar al usuario. */
+    INTERNAL = "INTERNAL",
+    /** Alertas de cumplimiento regulatorio. El usuario no puede enterarse. */
+    COMPLIANCE = "COMPLIANCE"
+}

package/bin/helpdesk/enums/InternalAlertChannelEnum.js

@@ -0,0 +1,11 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.InternalAlertChannel = void 0;
+/** Canal de una alerta interna: decide el ruteo dentro de Zendesk (tag, vista y equipo). */
+var InternalAlertChannel;
+(function (InternalAlertChannel) {
+    /** Alertas operativas que resuelve el equipo interno sin involucrar al usuario. */
+    InternalAlertChannel["INTERNAL"] = "INTERNAL";
+    /** Alertas de cumplimiento regulatorio. El usuario no puede enterarse. */
+    InternalAlertChannel["COMPLIANCE"] = "COMPLIANCE";
+})(InternalAlertChannel || (exports.InternalAlertChannel = InternalAlertChannel = {}));

package/bin/helpdesk/enums/ZendeskAlertKindEnum.d.ts

@@ -0,0 +1,7 @@
+/** Discrimina qué transporta un mensaje de la cola de alertamiento de Zendesk. */
+export declare enum ZendeskAlertKind {
+    /** Nota interna en un ticket: solo la ven los agentes. */
+    INTERNAL_NOTE = "INTERNAL_NOTE",
+    /** Mensaje proactivo al chat del usuario. */
+    PROACTIVE_MESSAGE = "PROACTIVE_MESSAGE"
+}

package/bin/helpdesk/enums/ZendeskAlertKindEnum.js

@@ -0,0 +1,11 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ZendeskAlertKind = void 0;
+/** Discrimina qué transporta un mensaje de la cola de alertamiento de Zendesk. */
+var ZendeskAlertKind;
+(function (ZendeskAlertKind) {
+    /** Nota interna en un ticket: solo la ven los agentes. */
+    ZendeskAlertKind["INTERNAL_NOTE"] = "INTERNAL_NOTE";
+    /** Mensaje proactivo al chat del usuario. */
+    ZendeskAlertKind["PROACTIVE_MESSAGE"] = "PROACTIVE_MESSAGE";
+})(ZendeskAlertKind || (exports.ZendeskAlertKind = ZendeskAlertKind = {}));

package/bin/helpdesk/index.d.ts

@@ -1,2 +1,6 @@
 export * from './dtos/HelpdeskCreateUserRequest';
 export * from './dtos/HelpdeskCreateTicketRequest';
+export * from './dtos/ZendeskInternalAlertRequest';
+export * from './enums/InternalAlertChannelEnum';
+export * from './enums/ZendeskAlertKindEnum';
+export * from './interfaces/IZendeskAlertMessage';

package/bin/helpdesk/index.js

@@ -16,3 +16,8 @@ var __exportStar = (this && this.__exportStar) || function(m, exports) {
 Object.defineProperty(exports, "__esModule", { value: true });
 __exportStar(require("./dtos/HelpdeskCreateUserRequest"), exports);
 __exportStar(require("./dtos/HelpdeskCreateTicketRequest"), exports);
+// Alertamiento interno (cola de Zendesk)
+__exportStar(require("./dtos/ZendeskInternalAlertRequest"), exports);
+__exportStar(require("./enums/InternalAlertChannelEnum"), exports);
+__exportStar(require("./enums/ZendeskAlertKindEnum"), exports);
+__exportStar(require("./interfaces/IZendeskAlertMessage"), exports);

package/bin/helpdesk/interfaces/IZendeskAlertMessage.d.ts

@@ -0,0 +1,6 @@
+import { ZendeskAlertKind } from "../enums/ZendeskAlertKindEnum";
+/** Sobre de un mensaje de la cola de alertamiento: `kind` decide cómo interpretar `payload`. */
+export interface IZendeskAlertMessage<TPayload = unknown> {
+    kind: ZendeskAlertKind;
+    payload: TPayload;
+}

package/bin/helpdesk/interfaces/IZendeskAlertMessage.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/loanConfig/enums/ModifiableByRoleEnum.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Rol RBAC mínimo que puede modificar un parámetro (RBAC a nivel de parámetro, modelo-datos §8).
+ * `retailer_admin` = "Admin VentasLuga" de M6 §8. Valores = identificadores de rol de RBAC F0.
+ * TD-004: confirmar mapeo super_admin ↔ platform_super_admin con el naming real de F0.
+ * @enum {string}
+ */
+export declare enum ModifiableByRoleEnum {
+    SUPER_ADMIN = "super_admin",
+    SOFOM_ADMIN = "sofom_admin",
+    RETAILER_ADMIN = "retailer_admin"
+}

