@fiado/type-kit 3.293.0 → 3.294.0

package/_test_/unit/platformRbac/enums/__snapshots__/permissionBits.test.ts.snap

@@ -1,6 +1,6 @@
 // Jest Snapshot v1, https://jestjs.io/docs/snapshot-testing
 
-exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `1018014330`;
+exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `3833769424`;
 
 exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe ante cualquier reorden/inserción) 1`] = `
 [
@@ -90,5 +90,10 @@ exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe an
   "level3.role.assign",
   "level3.role.revoke",
   "level3.audit.view",
+  "platform.integration.view",
+  "platform.integration.manage",
+  "platform.integration.key.issue",
+  "platform.integration.key.revoke",
+  "tenant.integration.diagnostic",
 ]
 `;

package/bin/benefitCenter/enums/BenefitFlowEnum.d.ts

@@ -0,0 +1,11 @@
+export declare enum BenefitFlowEnum {
+    TOPUPS = "TOPUPS",
+    BILL_PAYMENT = "BILL_PAYMENT",
+    CREDIT = "CREDIT",
+    INSURANCE = "INSURANCE",
+    DONATION = "DONATION",
+    PHARMACY = "PHARMACY",
+    REMITTANCE = "REMITTANCE",
+    /** Fondeo de wallet PCF con efectivo via provider externo (Equality/Passport, OpenPay, …) — spec 13. */
+    WALLET_FUNDING = "WALLET_FUNDING"
+}

package/bin/benefitCenter/enums/BenefitFlowEnum.js

@@ -0,0 +1,15 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.BenefitFlowEnum = void 0;
+var BenefitFlowEnum;
+(function (BenefitFlowEnum) {
+    BenefitFlowEnum["TOPUPS"] = "TOPUPS";
+    BenefitFlowEnum["BILL_PAYMENT"] = "BILL_PAYMENT";
+    BenefitFlowEnum["CREDIT"] = "CREDIT";
+    BenefitFlowEnum["INSURANCE"] = "INSURANCE";
+    BenefitFlowEnum["DONATION"] = "DONATION";
+    BenefitFlowEnum["PHARMACY"] = "PHARMACY";
+    BenefitFlowEnum["REMITTANCE"] = "REMITTANCE";
+    /** Fondeo de wallet PCF con efectivo via provider externo (Equality/Passport, OpenPay, …) — spec 13. */
+    BenefitFlowEnum["WALLET_FUNDING"] = "WALLET_FUNDING";
+})(BenefitFlowEnum || (exports.BenefitFlowEnum = BenefitFlowEnum = {}));

package/bin/loanConfig/enums/ModifiableByRoleEnum.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Rol RBAC mínimo que puede modificar un parámetro (RBAC a nivel de parámetro, modelo-datos §8).
+ * `retailer_admin` = "Admin VentasLuga" de M6 §8. Valores = identificadores de rol de RBAC F0.
+ * TD-004: confirmar mapeo super_admin ↔ platform_super_admin con el naming real de F0.
+ * @enum {string}
+ */
+export declare enum ModifiableByRoleEnum {
+    SUPER_ADMIN = "super_admin",
+    SOFOM_ADMIN = "sofom_admin",
+    RETAILER_ADMIN = "retailer_admin"
+}

package/bin/loanConfig/enums/ModifiableByRoleEnum.js

@@ -0,0 +1,15 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ModifiableByRoleEnum = void 0;
+/**
+ * Rol RBAC mínimo que puede modificar un parámetro (RBAC a nivel de parámetro, modelo-datos §8).
+ * `retailer_admin` = "Admin VentasLuga" de M6 §8. Valores = identificadores de rol de RBAC F0.
+ * TD-004: confirmar mapeo super_admin ↔ platform_super_admin con el naming real de F0.
+ * @enum {string}
+ */
+var ModifiableByRoleEnum;
+(function (ModifiableByRoleEnum) {
+    ModifiableByRoleEnum["SUPER_ADMIN"] = "super_admin";
+    ModifiableByRoleEnum["SOFOM_ADMIN"] = "sofom_admin";
+    ModifiableByRoleEnum["RETAILER_ADMIN"] = "retailer_admin";
+})(ModifiableByRoleEnum || (exports.ModifiableByRoleEnum = ModifiableByRoleEnum = {}));

package/bin/places/dtos/CashInFeeDto.d.ts

@@ -0,0 +1,17 @@
+import { CurrencyId } from '../../currency/enums/CurrencyId';
+/**
+ * Comisión que cobra un punto de cash-in (lo que el lambda MUESTRA, no cobra).
+ * - GreenDot (US): representativo por cadena → `fixed` + `cap` (cada tienda cobra hasta el tope).
+ * - Passport (MX): por red → `fixed` + `percentage`.
+ * Response DTO — sin decoradores de validación.
+ */
+export declare class CashInFeeDto {
+    /** Comisión fija, en la moneda del país. */
+    fixed?: number;
+    /** Porcentaje del monto depositado (0–100). */
+    percentage?: number;
+    /** Tope máximo de comisión (GreenDot: el asociado cobra hasta este cap). */
+    cap?: number;
+    /** Moneda del fee: USD (GreenDot) | MXN (Passport). */
+    currency: CurrencyId;
+}

