@fiado/type-kit 3.405.0 → 3.407.0

package/_test_/unit/biometrics/BiometricReferenceSourceEnum.test.ts

@@ -0,0 +1,18 @@
+import 'reflect-metadata';
+import { BiometricReferenceSourceEnum } from '../../../src/biometrics/index';
+
+describe('BiometricReferenceSourceEnum', () => {
+  it('tiene exactamente los tres valores del contrato', () => {
+    expect(Object.values(BiometricReferenceSourceEnum).sort()).toEqual([
+      'CALLER_PROVIDED',
+      'ID_DOCUMENT',
+      'KYC_SELFIE',
+    ]);
+  });
+
+  it('cada clave es igual a su valor', () => {
+    for (const [clave, valor] of Object.entries(BiometricReferenceSourceEnum)) {
+      expect(clave).toBe(valor);
+    }
+  });
+});

package/_test_/unit/biometrics/BiometricVerificationResponse.test.ts

@@ -0,0 +1,63 @@
+import 'reflect-metadata';
+import { plainToInstance } from 'class-transformer';
+import { validate } from 'class-validator';
+import {
+  BiometricVerificationResponse,
+  BiometricReferenceSourceEnum,
+} from '../../../src/biometrics/index';
+
+/** La respuesta mínima válida: todos los campos obligatorios del contrato. */
+const base = {
+  biometricVerificationId: 'bio-1',
+  type: 'FACEMATCH',
+  provider: 'METAMAP',
+  directoryId: 'dir-1',
+  status: 'IN_PROGRESS',
+  result: 'UNKNOWN',
+  deliveryMode: 'REDIRECT',
+  delivery: { link: 'https://sk.fiado.test/abc', expiresAt: '2026-09-04T17:00:00.000Z' },
+  referenceImageSource: 'KYC_SELFIE',
+  createdAt: '2026-09-04T16:00:00.000Z',
+  updatedAt: '2026-09-04T16:00:00.000Z',
+  expiresAt: '2026-09-04T17:00:00.000Z',
+};
+
+const instancia = (raw: Record<string, unknown>): BiometricVerificationResponse =>
+  plainToInstance(BiometricVerificationResponse, raw, { excludeExtraneousValues: true });
+
+const propiedadesConError = async (raw: Record<string, unknown>): Promise<string[]> =>
+  (await validate(instancia(raw) as object)).map((e) => e.property);
+
+describe('BiometricVerificationResponse', () => {
+  it('valida la respuesta mínima', async () => {
+    expect(await propiedadesConError(base)).toEqual([]);
+  });
+
+  /**
+   * El eco de contra qué foto se comparó. Acá sí entran los TRES valores: `CALLER_PROVIDED` es de
+   * salida y decir `KYC_SELFIE` cuando la foto la puso el caller sería mentir sobre la comparación.
+   */
+  describe('referenceImageSource', () => {
+    it.each(['KYC_SELFIE', 'ID_DOCUMENT', 'CALLER_PROVIDED'])('acepta %s', async (fuente) => {
+      const dto = instancia({ ...base, referenceImageSource: fuente });
+
+      expect(await validate(dto as object)).toHaveLength(0);
+      expect(dto.referenceImageSource).toBe(fuente);
+    });
+
+    it('rechaza la respuesta sin referenceImageSource: siempre viene poblado', async () => {
+      const { referenceImageSource: _omitido, ...sinFuente } = base;
+
+      expect(await propiedadesConError(sinFuente)).toContain('referenceImageSource');
+    });
+
+    it('rechaza un valor fuera del enum', async () => {
+      expect(await propiedadesConError({ ...base, referenceImageSource: 'PROFILE_PICTURE' }))
+        .toContain('referenceImageSource');
+    });
+
+    it('sobrevive al plainToInstance con excludeExtraneousValues (lleva @Expose)', () => {
+      expect(instancia(base).referenceImageSource).toBe(BiometricReferenceSourceEnum.KYC_SELFIE);
+    });
+  });
+});

package/_test_/unit/biometrics/CreateBiometricVerificationRequest.test.ts

@@ -5,6 +5,7 @@ import {
   CreateBiometricVerificationRequest,
   BiometricProviderEnum,
   BiometricTypeEnum,
+  BiometricReferenceSourceEnum,
 } from '../../../src/biometrics/index';
 
 /** El request mínimo válido: los 4 campos obligatorios. */
@@ -133,4 +134,60 @@ describe('CreateBiometricVerificationRequest', () => {
       expect(instancia({ ...base, deliveryMode: 'EMBEDDED_SDK' }).deliveryMode).toBe('EMBEDDED_SDK');
     });
   });
+
+  /**
+   * `referenceImageSource` elige contra QUÉ foto se compara. Solo dos de los tres valores del enum
+   * son legales de entrada: `CALLER_PROVIDED` lo emite la respuesta, no lo pide el caller.
+   */
+  describe('referenceImageSource', () => {
+    it('acepta ID_DOCUMENT', async () => {
+      const dto = instancia({ ...base, referenceImageSource: 'ID_DOCUMENT' });
+
+      expect(await validate(dto as object)).toHaveLength(0);
+      expect(dto.referenceImageSource).toBe(BiometricReferenceSourceEnum.ID_DOCUMENT);
+    });
+
+    it('acepta KYC_SELFIE', async () => {
+      const dto = instancia({ ...base, referenceImageSource: 'KYC_SELFIE' });
+
+      expect(await validate(dto as object)).toHaveLength(0);
+      expect(dto.referenceImageSource).toBe(BiometricReferenceSourceEnum.KYC_SELFIE);
+    });
+
+    /**
+     * Llega ausente, no con el default puesto: el default lo aplica el manager. Poblarlo acá haría
+     * indistinguible el request que mandó la fuente del que solo mandó `referenceImageUrl`.
+     */
+    it('es opcional y NO se autopobla con el default', async () => {
+      const dto = instancia(base);
+
+      expect(await validate(dto as object)).toHaveLength(0);
+      expect(dto.referenceImageSource).toBeUndefined();
+    });
+
+    it('RECHAZA CALLER_PROVIDED, que es solo de salida', async () => {
+      expect(await propiedadesConError({ ...base, referenceImageSource: 'CALLER_PROVIDED' }))
+        .toContain('referenceImageSource');
+    });
+
+    it('rechaza un valor que no está en el enum', async () => {
+      expect(await propiedadesConError({ ...base, referenceImageSource: 'PROFILE_PICTURE' }))
+        .toContain('referenceImageSource');
+    });
+  });
+
+    // El par tiene que pasar el DTO LIMPIO: quien rechaza el choque es el manager, con
+    // `422 CONFLICTING_REFERENCE_IMAGE`. Un validador cross-field acá le daria al caller un
+    // `400 VALIDATION_ERROR` generico en vez del codigo tipado que el front espera.
+    it('acepta referenceImageUrl y referenceImageSource juntos: el choque lo resuelve el manager', async () => {
+        const dto = instancia({
+            ...base,
+            referenceImageUrl: 'https://cdn.tufiado.com/foto.jpg',
+            referenceImageSource: BiometricReferenceSourceEnum.ID_DOCUMENT,
+        });
+
+        expect(await validate(dto)).toHaveLength(0);
+        expect(dto.referenceImageUrl).toBe('https://cdn.tufiado.com/foto.jpg');
+        expect(dto.referenceImageSource).toBe(BiometricReferenceSourceEnum.ID_DOCUMENT);
+    });
 });