package/bin/loanConfig/enums/ModifiableByRoleEnum.js

@@ -0,0 +1,15 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ModifiableByRoleEnum = void 0;
+/**
+ * Rol RBAC mínimo que puede modificar un parámetro (RBAC a nivel de parámetro, modelo-datos §8).
+ * `retailer_admin` = "Admin VentasLuga" de M6 §8. Valores = identificadores de rol de RBAC F0.
+ * TD-004: confirmar mapeo super_admin ↔ platform_super_admin con el naming real de F0.
+ * @enum {string}
+ */
+var ModifiableByRoleEnum;
+(function (ModifiableByRoleEnum) {
+    ModifiableByRoleEnum["SUPER_ADMIN"] = "super_admin";
+    ModifiableByRoleEnum["SOFOM_ADMIN"] = "sofom_admin";
+    ModifiableByRoleEnum["RETAILER_ADMIN"] = "retailer_admin";
+})(ModifiableByRoleEnum || (exports.ModifiableByRoleEnum = ModifiableByRoleEnum = {}));

package/bin/platformRbac/application/Application.d.ts

@@ -44,6 +44,23 @@ export interface ApplicationDefaults {
      * UsernameAttributes del pool): true ⇒ pool con ['email','phone_number']. Heredado al tenant.
      */
     allowSecondary?: boolean;
+    /**
+     * DEC-RBAC-111: política de contraseña que heredan los tenants creados desde esta aplicación.
+     *
+     * TOP-LEVEL (hermano de `autoregister`), NO dentro de `securityPolicy`: en la ficha del tenant
+     * ese sub-objeto lo reescribe entero el PUT de security-policy, y acá se mantiene la simetría.
+     *
+     * La herencia ocurre UNA sola vez, en el onboarding: cambiar este default después NO re-escribe
+     * la policy de los tenants ya creados, solo aplica a los futuros. Los 5 campos son opcionales;
+     * `tempValidityDays` no es per-tenant y por eso no está.
+     */
+    passwordPolicy?: {
+        minLength?: number;
+        requireUppercase?: boolean;
+        requireLowercase?: boolean;
+        requireNumber?: boolean;
+        requireSymbol?: boolean;
+    };
 }
 export interface SeedRole {
     roleId: string;

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -1,4 +1,5 @@
 import { TokenValidationMode } from '../enums/TokenValidationMode';
+import { PasswordPolicyInput } from './PasswordPolicyInput';
 /**
  * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
  * ambos campos son OPCIONALES: es un override del punto de partida — si se omite, el onboarding
@@ -47,4 +48,15 @@ export declare class CreateTenantRequest {
      * onboarding hereda `app.defaults.securityPolicy`. Aditivo, no rompe altas existentes.
      */
     securityPolicy?: CreateTenantSecurityPolicy;
+    /**
+     * DEC-RBAC-111: política de contraseña del tenant. Opcional: ausente ⇒ hereda
+     * `app.defaults.passwordPolicy` y, si tampoco está, la policy global del lambda.
+     *
+     * TOP-LEVEL a propósito, NO dentro de `securityPolicy`: ese sub-objeto lo reescribe entero el
+     * PUT de security-policy desde una lectura cacheada, y se llevaría puesta la passwordPolicy.
+     *
+     * INMUTABLE después del alta: alimenta la política nativa del user pool de Cognito, y no existe
+     * un update de pool (ver TD-RBAC-138 del platform-rbac-business).
+     */
+    passwordPolicy?: PasswordPolicyInput;
 }