package/bin/places/dtos/CashInFeeDto.js

@@ -0,0 +1,12 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CashInFeeDto = void 0;
+/**
+ * Comisión que cobra un punto de cash-in (lo que el lambda MUESTRA, no cobra).
+ * - GreenDot (US): representativo por cadena → `fixed` + `cap` (cada tienda cobra hasta el tope).
+ * - Passport (MX): por red → `fixed` + `percentage`.
+ * Response DTO — sin decoradores de validación.
+ */
+class CashInFeeDto {
+}
+exports.CashInFeeDto = CashInFeeDto;

package/bin/platformRbac/dtos/CreateIntegrationRequest.d.ts

@@ -0,0 +1,21 @@
+/**
+ * Body del POST /platform/tenants/{tenantId}/integrations. `tenantId` viaja en el path.
+ *
+ * Da de alta una integración M2M con un socio externo (DEC-RBAC-120/121). Los datos son del tenant
+ * pero **solo un usuario de plataforma** puede crearla.
+ *
+ * `roleId` es un rol del silo del tenant, elegido de los que ya existen — no se siembra uno
+ * especial. Está sujeto a las guardas anti-escalada: no puede contener permisos de administración
+ * de integraciones ni calcular scope PLATFORM (DEC-RBAC-122/126).
+ *
+ * `ipAllowlist` es OPCIONAL y su semántica es permisiva (spec §5): ausente, vacía o `['*']` ⇒ sin
+ * restricción de IP. Que se pueda apagar es deliberado; que se apague en silencio, no — por eso la
+ * pantalla marca las integraciones sin restricción.
+ */
+export declare class CreateIntegrationRequest {
+    displayName: string;
+    roleId: string;
+    ipAllowlist?: string[];
+    /** cognitoSub del operador real (audit + grantedBy del assignment). */
+    createdBy: string;
+}

package/bin/platformRbac/dtos/CreateIntegrationRequest.js

@@ -0,0 +1,57 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CreateIntegrationRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del POST /platform/tenants/{tenantId}/integrations. `tenantId` viaja en el path.
+ *
+ * Da de alta una integración M2M con un socio externo (DEC-RBAC-120/121). Los datos son del tenant
+ * pero **solo un usuario de plataforma** puede crearla.
+ *
+ * `roleId` es un rol del silo del tenant, elegido de los que ya existen — no se siembra uno
+ * especial. Está sujeto a las guardas anti-escalada: no puede contener permisos de administración
+ * de integraciones ni calcular scope PLATFORM (DEC-RBAC-122/126).
+ *
+ * `ipAllowlist` es OPCIONAL y su semántica es permisiva (spec §5): ausente, vacía o `['*']` ⇒ sin
+ * restricción de IP. Que se pueda apagar es deliberado; que se apague en silencio, no — por eso la
+ * pantalla marca las integraciones sin restricción.
+ */
+class CreateIntegrationRequest {
+}
+exports.CreateIntegrationRequest = CreateIntegrationRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], CreateIntegrationRequest.prototype, "displayName", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], CreateIntegrationRequest.prototype, "roleId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayNotEmpty)(),
+    (0, class_validator_1.IsString)({ each: true }),
+    __metadata("design:type", Array)
+], CreateIntegrationRequest.prototype, "ipAllowlist", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], CreateIntegrationRequest.prototype, "createdBy", void 0);

package/bin/platformRbac/dtos/IntegrationKeyResponse.d.ts

@@ -0,0 +1,39 @@
+/**
+ * Estado de una llave. NO existe `ROTATING`: rotar es emitir una segunda llave y revocar la vieja,
+ * con las dos activas mientras dura la migración del socio.
+ */
+export type IntegrationKeyStatusValue = 'ACTIVE' | 'REVOKED';
+/**
+ * Una llave, tal como la devuelve el listado.
+ *
+ * 🔴 **NUNCA lleva el secreto ni el `secretHash`.** El secreto en claro se devuelve exactamente una
+ * vez, en la respuesta del POST que lo emite (`IssueIntegrationKeyResponse`), y no existe ningún
+ * endpoint que lo lea de vuelta.
+ *
+ * `lastUsedAt` y `lastUsedIp` los escribe el authorizer W5, con throttle: sirven para detectar una
+ * integración que dejó de llamar, que es uno de los dos incidentes clásicos de un canal M2M.
+ */
+export interface IntegrationKeyResponse {
+    keyId: string;
+    integrationId: string;
+    status: IntegrationKeyStatusValue;
+    /** epoch ms. Ausente = no vence. */
+    expiresAt?: number;
+    lastUsedAt?: number;
+    lastUsedIp?: string;
+    createdAt: number;
+    createdBy?: string;
+    revokedAt?: number;
+    revokedBy?: string;
+}
+/**
+ * Respuesta del POST que emite una llave. **El único lugar de todo el sistema donde el secreto
+ * viaja en claro.**
+ *
+ * Quien lo consuma tiene que mostrarlo una sola vez y no persistirlo: no hay forma de recuperarlo
+ * después, porque en base solo queda su hash. Si se pierde, se emite otra llave.
+ */
+export interface IssueIntegrationKeyResponse extends IntegrationKeyResponse {
+    /** `fdo_sk.<keyId>.<secreto>` — se muestra UNA vez y no se vuelve a poder leer. */
+    token: string;
+}