package/_test_/unit/identity/PeopleIdPhotoResponse.test.ts

@@ -0,0 +1,33 @@
+import 'reflect-metadata';
+import { plainToInstance } from 'class-transformer';
+import { validate } from 'class-validator';
+import { PeopleIdPhotoResponse } from '../../../src/identity/index';
+
+const base = {
+    directoryId: '4cdc2e82-4bdc-4421-8c3a-c77dadea23b7',
+    url: 'https://s3.amazonaws.com/bucket/USER/dir/x_PASSPORT_FRONT.jpeg?X-Amz-Expires=900',
+    key: 'x_PASSPORT_FRONT.jpeg',
+    expiresInSeconds: 900,
+};
+
+const instancia = (raw: Record<string, unknown>): PeopleIdPhotoResponse =>
+    plainToInstance(PeopleIdPhotoResponse, raw, { excludeExtraneousValues: true });
+
+describe('PeopleIdPhotoResponse', () => {
+    it('acepta la respuesta completa', async () => {
+        const dto = instancia(base);
+        expect(await validate(dto)).toHaveLength(0);
+        expect(dto.key).toBe('x_PASSPORT_FRONT.jpeg');
+    });
+
+    it.each(['directoryId', 'url', 'key', 'expiresInSeconds'])('exige %s', async (campo) => {
+        const { [campo]: _, ...sinCampo } = base as Record<string, unknown>;
+        const errores = await validate(instancia(sinCampo));
+        expect(errores.map((e) => e.property)).toContain(campo);
+    });
+
+    it('rechaza una vigencia no positiva', async () => {
+        const errores = await validate(instancia({ ...base, expiresInSeconds: 0 }));
+        expect(errores.map((e) => e.property)).toContain('expiresInSeconds');
+    });
+});

package/bin/biometrics/dtos/requests/CreateBiometricVerificationRequest.d.ts

@@ -1,5 +1,6 @@
 import { BiometricDeliveryModeEnum } from '../../enums/BiometricDeliveryModeEnum';
 import { BiometricProviderEnum } from '../../enums/BiometricProviderEnum';
+import { BiometricReferenceSourceEnum } from '../../enums/BiometricReferenceSourceEnum';
 import { BiometricTypeEnum } from '../../enums/BiometricTypeEnum';
 import { BiometricSubject } from '../BiometricSubject';
 /**
@@ -56,6 +57,18 @@ export declare class CreateBiometricVerificationRequest {
      * Úsalo solo si ya tienes la foto correcta a mano y quieres ahorrarte el round-trip.
      */
     referenceImageUrl?: string;
+    /**
+     * Contra QUÉ foto se compara. Default `KYC_SELFIE`, que aplica el servicio: acá viaja ausente
+     * cuando no lo mandas, para que se pueda distinguir de haberlo pedido explícitamente.
+     *
+     * **Sin fallback:** si la fuente pedida no tiene foto, responde `REFERENCE_PHOTO_UNAVAILABLE`;
+     * no se busca la otra. Quien pide contra el documento y recibe un match sabe que fue contra el
+     * documento.
+     *
+     * 🔴 `CALLER_PROVIDED` NO es válido acá — solo lo emite la respuesta. Y mandar esto junto con
+     * `referenceImageUrl` responde `422 CONFLICTING_REFERENCE_IMAGE`: son contradictorios.
+     */
+    referenceImageSource?: BiometricReferenceSourceEnum.KYC_SELFIE | BiometricReferenceSourceEnum.ID_DOCUMENT;
     /**
      * Vigencia de la entrega, en segundos. Default 3600.
      *

package/bin/biometrics/dtos/requests/CreateBiometricVerificationRequest.js

@@ -14,6 +14,7 @@ const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 const BiometricDeliveryModeEnum_1 = require("../../enums/BiometricDeliveryModeEnum");
 const BiometricProviderEnum_1 = require("../../enums/BiometricProviderEnum");
+const BiometricReferenceSourceEnum_1 = require("../../enums/BiometricReferenceSourceEnum");
 const BiometricTypeEnum_1 = require("../../enums/BiometricTypeEnum");
 const BiometricSubject_1 = require("../BiometricSubject");
 /**
@@ -65,6 +66,12 @@ __decorate([
     (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
 ], CreateBiometricVerificationRequest.prototype, "referenceImageUrl", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsIn)([BiometricReferenceSourceEnum_1.BiometricReferenceSourceEnum.KYC_SELFIE, BiometricReferenceSourceEnum_1.BiometricReferenceSourceEnum.ID_DOCUMENT]),
+    __metadata("design:type", String)
+], CreateBiometricVerificationRequest.prototype, "referenceImageSource", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsOptional)(),