package/bin/platformRbac/dtos/CreateTenantRequest.js

@@ -13,6 +13,7 @@ exports.CreateTenantRequest = exports.CreateTenantSecurityPolicy = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 const TokenValidationMode_1 = require("../enums/TokenValidationMode");
+const PasswordPolicyInput_1 = require("./PasswordPolicyInput");
 /**
  * Punto inicial de la política 2FA elegido en el alta del tenant (DEC-RBAC-064). Para el CREATE
  * ambos campos son OPCIONALES: es un override del punto de partida — si se omite, el onboarding
@@ -106,3 +107,10 @@ __decorate([
     (0, class_transformer_1.Type)(() => CreateTenantSecurityPolicy),
     __metadata("design:type", CreateTenantSecurityPolicy)
 ], CreateTenantRequest.prototype, "securityPolicy", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.ValidateNested)(),
+    (0, class_transformer_1.Type)(() => PasswordPolicyInput_1.PasswordPolicyInput),
+    __metadata("design:type", PasswordPolicyInput_1.PasswordPolicyInput)
+], CreateTenantRequest.prototype, "passwordPolicy", void 0);

package/bin/platformRbac/dtos/PasswordPolicyInput.d.ts

@@ -0,0 +1,30 @@
+/**
+ * DEC-RBAC-111: política de complejidad de contraseña de un tenant.
+ *
+ * Los 5 campos son OPCIONALES: un campo ausente cae a la plantilla de la aplicación
+ * (`ApplicationDefaults.passwordPolicy`) y, de ahí, a la policy global del lambda.
+ *
+ * Se usa en dos lugares, siempre TOP-LEVEL (nunca dentro de `securityPolicy`):
+ *  - `CreateTenantRequest.passwordPolicy` — override al crear el tenant.
+ *  - `ApplicationDefaults.passwordPolicy` — default de la plantilla que el tenant hereda.
+ *
+ * `tempValidityDays` NO está acá a propósito: la validez de la contraseña temporal no es per-tenant
+ * (es el único campo de la policy que no afecta la fuerza de la contraseña). Sale siempre de la
+ * env var global del lambda.
+ *
+ * El rango 6..99 de `minLength` es el que admite `PasswordPolicy.MinimumLength` de Cognito. Se valida
+ * ACÁ para que un valor fuera de rango se rechace en el borde: si llegara a `CreateUserPool`, la
+ * `InvalidParameterException` caería con la ficha del tenant ya escrita en estado 'provisioning',
+ * o sea dentro de la rama de compensación de la saga de onboarding.
+ *
+ * OJO: acá NO se valida el PISO (que la policy no sea más débil que la global). Ese piso depende de
+ * env vars del lambda; declararlo también en el type-kit sería una segunda fuente de verdad, en otro
+ * repo, que driftea en cuanto alguien cambia la env var. Lo decide el lambda.
+ */
+export declare class PasswordPolicyInput {
+    minLength?: number;
+    requireUppercase?: boolean;
+    requireLowercase?: boolean;
+    requireNumber?: boolean;
+    requireSymbol?: boolean;
+}

package/bin/platformRbac/dtos/PasswordPolicyInput.js

@@ -0,0 +1,72 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PasswordPolicyInput = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * DEC-RBAC-111: política de complejidad de contraseña de un tenant.
+ *
+ * Los 5 campos son OPCIONALES: un campo ausente cae a la plantilla de la aplicación
+ * (`ApplicationDefaults.passwordPolicy`) y, de ahí, a la policy global del lambda.
+ *
+ * Se usa en dos lugares, siempre TOP-LEVEL (nunca dentro de `securityPolicy`):
+ *  - `CreateTenantRequest.passwordPolicy` — override al crear el tenant.
+ *  - `ApplicationDefaults.passwordPolicy` — default de la plantilla que el tenant hereda.
+ *
+ * `tempValidityDays` NO está acá a propósito: la validez de la contraseña temporal no es per-tenant
+ * (es el único campo de la policy que no afecta la fuerza de la contraseña). Sale siempre de la
+ * env var global del lambda.
+ *
+ * El rango 6..99 de `minLength` es el que admite `PasswordPolicy.MinimumLength` de Cognito. Se valida
+ * ACÁ para que un valor fuera de rango se rechace en el borde: si llegara a `CreateUserPool`, la
+ * `InvalidParameterException` caería con la ficha del tenant ya escrita en estado 'provisioning',
+ * o sea dentro de la rama de compensación de la saga de onboarding.
+ *
+ * OJO: acá NO se valida el PISO (que la policy no sea más débil que la global). Ese piso depende de
+ * env vars del lambda; declararlo también en el type-kit sería una segunda fuente de verdad, en otro
+ * repo, que driftea en cuanto alguien cambia la env var. Lo decide el lambda.
+ */
+class PasswordPolicyInput {
+}
+exports.PasswordPolicyInput = PasswordPolicyInput;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsInt)(),
+    (0, class_validator_1.Min)(6),
+    (0, class_validator_1.Max)(99),
+    __metadata("design:type", Number)
+], PasswordPolicyInput.prototype, "minLength", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], PasswordPolicyInput.prototype, "requireUppercase", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], PasswordPolicyInput.prototype, "requireLowercase", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], PasswordPolicyInput.prototype, "requireNumber", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], PasswordPolicyInput.prototype, "requireSymbol", void 0);