package/bin/platformRbac/dtos/IntegrationKeyResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/IntegrationResponse.d.ts

@@ -0,0 +1,25 @@
+/** Estado de una integración. Suspender corta TODAS sus llaves de una. */
+export type IntegrationStatusValue = 'ACTIVE' | 'SUSPENDED';
+/**
+ * Una integración, tal como la devuelven el GET de detalle y el listado.
+ *
+ * NO lleva nada del secreto de sus llaves — ni el valor ni el hash. Para eso está
+ * `IntegrationKeyResponse`, que tampoco los lleva.
+ */
+export interface IntegrationResponse {
+    integrationId: string;
+    tenantId: string;
+    displayName: string;
+    status: IntegrationStatusValue;
+    /** Rol del silo que porta esta integración. */
+    roleId: string;
+    /**
+     * CIDRs permitidos. Vacío o `['*']` ⇒ **sin restricción de IP** (spec §5).
+     * El front lo marca visiblemente en la lista: la protección se puede apagar, pero no en silencio.
+     */
+    ipAllowlist: string[];
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+}

package/bin/platformRbac/dtos/IntegrationResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/IntegrationWhoamiResponse.d.ts

@@ -0,0 +1,21 @@
+/**
+ * Respuesta del endpoint de diagnóstico del authorizer W5.
+ *
+ * Devuelve **el principal ya resuelto**, no un "ok". Eso es lo que lo hace útil como prueba de la
+ * cadena completa: no verifica que el request pase, sino que haya resuelto como quien debía —
+ * con el tenant correcto y con los permisos que su rol otorga.
+ *
+ * 🔴 Endpoint TEMPORAL, solo dev: expone la lista de permisos del principal. Se saca antes de
+ * producción (el permiso `tenant.integration.diagnostic` en cambio se queda, marcado deprecado:
+ * quitarlo del enum rompería la cobertura bidireccional del catálogo y dejaría
+ * `UnknownPermissionError` en cualquier rol ya sembrado con él).
+ */
+export interface IntegrationWhoamiResponse {
+    principalType: 'INTEGRATION';
+    /** Con prefijo `INT#`. */
+    principalId: string;
+    integrationId: string;
+    tenantId: string;
+    /** Los permisos que resolvió el RBAC para este principal — el punto de la prueba. */
+    permissions: string[];
+}

package/bin/platformRbac/dtos/IntegrationWhoamiResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/dtos/ResendOtpRequest.d.ts

@@ -0,0 +1,22 @@
+import { MfaMethodEnum } from '../enums/MfaMethodEnum';
+/**
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ */
+export declare class ResendOtpRequest {
+    email: string;
+    tenantId: string;
+}
+/**
+ * Respuesta del resend-otp. `session`/`mfaMethod` frescos del nuevo challenge CUSTOM_AUTH.
+ * Plain sin validators (no validamos lo que mandamos al cliente — fiado-validation-and-dtos § 7).
+ * Ambos opcionales: en los caminos de rechazo silencioso (anti-enumeración) o ramas sin CUSTOM_AUTH
+ * el server responde 200 genérico sin session ni método.
+ */
+export interface ResendOtpResponse {
+    session?: string;
+    mfaMethod?: MfaMethodEnum;
+}

package/bin/platformRbac/dtos/ResendOtpRequest.js

@@ -0,0 +1,36 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ResendOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del POST /auth/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Reenvía el OTP del login re-disparando el challenge real CUSTOM_AUTH (EMAIL_OTP) para la
+ * identidad SIN password. `tenantId` obligatorio (DEC-064 — el picker ya lo resolvió, NO "solo email").
+ * El email se normaliza lowercase server-side. Postura anti-enumeración: respuesta 200 genérica
+ * siempre, sin filtrar existencia (ver AuthLoginManager.resendChallengeOtp).
+ */
+class ResendOtpRequest {
+}
+exports.ResendOtpRequest = ResendOtpRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendOtpRequest.prototype, "email", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendOtpRequest.prototype, "tenantId", void 0);