package/bin/biometrics/dtos/responses/BiometricVerificationResponse.d.ts

@@ -1,5 +1,6 @@
 import { BiometricDeliveryModeEnum } from '../../enums/BiometricDeliveryModeEnum';
 import { BiometricProviderEnum } from '../../enums/BiometricProviderEnum';
+import { BiometricReferenceSourceEnum } from '../../enums/BiometricReferenceSourceEnum';
 import { BiometricResultEnum } from '../../enums/BiometricResultEnum';
 import { BiometricTypeEnum } from '../../enums/BiometricTypeEnum';
 import { BiometricVerificationStatusEnum } from '../../enums/BiometricVerificationStatusEnum';
@@ -48,6 +49,14 @@ export declare class BiometricVerificationResponse {
      * seguridad. El contrato lo garantiza el productor, que es un solo lambda.
      */
     delivery: BiometricDelivery;
+    /**
+     * Contra qué foto se comparó. **Siempre poblado.**
+     *
+     * `CALLER_PROVIDED` significa que la foto la mandaste tú en `referenceImageUrl`. Es un valor
+     * distinto y no el default, porque decir `KYC_SELFIE` cuando la foto la pusiste tú sería mentir
+     * sobre contra qué se comparó — y eso es exactamente lo que este campo existe para evitar.
+     */
+    referenceImageSource: BiometricReferenceSourceEnum;
     /**
      * Similitud reportada por el proveedor, 0–100, cuando la expone. Rekognition da score; Metamap
      * responde pass/fail y esto viene ausente.

package/bin/biometrics/dtos/responses/BiometricVerificationResponse.js

@@ -14,6 +14,7 @@ const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
 const BiometricDeliveryModeEnum_1 = require("../../enums/BiometricDeliveryModeEnum");
 const BiometricProviderEnum_1 = require("../../enums/BiometricProviderEnum");
+const BiometricReferenceSourceEnum_1 = require("../../enums/BiometricReferenceSourceEnum");
 const BiometricResultEnum_1 = require("../../enums/BiometricResultEnum");
 const BiometricTypeEnum_1 = require("../../enums/BiometricTypeEnum");
 const BiometricVerificationStatusEnum_1 = require("../../enums/BiometricVerificationStatusEnum");
@@ -72,6 +73,11 @@ __decorate([
     (0, class_transformer_1.Expose)(),
     __metadata("design:type", Object)
 ], BiometricVerificationResponse.prototype, "delivery", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsEnum)(BiometricReferenceSourceEnum_1.BiometricReferenceSourceEnum),
+    __metadata("design:type", String)
+], BiometricVerificationResponse.prototype, "referenceImageSource", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsOptional)(),

package/bin/biometrics/enums/BiometricReferenceSourceEnum.d.ts

@@ -0,0 +1,14 @@
+/**
+ * Contra QUÉ foto compara el biométrico.
+ *
+ * `CALLER_PROVIDED` es SOLO DE SALIDA: lo emite la respuesta cuando el caller mandó su propia
+ * `referenceImageUrl`. El request lo rechaza — pedirlo no significa nada.
+ */
+export declare enum BiometricReferenceSourceEnum {
+    /** La selfie del KYC. El default. */
+    KYC_SELFIE = "KYC_SELFIE",
+    /** El frente de la identificación, resuelto por `fiado-identity-lambda`. */
+    ID_DOCUMENT = "ID_DOCUMENT",
+    /** Solo de salida: la foto la puso el caller en `referenceImageUrl`. */
+    CALLER_PROVIDED = "CALLER_PROVIDED"
+}

package/bin/biometrics/enums/BiometricReferenceSourceEnum.js

@@ -0,0 +1,18 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.BiometricReferenceSourceEnum = void 0;
+/**
+ * Contra QUÉ foto compara el biométrico.
+ *
+ * `CALLER_PROVIDED` es SOLO DE SALIDA: lo emite la respuesta cuando el caller mandó su propia
+ * `referenceImageUrl`. El request lo rechaza — pedirlo no significa nada.
+ */
+var BiometricReferenceSourceEnum;
+(function (BiometricReferenceSourceEnum) {
+    /** La selfie del KYC. El default. */
+    BiometricReferenceSourceEnum["KYC_SELFIE"] = "KYC_SELFIE";
+    /** El frente de la identificación, resuelto por `fiado-identity-lambda`. */
+    BiometricReferenceSourceEnum["ID_DOCUMENT"] = "ID_DOCUMENT";
+    /** Solo de salida: la foto la puso el caller en `referenceImageUrl`. */
+    BiometricReferenceSourceEnum["CALLER_PROVIDED"] = "CALLER_PROVIDED";
+})(BiometricReferenceSourceEnum || (exports.BiometricReferenceSourceEnum = BiometricReferenceSourceEnum = {}));

