@fiado/type-kit 3.70.0 → 3.72.0

package/_test_/unit/cognitoBackofficeConnector/dtos/CreateUserRequest.test.ts

@@ -38,6 +38,19 @@ describe('CreateUserRequest', () => {
         expect(errors.some(e => e.property === 'tenantId')).toBe(true);
     });
 
+    // userPoolId + region pasan a ser OPCIONALES: el front del alta de usuario PLATFORM deja de
+    // mandarlos y el backend (platform-rbac-business) los resuelve de la config del tenant 'platform'.
+    // Quedan en el DTO por compatibilidad con los demás callers del connector que SÍ los proveen.
+    it('valida sin userPoolId ni region (alta platform — el backend los resuelve)', async () => {
+        const dto = plainToInstance(CreateUserRequest, {
+            email: 'user@acme.com',
+            tenantId: 'platform',
+        });
+        const errors = await validate(dto);
+        expect(errors.some(e => e.property === 'userPoolId')).toBe(false);
+        expect(errors.some(e => e.property === 'region')).toBe(false);
+    });
+
     it('preserva los campos opcionales legítimos', async () => {
         const dto = plainToInstance(CreateUserRequest, {
             ...valid,

package/_test_/unit/platformRbac/dtos/effectivePermissions.test.ts

@@ -0,0 +1,22 @@
+import 'reflect-metadata';
+import type { AuthContext, EffectivePermissionsResponse } from '../../../../src/platformRbac/index';
+
+it('AuthContext acepta los campos opcionales del token-as-cache', () => {
+    const ctx: AuthContext = {
+        cognitoSub: 's',
+        tenantId: 't',
+        email: 'e',
+        roleAssignments: [],
+        permissions: [],
+        resolvedAt: 'now',
+        permBits: 'AAA',
+        permVer: 1,
+        permsEpoch: 3,
+    };
+    expect(ctx.permVer).toBe(1);
+});
+
+it('EffectivePermissionsResponse tiene permissions + roleAssignments + epoch', () => {
+    const r: EffectivePermissionsResponse = { permissions: [], roleAssignments: [], permsEpoch: 0 };
+    expect(r.permsEpoch).toBe(0);
+});

package/_test_/unit/platformRbac/enums/__snapshots__/permissionBits.test.ts.snap

@@ -0,0 +1,98 @@
+// Jest Snapshot v1, https://jestjs.io/docs/snapshot-testing
+
+exports[`PERMISSION_BIT_ORDER PERMS_VERSION es número estable 1`] = `4037934643`;
+
+exports[`PERMISSION_BIT_ORDER append-only: snapshot del ORDEN COMPLETO (rompe ante cualquier reorden/inserción) 1`] = `
+[
+  "rbac.catalog.manage",
+  "platform.tenant.create",
+  "platform.tenant.list",
+  "platform.tenant.view",
+  "platform.tenant.update",
+  "platform.tenant.suspend",
+  "platform.tenant.activate",
+  "platform.tenant.admin.replace",
+  "platform.cognito.pool.manage",
+  "platform.cognito.pool.list",
+  "platform.user.create",
+  "platform.user.list",
+  "platform.user.view",
+  "platform.user.update",
+  "platform.user.disable",
+  "platform.user.enable",
+  "platform.user.delete",
+  "platform.role.create",
+  "platform.role.list",
+  "platform.role.update",
+  "platform.role.delete",
+  "platform.audit.view",
+  "tenant.user.create",
+  "tenant.user.create.lateral",
+  "tenant.user.read",
+  "tenant.user.status",
+  "tenant.user.list",
+  "tenant.user.view",
+  "tenant.user.update",
+  "tenant.user.disable",
+  "tenant.user.enable",
+  "tenant.user.delete",
+  "tenant.user.mfa.reset",
+  "tenant.user.password.reset",
+  "tenant.role.create",
+  "tenant.role.list",
+  "tenant.role.update",
+  "tenant.role.delete",
+  "tenant.role.view",
+  "tenant.role.assign",
+  "tenant.role.revoke",
+  "tenant.security.policy.view",
+  "tenant.security.policy.manage",
+  "tenant.branding.manage",
+  "tenant.audit.view",
+  "retail.user.create",
+  "retail.user.create.lateral",
+  "retail.user.read",
+  "retail.user.update",
+  "retail.user.status",
+  "retail.user.delete",
+  "retail.user.password.reset",
+  "retail.user.mfa.reset",
+  "retail.product.create",
+  "retail.product.list",
+  "retail.product.view",
+  "retail.product.update",
+  "retail.product.delete",
+  "retail.product.mdm_config",
+  "retail.inventory.list",
+  "retail.inventory.view",
+  "retail.inventory.update",
+  "retail.sale.create",
+  "retail.sale.list",
+  "retail.sale.cancel",
+  "retail.store.manage",
+  "retail.retailer.manage",
+  "lend.credit.create",
+  "lend.credit.list",
+  "lend.credit.view",
+  "lend.credit.update",
+  "lend.credit.liquidate",
+  "lend.credit.restructure",
+  "lend.payment.apply",
+  "lend.payment.list",
+  "lend.payment.reverse",
+  "lend.installment.view",
+  "mdm.device.enroll",
+  "mdm.device.release",
+  "mdm.device.archive",
+  "mdm.device.deactivate",
+  "mdm.device.lock.manual",
+  "mdm.device.unlock.manual",
+  "mdm.device.pin_unlock",
+  "mdm.device.extend_validity",
+  "mdm.device.notify",
+  "mdm.device.status.view",
+  "mdm.operation_log.view",
+  "mdm.test",
+  "pay.transaction.view",
+]
+`;