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+export declare class ResendSelfRegisterOtpRequest {
+    tenantId: string;
+    email: string;
+}

package/bin/platformRbac/dtos/ResendSelfRegisterOtpRequest.js

@@ -0,0 +1,36 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.ResendSelfRegisterOtpRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del POST /self-register/resend-otp (público, anónimo). DEC-RBAC-054.
+ * Re-envía el OTP del autoregistro (mecanismo messages-business, NO Cognito) tras validar un
+ * `pending` existente. Misma postura anti-enumeración del start. El email se normaliza lowercase
+ * server-side. DTO propio por endpoint (NO reusa SelfRegisterStartRequest, que exige roleId/scope/
+ * scopeRef, ni SelfRegisterVerifyOtpRequest, que exige otp).
+ */
+class ResendSelfRegisterOtpRequest {
+}
+exports.ResendSelfRegisterOtpRequest = ResendSelfRegisterOtpRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "tenantId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEmail)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], ResendSelfRegisterOtpRequest.prototype, "email", void 0);

package/bin/platformRbac/dtos/UpdateIntegrationRequest.d.ts

@@ -0,0 +1,18 @@
+/**
+ * Body del PUT /platform/tenants/{tenantId}/integrations/{integrationId}.
+ *
+ * ⚠️ **Semántica de MERGE, no de reemplazo**: solo se actualiza lo que venga. Un campo ausente se
+ * deja como está, NO se borra.
+ *
+ * Es PUT y no PATCH porque `PATCH` no existe en este stack — el enum `HttpMethod` del
+ * `@fiado/gateway-adapter` tiene GET/POST/PUT/DELETE, y el CORS y los `GatewayResponses` tampoco lo
+ * listan. Mismo precedente que `backofficeUpdateTenantUserField`.
+ *
+ * El merge no es cosmético: con reemplazo total, un body que omitiera `ipAllowlist` la borraría, y
+ * eso apagaría el filtro por IP de la integración sin que nadie lo pidiera.
+ */
+export declare class UpdateIntegrationRequest {
+    displayName?: string;
+    ipAllowlist?: string[];
+    updatedBy: string;
+}

package/bin/platformRbac/dtos/UpdateIntegrationRequest.js

@@ -0,0 +1,51 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.UpdateIntegrationRequest = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Body del PUT /platform/tenants/{tenantId}/integrations/{integrationId}.
+ *
+ * ⚠️ **Semántica de MERGE, no de reemplazo**: solo se actualiza lo que venga. Un campo ausente se
+ * deja como está, NO se borra.
+ *
+ * Es PUT y no PATCH porque `PATCH` no existe en este stack — el enum `HttpMethod` del
+ * `@fiado/gateway-adapter` tiene GET/POST/PUT/DELETE, y el CORS y los `GatewayResponses` tampoco lo
+ * listan. Mismo precedente que `backofficeUpdateTenantUserField`.
+ *
+ * El merge no es cosmético: con reemplazo total, un body que omitiera `ipAllowlist` la borraría, y
+ * eso apagaría el filtro por IP de la integración sin que nadie lo pidiera.
+ */
+class UpdateIntegrationRequest {
+}
+exports.UpdateIntegrationRequest = UpdateIntegrationRequest;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], UpdateIntegrationRequest.prototype, "displayName", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayNotEmpty)(),
+    (0, class_validator_1.IsString)({ each: true }),
+    __metadata("design:type", Array)
+], UpdateIntegrationRequest.prototype, "ipAllowlist", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], UpdateIntegrationRequest.prototype, "updatedBy", void 0);

package/bin/platformRbac/enums/Permission.d.ts

@@ -114,7 +114,12 @@ export declare enum Permission {
     LEVEL3_ROLE_DELETE = "level3.role.delete",
     LEVEL3_ROLE_ASSIGN = "level3.role.assign",
     LEVEL3_ROLE_REVOKE = "level3.role.revoke",
-    LEVEL3_AUDIT_VIEW = "level3.audit.view"
+    LEVEL3_AUDIT_VIEW = "level3.audit.view",
+    PLATFORM_INTEGRATION_VIEW = "platform.integration.view",
+    PLATFORM_INTEGRATION_MANAGE = "platform.integration.manage",
+    PLATFORM_INTEGRATION_KEY_ISSUE = "platform.integration.key.issue",
+    PLATFORM_INTEGRATION_KEY_REVOKE = "platform.integration.key.revoke",
+    TENANT_INTEGRATION_DIAGNOSTIC = "tenant.integration.diagnostic"
 }
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.