package/bin/biometrics/events/BiometricVerificationChangedV1.d.ts

@@ -4,20 +4,15 @@ import { BiometricResultEnum } from '../enums/BiometricResultEnum';
 /**
  * Lo que le pasó a una verificación biométrica, según el proveedor.
  *
- * **El recorrido:** Metamap → `kyc-metamap-webhook` (que valida la firma HMAC y traduce) →
- * `BiometricsInboundQueue` → el consumer de `biometrics-business`, que aplica la transición.
+ * **El recorrido:** Metamap → `kyc-metamap-webhook`, que valida la firma HMAC y traduce → llamada
+ * HTTP síncrona a `biometrics-business`, que aplica la transición.
  *
- * **Por qué el webhook no llama directo:** ese lambda tiene una disciplina explícita — *un fallo de
- * publish NUNCA puede tumbar el webhook*, porque si lanza, Metamap reintenta el webhook completo y
- * se duplican las actualizaciones de identidad. Con esa regla, una llamada síncrona que falle se
- * traga el evento en silencio y la verificación queda `IN_PROGRESS` para siempre, con el caller
- * poleando al vacío y sin alarma. La cola da durabilidad, DLQ y alarma sin tocar esa disciplina.
+ * 🔴 **No se loguea entero:**
+ * loguea los campos que necesites, nunca el objeto. El resto son identificadores operacionales y el
+ * veredicto.
  *
- * 🔴 **Cola propia, NO `RetailKycInboundQueue`.** SQS no hace broadcast: dos lambdas sobre la misma
- * cola son consumidores en competencia y cada mensaje le llega a UNO solo. Reusar la de SureKeep
- * partiría sus KYC a la mitad, en producción, al azar y sin un solo error en los logs.
- *
- * 🔴 **Sin PII.** Solo identificadores operacionales y el veredicto.
+ * Los duplicados son la norma —Metamap reintenta el webhook completo ante cualquier fallo—, así que
+ * el consumer deduplica por `eventId` y ordena por `occurredAt`.
  *
  * `biometrics-business` — Entrega 1.
  */
@@ -30,15 +25,12 @@ export declare class BiometricVerificationChangedV1 {
     /**
      * 🔴 **Identificador ÚNICO de este evento. La clave de deduplicación.**
      *
-     * SQS es *at-least-once*: los duplicados son la norma, no la excepción. Y **el candado temporal
-     * por `occurredAt` NO alcanza para esto**: dos entregas del mismo evento traen exactamente el
-     * mismo `occurredAt`, así que una regla "descartar si es más viejo" las deja pasar a las dos.
+     * La entrega es *at-least-once*: Metamap reintenta el webhook completo, así que los duplicados
+     * son la norma, no la excepción. Y **el candado temporal por `occurredAt` NO alcanza para
+     * esto**: dos entregas del mismo evento traen exactamente el mismo `occurredAt`, así que una
+     * regla "descartar si es más viejo" las deja pasar a las dos.
      *
      * El consumer guarda los `eventId` ya aplicados y descarta los repetidos.
-     *
-     * ⚠️ **No deduplicar por el `MessageId` de SQS**: cambia en cada reintento de entrega, así que
-     * no deduplica nada. Es el error clásico y por eso queda escrito acá y no en la cabeza de cada
-     * consumidor.
      */
     eventId: string;
     /**
@@ -73,7 +65,7 @@ export declare class BiometricVerificationChangedV1 {
      * el evento real, y la transición no se aplicaría nunca — sin un solo error.
      *
      * Normalizar a UTC es trabajo del traductor del proveedor (`kyc-metamap-webhook`). Este candado
-     * existe para que si algún día deja de hacerlo, el mensaje caiga al DLQ en el boundary en vez de
+     * existe para que si algún día deja de hacerlo, el evento se rechace en el boundary en vez de
      * corromper el orden en silencio.
      */
     occurredAt: string;

package/bin/biometrics/events/BiometricVerificationChangedV1.js

@@ -18,20 +18,15 @@ const BiometricResultEnum_1 = require("../enums/BiometricResultEnum");
 /**
  * Lo que le pasó a una verificación biométrica, según el proveedor.
  *
- * **El recorrido:** Metamap → `kyc-metamap-webhook` (que valida la firma HMAC y traduce) →
- * `BiometricsInboundQueue` → el consumer de `biometrics-business`, que aplica la transición.
+ * **El recorrido:** Metamap → `kyc-metamap-webhook`, que valida la firma HMAC y traduce → llamada
+ * HTTP síncrona a `biometrics-business`, que aplica la transición.
  *
- * **Por qué el webhook no llama directo:** ese lambda tiene una disciplina explícita — *un fallo de
- * publish NUNCA puede tumbar el webhook*, porque si lanza, Metamap reintenta el webhook completo y
- * se duplican las actualizaciones de identidad. Con esa regla, una llamada síncrona que falle se
- * traga el evento en silencio y la verificación queda `IN_PROGRESS` para siempre, con el caller
- * poleando al vacío y sin alarma. La cola da durabilidad, DLQ y alarma sin tocar esa disciplina.
+ * 🔴 **No se loguea entero:**
+ * loguea los campos que necesites, nunca el objeto. El resto son identificadores operacionales y el
+ * veredicto.
  *
- * 🔴 **Cola propia, NO `RetailKycInboundQueue`.** SQS no hace broadcast: dos lambdas sobre la misma
- * cola son consumidores en competencia y cada mensaje le llega a UNO solo. Reusar la de SureKeep
- * partiría sus KYC a la mitad, en producción, al azar y sin un solo error en los logs.
- *
- * 🔴 **Sin PII.** Solo identificadores operacionales y el veredicto.
+ * Los duplicados son la norma —Metamap reintenta el webhook completo ante cualquier fallo—, así que
+ * el consumer deduplica por `eventId` y ordena por `occurredAt`.
  *
  * `biometrics-business` — Entrega 1.
  */

package/bin/biometrics/index.d.ts

@@ -4,6 +4,7 @@ export * from './enums/BiometricDeliveryModeEnum';
 export * from './enums/BiometricVerificationStatusEnum';
 export * from './enums/BiometricResultEnum';
 export * from './enums/BiometricEventTypeEnum';
+export * from './enums/BiometricReferenceSourceEnum';
 export * from './dtos/BiometricSubject';
 export * from './dtos/BiometricDelivery';
 export * from './dtos/requests/CreateBiometricVerificationRequest';

package/bin/biometrics/index.js

@@ -24,6 +24,7 @@ __exportStar(require("./enums/BiometricDeliveryModeEnum"), exports);
 __exportStar(require("./enums/BiometricVerificationStatusEnum"), exports);
 __exportStar(require("./enums/BiometricResultEnum"), exports);
 __exportStar(require("./enums/BiometricEventTypeEnum"), exports);
+__exportStar(require("./enums/BiometricReferenceSourceEnum"), exports);
 // DTOs compartidos
 __exportStar(require("./dtos/BiometricSubject"), exports);
 __exportStar(require("./dtos/BiometricDelivery"), exports);