package/_test_/unit/platformRbac/enums/permissionBits.test.ts

@@ -0,0 +1,36 @@
+import {
+    Permission,
+    PERMISSION_BIT_ORDER,
+    PERMS_VERSION,
+    permissionsToBits,
+    bitsToPermissions,
+} from '../../../../src/platformRbac/enums/Permission';
+
+describe('PERMISSION_BIT_ORDER', () => {
+    it('contiene TODOS los valores del enum Permission', () => {
+        const enumVals = Object.values(Permission) as string[];
+        expect([...PERMISSION_BIT_ORDER].sort()).toEqual([...enumVals].sort());
+    });
+    it('append-only: snapshot del ORDEN COMPLETO (rompe ante cualquier reorden/inserción)', () => {
+        // Snapshot del array entero, NO un prefijo: un reorden del índice 11+ o una inserción
+        // intermedia desalinea todos los tokens emitidos. Si esto rompe, fue intencional → -u consciente.
+        expect(PERMISSION_BIT_ORDER).toMatchSnapshot();
+    });
+    it('PERMS_VERSION es número estable', () => {
+        expect(typeof PERMS_VERSION).toBe('number');
+        expect(PERMS_VERSION).toMatchSnapshot();
+    });
+    it('round-trip permisos ↔ bits', () => {
+        const perms = [
+            PERMISSION_BIT_ORDER[0],
+            PERMISSION_BIT_ORDER[5],
+            PERMISSION_BIT_ORDER[PERMISSION_BIT_ORDER.length - 1],
+        ];
+        const bits = permissionsToBits(perms);
+        expect(typeof bits).toBe('string');
+        expect(new Set(bitsToPermissions(bits))).toEqual(new Set(perms));
+    });
+    it('bitsToPermissions tolera basura → []', () => {
+        expect(bitsToPermissions('')).toEqual([]);
+    });
+});

package/bin/cognitoBackofficeConnector/dtos/CreateUserRequest.d.ts

@@ -1,6 +1,6 @@
 export declare class CreateUserRequest {
-    userPoolId: string;
-    region: string;
+    userPoolId?: string;
+    region?: string;
     email: string;
     displayName?: string;
     tenantId: string;

package/bin/cognitoBackofficeConnector/dtos/CreateUserRequest.js

@@ -17,14 +17,14 @@ class CreateUserRequest {
 exports.CreateUserRequest = CreateUserRequest;
 __decorate([
     (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
 ], CreateUserRequest.prototype, "userPoolId", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsString)(),
-    (0, class_validator_1.IsNotEmpty)(),
     __metadata("design:type", String)
 ], CreateUserRequest.prototype, "region", void 0);
 __decorate([