package/bin/platformRbac/enums/Permission.js

@@ -149,6 +149,21 @@ var Permission;
     Permission["LEVEL3_ROLE_ASSIGN"] = "level3.role.assign";
     Permission["LEVEL3_ROLE_REVOKE"] = "level3.role.revoke";
     Permission["LEVEL3_AUDIT_VIEW"] = "level3.audit.view";
+    // Append-only 2026-08-10 (DEC-RBAC-120/121/126): integraciones M2M con socios externos.
+    // Los cuatro de ADMINISTRACIÓN son scope PLATFORM: los datos de la integración son del tenant,
+    // pero solo un usuario de plataforma la crea, rota o revoca. Son además el set exacto que la
+    // guarda 1 prohíbe asignarle a un principal `INT#` — una integración jamás puede administrarse
+    // a sí misma.
+    Permission["PLATFORM_INTEGRATION_VIEW"] = "platform.integration.view";
+    Permission["PLATFORM_INTEGRATION_MANAGE"] = "platform.integration.manage";
+    Permission["PLATFORM_INTEGRATION_KEY_ISSUE"] = "platform.integration.key.issue";
+    Permission["PLATFORM_INTEGRATION_KEY_REVOKE"] = "platform.integration.key.revoke";
+    // DEC-RBAC-126: el endpoint de diagnóstico del authorizer W5 lo llama la INTEGRACIÓN, no un
+    // humano — y una integración NUNCA puede portar permisos de scope PLATFORM (computeRoleScope
+    // toma el MAX de los scopes del rol, así que uno solo lo volvería PLATFORM con scopeRef '*').
+    // Por eso este es TENANT-scoped. Y por eso NO entra en el set de la guarda 1: no administra
+    // nada, solo devuelve quién sos.
+    Permission["TENANT_INTEGRATION_DIAGNOSTIC"] = "tenant.integration.diagnostic";
 })(Permission || (exports.Permission = Permission = {}));
 /**
  * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
@@ -261,6 +276,13 @@ exports.PERMISSION_BIT_ORDER = [
     Permission.LEVEL3_ROLE_ASSIGN,
     Permission.LEVEL3_ROLE_REVOKE,
     Permission.LEVEL3_AUDIT_VIEW,
+    // Append-only 2026-08-10 (DEC-RBAC-120/126): integraciones M2M. Van AL FINAL y en este orden,
+    // nunca intercalados: reordenar desalinearía los bits de los tokens ya emitidos.
+    Permission.PLATFORM_INTEGRATION_VIEW,
+    Permission.PLATFORM_INTEGRATION_MANAGE,
+    Permission.PLATFORM_INTEGRATION_KEY_ISSUE,
+    Permission.PLATFORM_INTEGRATION_KEY_REVOKE,
+    Permission.TENANT_INTEGRATION_DIAGNOSTIC,
 ];
 function djb2(input) {
     let h = 5381;

package/bin/platformRbac/index.d.ts

@@ -55,3 +55,8 @@ export * from './dtos/CreateLevelEntityRequest';
 export type { CreateLevelEntityResponse } from './dtos/CreateLevelEntityResponse';
 export * from './dtos/CreateTenantUserRequest';
 export type { CreateTenantUserResponse } from './dtos/CreateTenantUserResponse';
+export * from './dtos/CreateIntegrationRequest';
+export * from './dtos/UpdateIntegrationRequest';
+export type { IntegrationResponse, IntegrationStatusValue } from './dtos/IntegrationResponse';
+export type { IntegrationKeyResponse, IntegrationKeyStatusValue, IssueIntegrationKeyResponse, } from './dtos/IntegrationKeyResponse';
+export type { IntegrationWhoamiResponse } from './dtos/IntegrationWhoamiResponse';

package/bin/platformRbac/index.js

@@ -111,3 +111,7 @@ __exportStar(require("./dtos/SelfRegisterCompleteRequest"), exports);
 // Response son interfaces plain → type-only. Consumidos por retail-org vía api-invoker (Publisher).
 __exportStar(require("./dtos/CreateLevelEntityRequest"), exports);
 __exportStar(require("./dtos/CreateTenantUserRequest"), exports);
+// DEC-RBAC-120/121/126: integraciones M2M con socios externos (API keys como principal del RBAC).
+// Los requests van como clase (class-validator); las responses como tipo.
+__exportStar(require("./dtos/CreateIntegrationRequest"), exports);
+__exportStar(require("./dtos/UpdateIntegrationRequest"), exports);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.293.0",
+  "version": "3.294.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/dtos/CreateIntegrationRequest.ts