package/bin/identity/dtos/PeopleIdPhotoResponse.d.ts

@@ -0,0 +1,17 @@
+/**
+ * Respuesta del endpoint privado que devuelve el FRENTE de la identificación de un usuario:
+ * el URL presignado de S3 + su vigencia. Gemelo de `PeopleSelfieResponse`.
+ *
+ * Es la otra fuente posible del `userPhotoLink` del facematch. Se declara aparte y no se reusa
+ * `PeopleSelfieResponse` porque son dos endpoints distintos: compartir el tipo haría que un cambio
+ * en uno arrastrara al otro sin que nadie lo decida.
+ */
+export declare class PeopleIdPhotoResponse {
+    directoryId: string;
+    /** URL presignado de S3 del frente del documento. */
+    url: string;
+    /** Nombre del archivo en S3, sin el prefijo `USER/{directoryId}/`. */
+    key: string;
+    /** Vigencia del presigned URL en segundos. */
+    expiresInSeconds: number;
+}

package/bin/identity/dtos/PeopleIdPhotoResponse.js

@@ -0,0 +1,49 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.PeopleIdPhotoResponse = void 0;
+const class_transformer_1 = require("class-transformer");
+const class_validator_1 = require("class-validator");
+/**
+ * Respuesta del endpoint privado que devuelve el FRENTE de la identificación de un usuario:
+ * el URL presignado de S3 + su vigencia. Gemelo de `PeopleSelfieResponse`.
+ *
+ * Es la otra fuente posible del `userPhotoLink` del facematch. Se declara aparte y no se reusa
+ * `PeopleSelfieResponse` porque son dos endpoints distintos: compartir el tipo haría que un cambio
+ * en uno arrastrara al otro sin que nadie lo decida.
+ */
+class PeopleIdPhotoResponse {
+}
+exports.PeopleIdPhotoResponse = PeopleIdPhotoResponse;
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], PeopleIdPhotoResponse.prototype, "directoryId", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], PeopleIdPhotoResponse.prototype, "url", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    __metadata("design:type", String)
+], PeopleIdPhotoResponse.prototype, "key", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsInt)(),
+    (0, class_validator_1.IsPositive)(),
+    __metadata("design:type", Number)
+], PeopleIdPhotoResponse.prototype, "expiresInSeconds", void 0);

package/bin/identity/index.d.ts

@@ -12,6 +12,7 @@ export * from './dtos/PeopleSelfVerifiedRequest';
 export * from './dtos/AgentDocumentKeyResponse';
 export * from './dtos/DocumentUploadResponse';
 export * from './dtos/PeopleSelfieResponse';
+export * from './dtos/PeopleIdPhotoResponse';
 export * from './enums/IdentificationDocumentStatus';
 export * from './enums/SexDocument';
 export * from './enums/InfoSelfVerifiedStatus';

package/bin/identity/index.js

@@ -29,6 +29,7 @@ __exportStar(require("./dtos/PeopleSelfVerifiedRequest"), exports);
 __exportStar(require("./dtos/AgentDocumentKeyResponse"), exports);
 __exportStar(require("./dtos/DocumentUploadResponse"), exports);
 __exportStar(require("./dtos/PeopleSelfieResponse"), exports);
+__exportStar(require("./dtos/PeopleIdPhotoResponse"), exports);
 //enums
 __exportStar(require("./enums/IdentificationDocumentStatus"), exports);
 __exportStar(require("./enums/SexDocument"), exports);

package/bin/remittance/dtos/RemittancePayerConfig.d.ts

@@ -0,0 +1,38 @@
+import { ReceptionMethod } from "../enums/ReceptionMethod";
+/**
+ * DTOs de la administración de payers desde el backoffice (v1: enabled + override de nombre).
+ * La lista de payers la dicta el catálogo UniTeller; la config es un overlay por payerCode.
+ * Dueño de la tabla RemittancePayerConfig_GT: remittance-business.
+ */
+/** Item de la vista de backoffice (Ops): TODOS los payers del catálogo, también deshabilitados. */
+export declare class RemittancePayerConfigItem {
+    payerCode: string;
+    countryISO: string;
+    /** Nombre efectivo: override de Ops si existe, si no el de UniTeller. */
+    name: string;
+    /** Nombre original de UniTeller (para mostrar/quitar el override). */
+    unirName: string;
+    receptionMethods: ReceptionMethod[];
+    enabled: boolean;
+    /** true si ya existe fila de config para ese payer (false = solo del catálogo). */
+    configured: boolean;
+    /** Logo de UniTeller, solo lectura (identificación visual en la lista). */
+    logoUrl?: string;
+}
+/** Response de GET /backoffice/config/payers (config chica, sin paginación). */
+export declare class RemittancePayerConfigListResponse {
+    items: RemittancePayerConfigItem[];
+}
+/** Body de PUT /backoffice/config/payers/{payerCode}. Ambos opcionales (merge con lo existente); name=null quita el override. */
+export declare class RemittancePayerConfigUpdateRequest {
+    enabled?: boolean;
+    name?: string | null;
+}
+/** Fila cruda de config (endpoint privado → connector, que la mergea al servir el catálogo). */
+export declare class RemittancePayerConfigEntry {
+    payerCode: string;
+    countryISO: string;
+    enabled: boolean;
+    name?: string;
+    updatedAt: string;
+}