package/bin/platformRbac/dtos/AuthContext.d.ts

@@ -18,4 +18,10 @@ export interface AuthContext {
     permissions: Permission[];
     resolvedAt: string;
     issuer?: string;
+    /** Bitset base64url de permisos efectivos (token-as-cache). Ausente → fallback al resolver/claim. */
+    permBits?: string;
+    /** Versión del catálogo (PERMS_VERSION) con la que se construyó permBits. */
+    permVer?: number;
+    /** Epoch de permisos del tenant al momento de emitir el token. */
+    permsEpoch?: number;
 }

package/bin/platformRbac/dtos/CreateTenantRequest.d.ts

@@ -1,3 +1,4 @@
+import { TokenValidationMode } from '../enums/TokenValidationMode';
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -14,4 +15,5 @@ export declare class CreateTenantRequest {
     region: string;
     mfaRequired?: boolean;
     passwordMinLength?: number;
+    tokenValidationMode?: TokenValidationMode;
 }

package/bin/platformRbac/dtos/CreateTenantRequest.js

@@ -12,6 +12,7 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.CreateTenantRequest = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
+const TokenValidationMode_1 = require("../enums/TokenValidationMode");
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
  * Consumido por el controller `backofficeCreateTenant` del platform-rbac-business y, a futuro,
@@ -66,3 +67,9 @@ __decorate([
     (0, class_validator_1.Min)(8),
     __metadata("design:type", Number)
 ], CreateTenantRequest.prototype, "passwordMinLength", void 0);
+__decorate([
+    (0, class_transformer_1.Expose)(),
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsEnum)(TokenValidationMode_1.TokenValidationMode),
+    __metadata("design:type", String)
+], CreateTenantRequest.prototype, "tokenValidationMode", void 0);

package/bin/platformRbac/dtos/EffectivePermissionsResponse.d.ts

@@ -0,0 +1,8 @@
+import type { Permission } from '../enums/Permission';
+import type { RoleAssignmentInfo } from './RoleAssignmentInfo';
+/** Respuesta de platform-rbac-business /internal/effective-permissions (consumida por jwt-inyector). */
+export interface EffectivePermissionsResponse {
+    permissions: Permission[];
+    roleAssignments: RoleAssignmentInfo[];
+    permsEpoch: number;
+}

package/bin/platformRbac/dtos/EffectivePermissionsResponse.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/enums/Permission.d.ts

@@ -6,7 +6,25 @@
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -102,3 +120,21 @@ export declare enum Permission {
     MDM_TEST = "mdm.test",
     PAY_TRANSACTION_VIEW = "pay.transaction.view"
 }
+/**
+ * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
+ * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
+ * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
+ * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
+ */
+export declare const PERMISSION_BIT_ORDER: readonly Permission[];
+/** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */
+export declare const PERMS_VERSION: number;
+/** Comprime un set de permisos a bitset base64url. */
+export declare function permissionsToBits(perms: readonly Permission[]): string;
+/** Decodifica un bitset base64url a la lista de permisos. Tolerante a basura → []. */
+export declare function bitsToPermissions(bits: string): Permission[];