@@ -0,0 +1,24 @@
+import { Expose } from 'class-transformer';
+import { ArrayNotEmpty, IsArray, IsNotEmpty, IsOptional, IsString } from 'class-validator';
+
+/**
+ * Body del POST /platform/tenants/{tenantId}/integrations. `tenantId` viaja en el path.
+ *
+ * Da de alta una integración M2M con un socio externo (DEC-RBAC-120/121). Los datos son del tenant
+ * pero **solo un usuario de plataforma** puede crearla.
+ *
+ * `roleId` es un rol del silo del tenant, elegido de los que ya existen — no se siembra uno
+ * especial. Está sujeto a las guardas anti-escalada: no puede contener permisos de administración
+ * de integraciones ni calcular scope PLATFORM (DEC-RBAC-122/126).
+ *
+ * `ipAllowlist` es OPCIONAL y su semántica es permisiva (spec §5): ausente, vacía o `['*']` ⇒ sin
+ * restricción de IP. Que se pueda apagar es deliberado; que se apague en silencio, no — por eso la
+ * pantalla marca las integraciones sin restricción.
+ */
+export class CreateIntegrationRequest {
+    @Expose() @IsString() @IsNotEmpty() displayName!: string;
+    @Expose() @IsString() @IsNotEmpty() roleId!: string;
+    @Expose() @IsOptional() @IsArray() @ArrayNotEmpty() @IsString({ each: true }) ipAllowlist?: string[];
+    /** cognitoSub del operador real (audit + grantedBy del assignment). */
+    @Expose() @IsString() @IsNotEmpty() createdBy!: string;
+}

package/src/platformRbac/dtos/IntegrationKeyResponse.ts

@@ -0,0 +1,41 @@
+/**
+ * Estado de una llave. NO existe `ROTATING`: rotar es emitir una segunda llave y revocar la vieja,
+ * con las dos activas mientras dura la migración del socio.
+ */
+export type IntegrationKeyStatusValue = 'ACTIVE' | 'REVOKED';
+
+/**
+ * Una llave, tal como la devuelve el listado.
+ *
+ * 🔴 **NUNCA lleva el secreto ni el `secretHash`.** El secreto en claro se devuelve exactamente una
+ * vez, en la respuesta del POST que lo emite (`IssueIntegrationKeyResponse`), y no existe ningún
+ * endpoint que lo lea de vuelta.
+ *
+ * `lastUsedAt` y `lastUsedIp` los escribe el authorizer W5, con throttle: sirven para detectar una
+ * integración que dejó de llamar, que es uno de los dos incidentes clásicos de un canal M2M.
+ */
+export interface IntegrationKeyResponse {
+    keyId: string;
+    integrationId: string;
+    status: IntegrationKeyStatusValue;
+    /** epoch ms. Ausente = no vence. */
+    expiresAt?: number;
+    lastUsedAt?: number;
+    lastUsedIp?: string;
+    createdAt: number;
+    createdBy?: string;
+    revokedAt?: number;
+    revokedBy?: string;
+}
+
+/**
+ * Respuesta del POST que emite una llave. **El único lugar de todo el sistema donde el secreto
+ * viaja en claro.**
+ *
+ * Quien lo consuma tiene que mostrarlo una sola vez y no persistirlo: no hay forma de recuperarlo
+ * después, porque en base solo queda su hash. Si se pierde, se emite otra llave.
+ */
+export interface IssueIntegrationKeyResponse extends IntegrationKeyResponse {
+    /** `fdo_sk.<keyId>.<secreto>` — se muestra UNA vez y no se vuelve a poder leer. */
+    token: string;
+}

package/src/platformRbac/dtos/IntegrationResponse.ts

@@ -0,0 +1,26 @@
+/** Estado de una integración. Suspender corta TODAS sus llaves de una. */
+export type IntegrationStatusValue = 'ACTIVE' | 'SUSPENDED';
+
+/**
+ * Una integración, tal como la devuelven el GET de detalle y el listado.
+ *
+ * NO lleva nada del secreto de sus llaves — ni el valor ni el hash. Para eso está
+ * `IntegrationKeyResponse`, que tampoco los lleva.
+ */
+export interface IntegrationResponse {
+    integrationId: string;
+    tenantId: string;
+    displayName: string;
+    status: IntegrationStatusValue;
+    /** Rol del silo que porta esta integración. */
+    roleId: string;
+    /**
+     * CIDRs permitidos. Vacío o `['*']` ⇒ **sin restricción de IP** (spec §5).
+     * El front lo marca visiblemente en la lista: la protección se puede apagar, pero no en silencio.
+     */
+    ipAllowlist: string[];
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+}

package/src/platformRbac/dtos/IntegrationWhoamiResponse.ts

@@ -0,0 +1,21 @@
+/**
+ * Respuesta del endpoint de diagnóstico del authorizer W5.
+ *
+ * Devuelve **el principal ya resuelto**, no un "ok". Eso es lo que lo hace útil como prueba de la
+ * cadena completa: no verifica que el request pase, sino que haya resuelto como quien debía —
+ * con el tenant correcto y con los permisos que su rol otorga.
+ *
+ * 🔴 Endpoint TEMPORAL, solo dev: expone la lista de permisos del principal. Se saca antes de
+ * producción (el permiso `tenant.integration.diagnostic` en cambio se queda, marcado deprecado:
+ * quitarlo del enum rompería la cobertura bidireccional del catálogo y dejaría
+ * `UnknownPermissionError` en cualquier rol ya sembrado con él).
+ */
+export interface IntegrationWhoamiResponse {
+    principalType: 'INTEGRATION';
+    /** Con prefijo `INT#`. */
+    principalId: string;
+    integrationId: string;
+    tenantId: string;
+    /** Los permisos que resolvió el RBAC para este principal — el punto de la prueba. */
+    permissions: string[];
+}