package/bin/remittance/dtos/RemittancePayerConfig.js

@@ -0,0 +1,45 @@
+"use strict";
+var __decorate = (this && this.__decorate) || function (decorators, target, key, desc) {
+    var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
+    if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);
+    else for (var i = decorators.length - 1; i >= 0; i--) if (d = decorators[i]) r = (c < 3 ? d(r) : c > 3 ? d(target, key, r) : d(target, key)) || r;
+    return c > 3 && r && Object.defineProperty(target, key, r), r;
+};
+var __metadata = (this && this.__metadata) || function (k, v) {
+    if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.RemittancePayerConfigEntry = exports.RemittancePayerConfigUpdateRequest = exports.RemittancePayerConfigListResponse = exports.RemittancePayerConfigItem = void 0;
+const class_validator_1 = require("class-validator");
+/**
+ * DTOs de la administración de payers desde el backoffice (v1: enabled + override de nombre).
+ * La lista de payers la dicta el catálogo UniTeller; la config es un overlay por payerCode.
+ * Dueño de la tabla RemittancePayerConfig_GT: remittance-business.
+ */
+/** Item de la vista de backoffice (Ops): TODOS los payers del catálogo, también deshabilitados. */
+class RemittancePayerConfigItem {
+}
+exports.RemittancePayerConfigItem = RemittancePayerConfigItem;
+/** Response de GET /backoffice/config/payers (config chica, sin paginación). */
+class RemittancePayerConfigListResponse {
+}
+exports.RemittancePayerConfigListResponse = RemittancePayerConfigListResponse;
+/** Body de PUT /backoffice/config/payers/{payerCode}. Ambos opcionales (merge con lo existente); name=null quita el override. */
+class RemittancePayerConfigUpdateRequest {
+}
+exports.RemittancePayerConfigUpdateRequest = RemittancePayerConfigUpdateRequest;
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsBoolean)(),
+    __metadata("design:type", Boolean)
+], RemittancePayerConfigUpdateRequest.prototype, "enabled", void 0);
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.Length)(1, 60),
+    __metadata("design:type", String)
+], RemittancePayerConfigUpdateRequest.prototype, "name", void 0);
+/** Fila cruda de config (endpoint privado → connector, que la mergea al servir el catálogo). */
+class RemittancePayerConfigEntry {
+}
+exports.RemittancePayerConfigEntry = RemittancePayerConfigEntry;

package/bin/remittance/dtos/index.d.ts

@@ -46,5 +46,6 @@ export * from "./RemittanceRule";
 export * from "./RemittancePricingTable";
 export * from "./RemittanceExceptionCatalog";
 export * from "./RemittanceCountryConfig";
+export * from "./RemittancePayerConfig";
 export * from "./RemittanceFavoriteItem";
 export * from "./RemittanceFavoriteListResponse";

package/bin/remittance/dtos/index.js

@@ -62,5 +62,6 @@ __exportStar(require("./RemittanceRule"), exports);
 __exportStar(require("./RemittancePricingTable"), exports);
 __exportStar(require("./RemittanceExceptionCatalog"), exports);
 __exportStar(require("./RemittanceCountryConfig"), exports);
+__exportStar(require("./RemittancePayerConfig"), exports);
 __exportStar(require("./RemittanceFavoriteItem"), exports);
 __exportStar(require("./RemittanceFavoriteListResponse"), exports);

package/bin/remittance/enums/AuditEntityType.d.ts

@@ -5,6 +5,7 @@ export declare enum AuditEntityType {
     COHORT = "COHORT",
     COMMITTEE = "COMMITTEE",
     COUNTRY_CONFIG = "COUNTRY_CONFIG",
+    PAYER_CONFIG = "PAYER_CONFIG",
     SEGMENT = "SEGMENT",
     PRICING = "PRICING",
     PROMOTION = "PROMOTION",

package/bin/remittance/enums/AuditEntityType.js

@@ -9,6 +9,7 @@ var AuditEntityType;
     AuditEntityType["COHORT"] = "COHORT";
     AuditEntityType["COMMITTEE"] = "COMMITTEE";
     AuditEntityType["COUNTRY_CONFIG"] = "COUNTRY_CONFIG";
+    AuditEntityType["PAYER_CONFIG"] = "PAYER_CONFIG";
     AuditEntityType["SEGMENT"] = "SEGMENT";
     AuditEntityType["PRICING"] = "PRICING";
     AuditEntityType["PROMOTION"] = "PROMOTION";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.405.0",
+  "version": "3.407.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/biometrics/dtos/requests/CreateBiometricVerificationRequest.ts

@@ -1,6 +1,7 @@
 import { Expose, Type } from 'class-transformer';
 import {
     IsEnum,
+    IsIn,
     IsInt,
     IsNotEmpty,
     IsOptional,
@@ -12,6 +13,7 @@ import {
 } from 'class-validator';
 import { BiometricDeliveryModeEnum } from '../../enums/BiometricDeliveryModeEnum';
 import { BiometricProviderEnum } from '../../enums/BiometricProviderEnum';
+import { BiometricReferenceSourceEnum } from '../../enums/BiometricReferenceSourceEnum';
 import { BiometricTypeEnum } from '../../enums/BiometricTypeEnum';
 import { BiometricSubject } from '../BiometricSubject';
 
@@ -81,6 +83,24 @@ export class CreateBiometricVerificationRequest {
     @Expose() @IsOptional() @IsString() @IsNotEmpty()
     referenceImageUrl?: string;
 