package/bin/platformRbac/enums/Permission.js

@@ -1,6 +1,8 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.Permission = void 0;
+exports.PERMS_VERSION = exports.PERMISSION_BIT_ORDER = exports.Permission = void 0;
+exports.permissionsToBits = permissionsToBits;
+exports.bitsToPermissions = bitsToPermissions;
 /**
  * Catálogo universal de permisos del sistema RBAC Fiado.
  *
@@ -9,7 +11,25 @@ exports.Permission = void 0;
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -135,3 +155,145 @@ var Permission;
     // ====================================================
     Permission["PAY_TRANSACTION_VIEW"] = "pay.transaction.view";
 })(Permission || (exports.Permission = Permission = {}));
+/**
+ * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
+ * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
+ * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
+ * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
+ */
+exports.PERMISSION_BIT_ORDER = [
+    Permission.RBAC_CATALOG_MANAGE,
+    Permission.PLATFORM_TENANT_CREATE,
+    Permission.PLATFORM_TENANT_LIST,
+    Permission.PLATFORM_TENANT_VIEW,
+    Permission.PLATFORM_TENANT_UPDATE,
+    Permission.PLATFORM_TENANT_SUSPEND,
+    Permission.PLATFORM_TENANT_ACTIVATE,
+    Permission.PLATFORM_TENANT_ADMIN_REPLACE,
+    Permission.PLATFORM_COGNITO_POOL_MANAGE,
+    Permission.PLATFORM_COGNITO_POOL_LIST,
+    Permission.PLATFORM_USER_CREATE,
+    Permission.PLATFORM_USER_LIST,
+    Permission.PLATFORM_USER_VIEW,
+    Permission.PLATFORM_USER_UPDATE,
+    Permission.PLATFORM_USER_DISABLE,
+    Permission.PLATFORM_USER_ENABLE,
+    Permission.PLATFORM_USER_DELETE,
+    Permission.PLATFORM_ROLE_CREATE,
+    Permission.PLATFORM_ROLE_LIST,
+    Permission.PLATFORM_ROLE_UPDATE,
+    Permission.PLATFORM_ROLE_DELETE,
+    Permission.PLATFORM_AUDIT_VIEW,
+    Permission.TENANT_USER_CREATE,
+    Permission.TENANT_USER_CREATE_LATERAL,
+    Permission.TENANT_USER_READ,
+    Permission.TENANT_USER_STATUS,
+    Permission.TENANT_USER_LIST,
+    Permission.TENANT_USER_VIEW,
+    Permission.TENANT_USER_UPDATE,
+    Permission.TENANT_USER_DISABLE,
+    Permission.TENANT_USER_ENABLE,
+    Permission.TENANT_USER_DELETE,
+    Permission.TENANT_USER_MFA_RESET,
+    Permission.TENANT_USER_PASSWORD_RESET,
+    Permission.TENANT_ROLE_CREATE,
+    Permission.TENANT_ROLE_LIST,
+    Permission.TENANT_ROLE_UPDATE,
+    Permission.TENANT_ROLE_DELETE,
+    Permission.TENANT_ROLE_VIEW,
+    Permission.TENANT_ROLE_ASSIGN,
+    Permission.TENANT_ROLE_REVOKE,
+    Permission.TENANT_SECURITY_POLICY_VIEW,
+    Permission.TENANT_SECURITY_POLICY_MANAGE,
+    Permission.TENANT_BRANDING_MANAGE,
+    Permission.TENANT_AUDIT_VIEW,
+    Permission.RETAIL_USER_CREATE,
+    Permission.RETAIL_USER_CREATE_LATERAL,
+    Permission.RETAIL_USER_READ,
+    Permission.RETAIL_USER_UPDATE,
+    Permission.RETAIL_USER_STATUS,