package/src/platformRbac/dtos/UpdateIntegrationRequest.ts

@@ -0,0 +1,21 @@
+import { Expose } from 'class-transformer';
+import { ArrayNotEmpty, IsArray, IsNotEmpty, IsOptional, IsString } from 'class-validator';
+
+/**
+ * Body del PUT /platform/tenants/{tenantId}/integrations/{integrationId}.
+ *
+ * ⚠️ **Semántica de MERGE, no de reemplazo**: solo se actualiza lo que venga. Un campo ausente se
+ * deja como está, NO se borra.
+ *
+ * Es PUT y no PATCH porque `PATCH` no existe en este stack — el enum `HttpMethod` del
+ * `@fiado/gateway-adapter` tiene GET/POST/PUT/DELETE, y el CORS y los `GatewayResponses` tampoco lo
+ * listan. Mismo precedente que `backofficeUpdateTenantUserField`.
+ *
+ * El merge no es cosmético: con reemplazo total, un body que omitiera `ipAllowlist` la borraría, y
+ * eso apagaría el filtro por IP de la integración sin que nadie lo pidiera.
+ */
+export class UpdateIntegrationRequest {
+    @Expose() @IsOptional() @IsString() @IsNotEmpty() displayName?: string;
+    @Expose() @IsOptional() @IsArray() @ArrayNotEmpty() @IsString({ each: true }) ipAllowlist?: string[];
+    @Expose() @IsString() @IsNotEmpty() updatedBy!: string;
+}

package/src/platformRbac/enums/Permission.ts

@@ -146,6 +146,23 @@ export enum Permission {
     LEVEL3_ROLE_ASSIGN = 'level3.role.assign',
     LEVEL3_ROLE_REVOKE = 'level3.role.revoke',
     LEVEL3_AUDIT_VIEW = 'level3.audit.view',
+
+    // Append-only 2026-08-10 (DEC-RBAC-120/121/126): integraciones M2M con socios externos.
+    // Los cuatro de ADMINISTRACIÓN son scope PLATFORM: los datos de la integración son del tenant,
+    // pero solo un usuario de plataforma la crea, rota o revoca. Son además el set exacto que la
+    // guarda 1 prohíbe asignarle a un principal `INT#` — una integración jamás puede administrarse
+    // a sí misma.
+    PLATFORM_INTEGRATION_VIEW = 'platform.integration.view',
+    PLATFORM_INTEGRATION_MANAGE = 'platform.integration.manage',
+    PLATFORM_INTEGRATION_KEY_ISSUE = 'platform.integration.key.issue',
+    PLATFORM_INTEGRATION_KEY_REVOKE = 'platform.integration.key.revoke',
+
+    // DEC-RBAC-126: el endpoint de diagnóstico del authorizer W5 lo llama la INTEGRACIÓN, no un
+    // humano — y una integración NUNCA puede portar permisos de scope PLATFORM (computeRoleScope
+    // toma el MAX de los scopes del rol, así que uno solo lo volvería PLATFORM con scopeRef '*').
+    // Por eso este es TENANT-scoped. Y por eso NO entra en el set de la guarda 1: no administra
+    // nada, solo devuelve quién sos.
+    TENANT_INTEGRATION_DIAGNOSTIC = 'tenant.integration.diagnostic',
 }
 
 /**
@@ -259,6 +276,13 @@ export const PERMISSION_BIT_ORDER: readonly Permission[] = [
     Permission.LEVEL3_ROLE_ASSIGN,
     Permission.LEVEL3_ROLE_REVOKE,
     Permission.LEVEL3_AUDIT_VIEW,
+    // Append-only 2026-08-10 (DEC-RBAC-120/126): integraciones M2M. Van AL FINAL y en este orden,
+    // nunca intercalados: reordenar desalinearía los bits de los tokens ya emitidos.
+    Permission.PLATFORM_INTEGRATION_VIEW,
+    Permission.PLATFORM_INTEGRATION_MANAGE,
+    Permission.PLATFORM_INTEGRATION_KEY_ISSUE,
+    Permission.PLATFORM_INTEGRATION_KEY_REVOKE,
+    Permission.TENANT_INTEGRATION_DIAGNOSTIC,
 ] as const;
 