+    /**
+     * Contra QUÉ foto se compara. Default `KYC_SELFIE`, que aplica el servicio: acá viaja ausente
+     * cuando no lo mandas, para que se pueda distinguir de haberlo pedido explícitamente.
+     *
+     * **Sin fallback:** si la fuente pedida no tiene foto, responde `REFERENCE_PHOTO_UNAVAILABLE`;
+     * no se busca la otra. Quien pide contra el documento y recibe un match sabe que fue contra el
+     * documento.
+     *
+     * 🔴 `CALLER_PROVIDED` NO es válido acá — solo lo emite la respuesta. Y mandar esto junto con
+     * `referenceImageUrl` responde `422 CONFLICTING_REFERENCE_IMAGE`: son contradictorios.
+     */
+    @Expose()
+    @IsOptional()
+    @IsIn([BiometricReferenceSourceEnum.KYC_SELFIE, BiometricReferenceSourceEnum.ID_DOCUMENT])
+    referenceImageSource?:
+        | BiometricReferenceSourceEnum.KYC_SELFIE
+        | BiometricReferenceSourceEnum.ID_DOCUMENT;
+
     /**
      * Vigencia de la entrega, en segundos. Default 3600.
      *

package/src/biometrics/dtos/responses/BiometricVerificationResponse.ts

@@ -12,6 +12,7 @@ import {
 } from 'class-validator';
 import { BiometricDeliveryModeEnum } from '../../enums/BiometricDeliveryModeEnum';
 import { BiometricProviderEnum } from '../../enums/BiometricProviderEnum';
+import { BiometricReferenceSourceEnum } from '../../enums/BiometricReferenceSourceEnum';
 import { BiometricResultEnum } from '../../enums/BiometricResultEnum';
 import { BiometricTypeEnum } from '../../enums/BiometricTypeEnum';
 import { BiometricVerificationStatusEnum } from '../../enums/BiometricVerificationStatusEnum';
@@ -77,6 +78,16 @@ export class BiometricVerificationResponse {
     @Expose()
     delivery!: BiometricDelivery;
 
+    /**
+     * Contra qué foto se comparó. **Siempre poblado.**
+     *
+     * `CALLER_PROVIDED` significa que la foto la mandaste tú en `referenceImageUrl`. Es un valor
+     * distinto y no el default, porque decir `KYC_SELFIE` cuando la foto la pusiste tú sería mentir
+     * sobre contra qué se comparó — y eso es exactamente lo que este campo existe para evitar.
+     */
+    @Expose() @IsEnum(BiometricReferenceSourceEnum)
+    referenceImageSource!: BiometricReferenceSourceEnum;
+
     /**
      * Similitud reportada por el proveedor, 0–100, cuando la expone. Rekognition da score; Metamap
      * responde pass/fail y esto viene ausente.

package/src/biometrics/enums/BiometricReferenceSourceEnum.ts

@@ -0,0 +1,16 @@
+/**
+ * Contra QUÉ foto compara el biométrico.
+ *
+ * `CALLER_PROVIDED` es SOLO DE SALIDA: lo emite la respuesta cuando el caller mandó su propia
+ * `referenceImageUrl`. El request lo rechaza — pedirlo no significa nada.
+ */
+export enum BiometricReferenceSourceEnum {
+    /** La selfie del KYC. El default. */
+    KYC_SELFIE = 'KYC_SELFIE',
+
+    /** El frente de la identificación, resuelto por `fiado-identity-lambda`. */
+    ID_DOCUMENT = 'ID_DOCUMENT',
+
+    /** Solo de salida: la foto la puso el caller en `referenceImageUrl`. */
+    CALLER_PROVIDED = 'CALLER_PROVIDED',
+}

package/src/biometrics/events/BiometricVerificationChangedV1.ts

@@ -18,20 +18,15 @@ import { BiometricResultEnum } from '../enums/BiometricResultEnum';
 /**
  * Lo que le pasó a una verificación biométrica, según el proveedor.
  *
- * **El recorrido:** Metamap → `kyc-metamap-webhook` (que valida la firma HMAC y traduce) →
- * `BiometricsInboundQueue` → el consumer de `biometrics-business`, que aplica la transición.
+ * **El recorrido:** Metamap → `kyc-metamap-webhook`, que valida la firma HMAC y traduce → llamada
+ * HTTP síncrona a `biometrics-business`, que aplica la transición.
  *
- * **Por qué el webhook no llama directo:** ese lambda tiene una disciplina explícita — *un fallo de
- * publish NUNCA puede tumbar el webhook*, porque si lanza, Metamap reintenta el webhook completo y
- * se duplican las actualizaciones de identidad. Con esa regla, una llamada síncrona que falle se
- * traga el evento en silencio y la verificación queda `IN_PROGRESS` para siempre, con el caller
- * poleando al vacío y sin alarma. La cola da durabilidad, DLQ y alarma sin tocar esa disciplina.
+ * 🔴 **No se loguea entero:**
+ * loguea los campos que necesites, nunca el objeto. El resto son identificadores operacionales y el
+ * veredicto.
  *
- * 🔴 **Cola propia, NO `RetailKycInboundQueue`.** SQS no hace broadcast: dos lambdas sobre la misma
- * cola son consumidores en competencia y cada mensaje le llega a UNO solo. Reusar la de SureKeep
- * partiría sus KYC a la mitad, en producción, al azar y sin un solo error en los logs.
- *
- * 🔴 **Sin PII.** Solo identificadores operacionales y el veredicto.
+ * Los duplicados son la norma —Metamap reintenta el webhook completo ante cualquier fallo—, así que
+ * el consumer deduplica por `eventId` y ordena por `occurredAt`.
  *
  * `biometrics-business` — Entrega 1.
  */
@@ -46,15 +41,12 @@ export class BiometricVerificationChangedV1 {
     /**
      * 🔴 **Identificador ÚNICO de este evento. La clave de deduplicación.**
      *
-     * SQS es *at-least-once*: los duplicados son la norma, no la excepción. Y **el candado temporal
-     * por `occurredAt` NO alcanza para esto**: dos entregas del mismo evento traen exactamente el
-     * mismo `occurredAt`, así que una regla "descartar si es más viejo" las deja pasar a las dos.
+     * La entrega es *at-least-once*: Metamap reintenta el webhook completo, así que los duplicados
+     * son la norma, no la excepción. Y **el candado temporal por `occurredAt` NO alcanza para
+     * esto**: dos entregas del mismo evento traen exactamente el mismo `occurredAt`, así que una
+     * regla "descartar si es más viejo" las deja pasar a las dos.
      *
      * El consumer guarda los `eventId` ya aplicados y descarta los repetidos.
-     *
-     * ⚠️ **No deduplicar por el `MessageId` de SQS**: cambia en cada reintento de entrega, así que
-     * no deduplica nada. Es el error clásico y por eso queda escrito acá y no en la cabeza de cada
-     * consumidor.
      */
     @Expose() @IsString() @IsNotEmpty()
     eventId!: string;
@@ -103,7 +95,7 @@ export class BiometricVerificationChangedV1 {
      * el evento real, y la transición no se aplicaría nunca — sin un solo error.
      *
      * Normalizar a UTC es trabajo del traductor del proveedor (`kyc-metamap-webhook`). Este candado
-     * existe para que si algún día deja de hacerlo, el mensaje caiga al DLQ en el boundary en vez de
+     * existe para que si algún día deja de hacerlo, el evento se rechace en el boundary en vez de
      * corromper el orden en silencio.
      */
     @Expose() @IsString() @IsISO8601({ strict: true })