+    Permission.RETAIL_USER_DELETE,
+    Permission.RETAIL_USER_PASSWORD_RESET,
+    Permission.RETAIL_USER_MFA_RESET,
+    Permission.RETAIL_PRODUCT_CREATE,
+    Permission.RETAIL_PRODUCT_LIST,
+    Permission.RETAIL_PRODUCT_VIEW,
+    Permission.RETAIL_PRODUCT_UPDATE,
+    Permission.RETAIL_PRODUCT_DELETE,
+    Permission.RETAIL_PRODUCT_MDM_CONFIG,
+    Permission.RETAIL_INVENTORY_LIST,
+    Permission.RETAIL_INVENTORY_VIEW,
+    Permission.RETAIL_INVENTORY_UPDATE,
+    Permission.RETAIL_SALE_CREATE,
+    Permission.RETAIL_SALE_LIST,
+    Permission.RETAIL_SALE_CANCEL,
+    Permission.RETAIL_STORE_MANAGE,
+    Permission.RETAIL_RETAILER_MANAGE,
+    Permission.LEND_CREDIT_CREATE,
+    Permission.LEND_CREDIT_LIST,
+    Permission.LEND_CREDIT_VIEW,
+    Permission.LEND_CREDIT_UPDATE,
+    Permission.LEND_CREDIT_LIQUIDATE,
+    Permission.LEND_CREDIT_RESTRUCTURE,
+    Permission.LEND_PAYMENT_APPLY,
+    Permission.LEND_PAYMENT_LIST,
+    Permission.LEND_PAYMENT_REVERSE,
+    Permission.LEND_INSTALLMENT_VIEW,
+    Permission.MDM_DEVICE_ENROLL,
+    Permission.MDM_DEVICE_RELEASE,
+    Permission.MDM_DEVICE_ARCHIVE,
+    Permission.MDM_DEVICE_DEACTIVATE,
+    Permission.MDM_DEVICE_LOCK_MANUAL,
+    Permission.MDM_DEVICE_UNLOCK_MANUAL,
+    Permission.MDM_DEVICE_PIN_UNLOCK,
+    Permission.MDM_DEVICE_EXTEND_VALIDITY,
+    Permission.MDM_DEVICE_NOTIFY,
+    Permission.MDM_DEVICE_STATUS_VIEW,
+    Permission.MDM_OPERATION_LOG_VIEW,
+    Permission.MDM_TEST,
+    Permission.PAY_TRANSACTION_VIEW,
+];
+function djb2(input) {
+    let h = 5381;
+    for (let i = 0; i < input.length; i++)
+        h = ((h << 5) + h + input.charCodeAt(i)) >>> 0;
+    return h;
+}
+/** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */
+exports.PERMS_VERSION = djb2(exports.PERMISSION_BIT_ORDER.join('|'));
+const BIT_INDEX = new Map(exports.PERMISSION_BIT_ORDER.map((p, i) => [p, i]));
+/** Comprime un set de permisos a bitset base64url. */
+function permissionsToBits(perms) {
+    const bytes = new Uint8Array(Math.ceil(exports.PERMISSION_BIT_ORDER.length / 8));
+    for (const p of perms) {
+        const idx = BIT_INDEX.get(p);
+        if (idx === undefined)
+            continue;
+        bytes[idx >> 3] |= 1 << (idx & 7);
+    }
+    return Buffer.from(bytes).toString('base64url');
+}
+/** Decodifica un bitset base64url a la lista de permisos. Tolerante a basura → []. */
+function bitsToPermissions(bits) {
+    if (typeof bits !== 'string' || bits.length === 0)
+        return [];
+    let bytes;
+    try {
+        bytes = Buffer.from(bits, 'base64url');
+    }
+    catch {
+        return [];
+    }
+    const out = [];
+    for (let i = 0; i < exports.PERMISSION_BIT_ORDER.length; i++) {
+        const byte = bytes[i >> 3] ?? 0;
+        if (byte & (1 << (i & 7)))
+            out.push(exports.PERMISSION_BIT_ORDER[i]);
+    }
+    return out;
+}