package/bin/platformRbac/dtos/ResendOtpRequest.d.ts

@@ -0,0 +1,22 @@
+import { MfaMethodEnum } from '../enums/MfaMethodEnum';
+/**
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ */
+export declare class ResendOtpRequest {
+    email: string;
+    tenantId: string;
+}
+/**
+ * Respuesta del resend-otp. `session`/`mfaMethod` frescos del nuevo challenge CUSTOM_AUTH.
+ * Plain sin validators (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ * Ambos opcionales: en los caminos de rechazo silencioso (anti-enumeración) o ramas sin CUSTOM_AUTH
+ * el server responde 200 genérico sin session ni método.
+ */
+export interface ResendOtpResponse {
+    session?: string;
+    mfaMethod?: MfaMethodEnum;
+}

package/bin/platformRbac/dtos/{CompleteMyProfileRequest.js → ResendOtpRequest.js}

@@ -9,26 +9,28 @@ var __metadata = (this && this.__metadata) || function (k, v) {
     if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.CompleteMyProfileRequest = void 0;
+exports.ResendOtpRequest = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 /**
- * Body del PUT /me/profile/complete (autenticado, gate post-MFA del autoregistro). DEC-RBAC-034.
- * Opera sobre el propio usuario (cognitoSub del token). Valida nombre + los `userFieldDefs` requeridos
- * del tenant (422 MISSING_REQUIRED_FIELDS si faltan) y flipea `profileComplete=true`.
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
  */
-class CompleteMyProfileRequest {
+class ResendOtpRequest {
 }
-exports.CompleteMyProfileRequest = CompleteMyProfileRequest;
+exports.ResendOtpRequest = ResendOtpRequest;
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsEmail)(),
     (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
-], CompleteMyProfileRequest.prototype, "displayName", void 0);
+], ResendOtpRequest.prototype, "email", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsObject)(),
-    __metadata("design:type", Object)
-], CompleteMyProfileRequest.prototype, "customFields", void 0);
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendOtpRequest.prototype, "tenantId", void 0);

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+export declare class ResendSelfRegisterOtpRequest {
+    tenantId: string;
+    email: string;
+}

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.js

@@ -0,0 +1,36 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ResendSelfRegisterOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+class ResendSelfRegisterOtpRequest {
+}
+exports.ResendSelfRegisterOtpRequest = ResendSelfRegisterOtpRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "tenantId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "email", void 0);

package/bin/platformRbac/index.d.ts

@@ -27,6 +27,7 @@ export * from './dtos/AuthorizeRequest';
 export * from './dtos/AuthorizeResponse';
 export * from './dtos/CreateTenantRequest';
 export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
+export * from './dtos/PasswordPolicyInput';
 export type { TenantStatus } from './dtos/TenantStatus';
 export type { VerifyTenantInfraResponse } from './dtos/VerifyTenantInfraResponse';
 export type { TenantDetailResponse } from './dtos/TenantDetailResponse';

package/bin/platformRbac/index.js

@@ -63,6 +63,9 @@ __exportStar(require("./dtos/AuthorizeResponse"), exports);
 // F-11 — onboarding de tenant (POST backoffice createTenant). CreateTenantRequest lleva
 // decoradores class-validator → export de valor; CreateTenantResponse es interface → type-only.
 __exportStar(require("./dtos/CreateTenantRequest"), exports);
+// DEC-RBAC-111: policy de contraseña per-tenant. Lleva decoradores class-validator → export de valor.
+// La consumen CreateTenantRequest (override del alta) y ApplicationDefaults (default de la plantilla).
+__exportStar(require("./dtos/PasswordPolicyInput"), exports);
 // MFA por tenant — methodsAllowed (value-set 'EMAIL'|'TOTP', TD-RBAC-071, DEC-095).
 // UpdateTenantSecurityPolicyRequest lleva decoradores class-validator → export de valor;
 // TenantSecurityPolicyResponse es interface plain → type-only.