 function djb2(input: string): number {

package/src/platformRbac/index.ts

@@ -138,3 +138,15 @@ export * from './dtos/CreateLevelEntityRequest';
 export type { CreateLevelEntityResponse } from './dtos/CreateLevelEntityResponse';
 export * from './dtos/CreateTenantUserRequest';
 export type { CreateTenantUserResponse } from './dtos/CreateTenantUserResponse';
+
+// DEC-RBAC-120/121/126: integraciones M2M con socios externos (API keys como principal del RBAC).
+// Los requests van como clase (class-validator); las responses como tipo.
+export * from './dtos/CreateIntegrationRequest';
+export * from './dtos/UpdateIntegrationRequest';
+export type { IntegrationResponse, IntegrationStatusValue } from './dtos/IntegrationResponse';
+export type {
+    IntegrationKeyResponse,
+    IntegrationKeyStatusValue,
+    IssueIntegrationKeyResponse,
+} from './dtos/IntegrationKeyResponse';
+export type { IntegrationWhoamiResponse } from './dtos/IntegrationWhoamiResponse';

package/bin/loanCredit/dtos/requests/UpdateActivationChecklistRequest.d.ts

@@ -1,11 +0,0 @@
-/**
- * Body de PUT /credits/:creditId/checklist (loan-credit-business). Marca condiciones de activación
- * cumplidas. Solo se mandan las que cambian; en F3 las marcarán los flujos de firma de contrato
- * (`downPayment` + `contractSigned`) y de enrolamiento MDM (`imeiEnrolled` + `lockVerified`).
- */
-export declare class UpdateActivationChecklistRequest {
-    downPayment?: boolean;
-    contractSigned?: boolean;
-    imeiEnrolled?: boolean;
-    lockVerified?: boolean;
-}

package/bin/loanCredit/dtos/requests/UpdateActivationChecklistRequest.js

@@ -1,46 +0,0 @@
-"use strict";
-var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
-    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
-    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
-    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
-    return c > 3 && r && Object.defineProperty(target, key, r), r;
-};
-var __metadata = (this && this.__metadata) || function (k, v) {
-    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
-};
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.UpdateActivationChecklistRequest = void 0;
-const class_transformer_1 = require("class-transformer");
-const class_validator_1 = require("class-validator");
-/**
- * Body de PUT /credits/:creditId/checklist (loan-credit-business). Marca condiciones de activación
- * cumplidas. Solo se mandan las que cambian; en F3 las marcarán los flujos de firma de contrato
- * (`downPayment` + `contractSigned`) y de enrolamiento MDM (`imeiEnrolled` + `lockVerified`).
- */
-class UpdateActivationChecklistRequest {
-}
-exports.UpdateActivationChecklistRequest = UpdateActivationChecklistRequest;
-__decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsBoolean)(),
-    __metadata("design:type", Boolean)
-], UpdateActivationChecklistRequest.prototype, "downPayment", void 0);
-__decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsBoolean)(),
-    __metadata("design:type", Boolean)
-], UpdateActivationChecklistRequest.prototype, "contractSigned", void 0);
-__decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsBoolean)(),
-    __metadata("design:type", Boolean)
-], UpdateActivationChecklistRequest.prototype, "imeiEnrolled", void 0);
-__decorate([
-    (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsOptional)(),
-    (0, class_validator_1.IsBoolean)(),
-    __metadata("design:type", Boolean)
-], UpdateActivationChecklistRequest.prototype, "lockVerified", void 0);

package/bin/loanCredit/enums/ClientLevelEnum.d.ts

@@ -1,11 +0,0 @@
-/**
- * Nivel del cliente según su SCI (M7/05_MOTOR §3.2): 21-60 Bronce · 61-80 Plata · 81-100 Oro.
- * Distinto de `CreditPlanLevelEnum` de loanOfferings (que además tiene `ALL` para planes):
- * un CLIENTE nunca es `ALL`.
- * @enum {string}
- */
-export declare enum ClientLevelEnum {
-    BRONZE = "BRONZE",
-    SILVER = "SILVER",
-    GOLD = "GOLD"
-}

package/bin/loanCredit/enums/ClientLevelEnum.js

@@ -1,15 +0,0 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.ClientLevelEnum = void 0;
-/**
- * Nivel del cliente según su SCI (M7/05_MOTOR §3.2): 21-60 Bronce · 61-80 Plata · 81-100 Oro.
- * Distinto de `CreditPlanLevelEnum` de loanOfferings (que además tiene `ALL` para planes):
- * un CLIENTE nunca es `ALL`.
- * @enum {string}
- */
-var ClientLevelEnum;
-(function (ClientLevelEnum) {
-    ClientLevelEnum["BRONZE"] = "BRONZE";
-    ClientLevelEnum["SILVER"] = "SILVER";
-    ClientLevelEnum["GOLD"] = "GOLD";
-})(ClientLevelEnum || (exports.ClientLevelEnum = ClientLevelEnum = {}));