package/bin/platformRbac/enums/TokenValidationMode.d.ts

@@ -0,0 +1,13 @@
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+export declare enum TokenValidationMode {
+    OFFLINE = "offline",
+    ONLINE_PREFERRED = "online_preferred",
+    ONLINE_STRICT = "online_strict"
+}

package/bin/platformRbac/enums/TokenValidationMode.js

@@ -0,0 +1,17 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.TokenValidationMode = void 0;
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+var TokenValidationMode;
+(function (TokenValidationMode) {
+    TokenValidationMode["OFFLINE"] = "offline";
+    TokenValidationMode["ONLINE_PREFERRED"] = "online_preferred";
+    TokenValidationMode["ONLINE_STRICT"] = "online_strict";
+})(TokenValidationMode || (exports.TokenValidationMode = TokenValidationMode = {}));

package/bin/platformRbac/index.d.ts

@@ -1,10 +1,12 @@
-export { Permission } from './enums/Permission';
+export { Permission, PERMISSION_BIT_ORDER, PERMS_VERSION, permissionsToBits, bitsToPermissions, } from './enums/Permission';
 export { PermissionScope } from './enums/PermissionScope';
 export { PermissionCategory } from './enums/PermissionCategory';
 export type { AuthContext } from './dtos/AuthContext';
 export type { RoleAssignmentInfo } from './dtos/RoleAssignmentInfo';
 export type { PermissionMeta } from './dtos/PermissionMeta';
+export type { EffectivePermissionsResponse } from './dtos/EffectivePermissionsResponse';
 export * from './enums/MfaMethodEnum';
+export * from './enums/TokenValidationMode';
 export * from './enums/ChallengeNameEnum';
 export * from './auth/DefineNextChallengeRequest';
 export * from './auth/DefineNextChallengeResponse';

package/bin/platformRbac/index.js

@@ -5,9 +5,9 @@
 // del platform-rbac-business documenta la migración futura de los 4 símbolos cross-cutting
 // (Permission, PermissionScope, AuthContext, RoleAssignmentInfo) de aquí a `rbac/`.
 //
-// En Fase 1.A los DTOs propios del rbac-business (CreateTenantRequest, AssignRoleRequest,
-// EffectivePermissionsResponse, etc.) NO viven en este módulo todavía — se agregan en
-// Fase 1.B cuando los managers que los consumen se implementen.
+// Los DTOs propios del rbac-business se van agregando a medida que los flujos los necesitan.
+// EffectivePermissionsResponse ya vive acá (lo consume jwt-inyector vía /internal/effective-permissions).
+// Otros DTOs aún pendientes se sumarán cuando los managers que los consumen se implementen.
 var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
     if (k2 === undefined) k2 = k;
     var desc = Object.getOwnPropertyDescriptor(m, k);
@@ -23,9 +23,13 @@ var __exportStar = (this && this.__exportStar) || function(m, exports) {
     for (var p in m) if (p !== "default" && !Object.prototype.hasOwnProperty.call(exports, p)) __createBinding(exports, m, p);
 };
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.scopeRankOrder = exports.tableSuffixForLevel = exports.levelsOf = exports.TENANT_TYPES = exports.TenantType = exports.AuthorizeDenyReason = exports.PermissionCategory = exports.PermissionScope = exports.Permission = void 0;
+exports.scopeRankOrder = exports.tableSuffixForLevel = exports.levelsOf = exports.TENANT_TYPES = exports.TenantType = exports.AuthorizeDenyReason = exports.PermissionCategory = exports.PermissionScope = exports.bitsToPermissions = exports.permissionsToBits = exports.PERMS_VERSION = exports.PERMISSION_BIT_ORDER = exports.Permission = void 0;
 var Permission_1 = require("./enums/Permission");
 Object.defineProperty(exports, "Permission", { enumerable: true, get: function () { return Permission_1.Permission; } });
+Object.defineProperty(exports, "PERMISSION_BIT_ORDER", { enumerable: true, get: function () { return Permission_1.PERMISSION_BIT_ORDER; } });
+Object.defineProperty(exports, "PERMS_VERSION", { enumerable: true, get: function () { return Permission_1.PERMS_VERSION; } });
+Object.defineProperty(exports, "permissionsToBits", { enumerable: true, get: function () { return Permission_1.permissionsToBits; } });
+Object.defineProperty(exports, "bitsToPermissions", { enumerable: true, get: function () { return Permission_1.bitsToPermissions; } });
 var PermissionScope_1 = require("./enums/PermissionScope");
 Object.defineProperty(exports, "PermissionScope", { enumerable: true, get: function () { return PermissionScope_1.PermissionScope; } });
 var PermissionCategory_1 = require("./enums/PermissionCategory");
@@ -33,6 +37,7 @@ Object.defineProperty(exports, "PermissionCategory", { enumerable: true, get: fu
 // Fase 1 — Custom Auth Challenge (Email OTP + TOTP) + MFA self-service.
 // Class values (no type-only) — los DTOs llevan decoradores class-validator y se hidratan con plainToInstance en runtime.
 __exportStar(require("./enums/MfaMethodEnum"), exports);
+__exportStar(require("./enums/TokenValidationMode"), exports);
 __exportStar(require("./enums/ChallengeNameEnum"), exports);
 __exportStar(require("./auth/DefineNextChallengeRequest"), exports);
 __exportStar(require("./auth/DefineNextChallengeResponse"), exports);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.70.0",
+  "version": "3.72.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/cognitoBackofficeConnector/dtos/CreateUserRequest.ts