package/src/biometrics/index.ts

@@ -9,6 +9,7 @@ export * from './enums/BiometricDeliveryModeEnum';
 export * from './enums/BiometricVerificationStatusEnum';
 export * from './enums/BiometricResultEnum';
 export * from './enums/BiometricEventTypeEnum';
+export * from './enums/BiometricReferenceSourceEnum';
 
 // DTOs compartidos
 export * from './dtos/BiometricSubject';

package/src/identity/dtos/PeopleIdPhotoResponse.ts

@@ -0,0 +1,27 @@
+import { Expose } from 'class-transformer';
+import { IsInt, IsNotEmpty, IsPositive, IsString } from 'class-validator';
+
+/**
+ * Respuesta del endpoint privado que devuelve el FRENTE de la identificación de un usuario:
+ * el URL presignado de S3 + su vigencia. Gemelo de `PeopleSelfieResponse`.
+ *
+ * Es la otra fuente posible del `userPhotoLink` del facematch. Se declara aparte y no se reusa
+ * `PeopleSelfieResponse` porque son dos endpoints distintos: compartir el tipo haría que un cambio
+ * en uno arrastrara al otro sin que nadie lo decida.
+ */
+export class PeopleIdPhotoResponse {
+    @Expose() @IsString() @IsNotEmpty()
+    directoryId!: string;
+
+    /** URL presignado de S3 del frente del documento. */
+    @Expose() @IsString() @IsNotEmpty()
+    url!: string;
+
+    /** Nombre del archivo en S3, sin el prefijo `USER/{directoryId}/`. */
+    @Expose() @IsString() @IsNotEmpty()
+    key!: string;
+
+    /** Vigencia del presigned URL en segundos. */
+    @Expose() @IsInt() @IsPositive()
+    expiresInSeconds!: number;
+}

package/src/identity/index.ts

@@ -14,6 +14,7 @@ export * from './dtos/PeopleSelfVerifiedRequest';
 export * from './dtos/AgentDocumentKeyResponse';
 export * from './dtos/DocumentUploadResponse';
 export * from './dtos/PeopleSelfieResponse';
+export * from './dtos/PeopleIdPhotoResponse';
 
 
 //enums

package/src/remittance/dtos/RemittancePayerConfig.ts

@@ -0,0 +1,50 @@
+import { IsBoolean, IsOptional, IsString, Length } from "class-validator";
+import { ReceptionMethod } from "../enums/ReceptionMethod";
+
+/**
+ * DTOs de la administración de payers desde el backoffice (v1: enabled + override de nombre).
+ * La lista de payers la dicta el catálogo UniTeller; la config es un overlay por payerCode.
+ * Dueño de la tabla RemittancePayerConfig_GT: remittance-business.
+ */
+
+/** Item de la vista de backoffice (Ops): TODOS los payers del catálogo, también deshabilitados. */
+export class RemittancePayerConfigItem {
+    payerCode!: string;
+    countryISO!: string;
+    /** Nombre efectivo: override de Ops si existe, si no el de UniTeller. */
+    name!: string;
+    /** Nombre original de UniTeller (para mostrar/quitar el override). */
+    unirName!: string;
+    receptionMethods!: ReceptionMethod[];
+    enabled!: boolean;
+    /** true si ya existe fila de config para ese payer (false = solo del catálogo). */
+    configured!: boolean;
+    /** Logo de UniTeller, solo lectura (identificación visual en la lista). */
+    logoUrl?: string;
+}
+
+/** Response de GET /backoffice/config/payers (config chica, sin paginación). */
+export class RemittancePayerConfigListResponse {
+    items!: RemittancePayerConfigItem[];
+}
+
+/** Body de PUT /backoffice/config/payers/{payerCode}. Ambos opcionales (merge con lo existente); name=null quita el override. */
+export class RemittancePayerConfigUpdateRequest {
+    @IsOptional()
+    @IsBoolean()
+    enabled?: boolean;
+
+    @IsOptional()
+    @IsString()
+    @Length(1, 60)
+    name?: string | null;
+}
+
+/** Fila cruda de config (endpoint privado → connector, que la mergea al servir el catálogo). */
+export class RemittancePayerConfigEntry {
+    payerCode!: string;
+    countryISO!: string;
+    enabled!: boolean;
+    name?: string;
+    updatedAt!: string;
+}

package/src/remittance/dtos/index.ts

@@ -46,5 +46,6 @@ export * from "./RemittanceRule";
 export * from "./RemittancePricingTable";
 export * from "./RemittanceExceptionCatalog";
 export * from "./RemittanceCountryConfig";
+export * from "./RemittancePayerConfig";
 export * from "./RemittanceFavoriteItem";
 export * from "./RemittanceFavoriteListResponse";

package/src/remittance/enums/AuditEntityType.ts

@@ -5,6 +5,7 @@ export enum AuditEntityType {
     COHORT = "COHORT",
     COMMITTEE = "COMMITTEE",
     COUNTRY_CONFIG = "COUNTRY_CONFIG",
+    PAYER_CONFIG = "PAYER_CONFIG",
     SEGMENT = "SEGMENT",
     PRICING = "PRICING",
     PROMOTION = "PROMOTION",