@@ -2,8 +2,11 @@ import { Expose } from 'class-transformer';
 import { IsBoolean, IsEmail, IsNotEmpty, IsOptional, IsString } from 'class-validator';
 
 export class CreateUserRequest {
-    @Expose() @IsString() @IsNotEmpty() userPoolId!: string;
-    @Expose() @IsString() @IsNotEmpty() region!: string;
+    // userPoolId + region son OPCIONALES: el alta de usuario PLATFORM ya no los manda desde el front
+    // (el backend platform-rbac-business los resuelve de la config del tenant 'platform'). Se conservan
+    // en el DTO porque los demás callers del connector SÍ los proveen.
+    @Expose() @IsOptional() @IsString() userPoolId?: string;
+    @Expose() @IsOptional() @IsString() region?: string;
     @Expose() @IsEmail() email!: string;
     @Expose() @IsOptional() @IsString() displayName?: string;
     @Expose() @IsString() @IsNotEmpty() tenantId!: string;

package/src/platformRbac/dtos/AuthContext.ts

@@ -19,4 +19,10 @@ export interface AuthContext {
     permissions: Permission[];
     resolvedAt: string;
     issuer?: string;
+    /** Bitset base64url de permisos efectivos (token-as-cache). Ausente → fallback al resolver/claim. */
+    permBits?: string;
+    /** Versión del catálogo (PERMS_VERSION) con la que se construyó permBits. */
+    permVer?: number;
+    /** Epoch de permisos del tenant al momento de emitir el token. */
+    permsEpoch?: number;
 }

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -1,5 +1,6 @@
 import { Expose } from 'class-transformer';
-import { IsBoolean, IsEmail, IsInt, IsOptional, IsString, Matches, Min } from 'class-validator';
+import { IsBoolean, IsEmail, IsEnum, IsInt, IsOptional, IsString, Matches, Min } from 'class-validator';
+import { TokenValidationMode } from '../enums/TokenValidationMode';
 
 /**
  * Input del POST backoffice de creación de tenant (F-11 — onboarding de tenant en SureKeep).
@@ -17,4 +18,5 @@ export class CreateTenantRequest {
     @Expose() @IsString() region!: string;
     @Expose() @IsOptional() @IsBoolean() mfaRequired?: boolean;
     @Expose() @IsOptional() @IsInt() @Min(8) passwordMinLength?: number;
+    @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
 }

package/src/platformRbac/dtos/EffectivePermissionsResponse.ts

@@ -0,0 +1,9 @@
+import type { Permission } from '../enums/Permission';
+import type { RoleAssignmentInfo } from './RoleAssignmentInfo';
+
+/** Respuesta de platform-rbac-business /internal/effective-permissions (consumida por jwt-inyector). */
+export interface EffectivePermissionsResponse {
+    permissions: Permission[];
+    roleAssignments: RoleAssignmentInfo[];
+    permsEpoch: number;
+}

package/src/platformRbac/enums/Permission.ts

@@ -6,7 +6,25 @@
  *
  * Copy-paste literal de los valores del spec (DEC-003).
  * Convención: `<category>.<resource>.<action>` (snake_case en action si multi-palabra).
- * Cualquier cambio aquí requiere PR + bump minor + redeploy de consumers.
+ *
+ * ⚠️ ESTE ES EL CATÁLOGO GLOBAL Y ÚNICO. Todo permiso del sistema vive acá. Los tenants
+ * NO inventan permisos: cada `tenantType` arma su lista (techo) ELIGIENDO de este catálogo
+ * (`TenantTypePermissionCatalog_GT` en platform-rbac-business, DEC-062), y cada tenant arma
+ * sus roles combinando esos permisos. El vocabulario es global; lo que varía por tenant es
+ * QUÉ permisos usa, no CUÁLES existen.
+ *
+ * ⚠️⚠️ AL AGREGAR / QUITAR / RENOMBRAR UN PERMISO — PROCEDIMIENTO OBLIGATORIO:
+ *   1. Agregar el valor a ESTE enum.
+ *   2. Agregarlo TAMBIÉN al FINAL de `PERMISSION_BIT_ORDER` (abajo) — append-only, NUNCA en
+ *      el medio ni reordenando: ese array define el bit de cada permiso en el token (bitset).
+ *      Reordenar/insertar en medio desalinea TODOS los tokens ya emitidos (escalada/pérdida
+ *      de permisos silenciosa). Un permiso deprecado CONSERVA su posición (no se borra del array).
+ *   3. Recién entonces un `tenantType` puede incluirlo en su lista. Un permiso que NO esté en
+ *      este enum + bit-order NO tiene bit → no viaja en el token (el gateway-adapter no lo ve).
+ *   4. `PERMS_VERSION` (hash del orden) cambia solo → bump minor del type-kit + redeploy de
+ *      consumers (jwt-inyector-trigger, gateway-adapter, platform-rbac-business). Tokens viejos
+ *      caen al fallback (resolver DDB) hasta refrescar — by-design, no rompe.
+ *   El test `permissionBits.test.ts` falla si el enum y `PERMISSION_BIT_ORDER` se desincronizan.
  *
  * Coexiste con módulo `rbac/` oficial cuando yhonhansen publique componente 01 — TD-RBAC-002.
  */
@@ -137,3 +155,144 @@ export enum Permission {
     // ====================================================
     PAY_TRANSACTION_VIEW = 'pay.transaction.view',
 }
+
+/**
+ * Orden CANÓNICO y APPEND-ONLY de los permisos para el bitset del token.
+ * Índice de cada permiso = su posición de bit. NUNCA reordenar ni borrar:
+ * deprecados CONSERVAN su posición; los nuevos van SIEMPRE al final.
+ * Derivado explícitamente (no Object.values, frágil ante edición del enum).
+ *
+ * ⚠️ Si agregás un permiso al enum `Permission` (arriba), agregalo TAMBIÉN acá, AL FINAL.
+ * Ver el procedimiento completo en el JSDoc del enum `Permission`. El test
+ * `permissionBits.test.ts` rompe si esto y el enum no coinciden, y el snapshot del orden
+ * completo rompe si reordenás (guard anti-desalineamiento de tokens emitidos).
+ */
+export const PERMISSION_BIT_ORDER: readonly Permission[] = [
+    Permission.RBAC_CATALOG_MANAGE,
+    Permission.PLATFORM_TENANT_CREATE,
+    Permission.PLATFORM_TENANT_LIST,
+    Permission.PLATFORM_TENANT_VIEW,
+    Permission.PLATFORM_TENANT_UPDATE,
+    Permission.PLATFORM_TENANT_SUSPEND,
+    Permission.PLATFORM_TENANT_ACTIVATE,
+    Permission.PLATFORM_TENANT_ADMIN_REPLACE,
+    Permission.PLATFORM_COGNITO_POOL_MANAGE,
+    Permission.PLATFORM_COGNITO_POOL_LIST,
+    Permission.PLATFORM_USER_CREATE,
+    Permission.PLATFORM_USER_LIST,
+    Permission.PLATFORM_USER_VIEW,
+    Permission.PLATFORM_USER_UPDATE,
+    Permission.PLATFORM_USER_DISABLE,
+    Permission.PLATFORM_USER_ENABLE,
+    Permission.PLATFORM_USER_DELETE,
+    Permission.PLATFORM_ROLE_CREATE,
+    Permission.PLATFORM_ROLE_LIST,
+    Permission.PLATFORM_ROLE_UPDATE,
+    Permission.PLATFORM_ROLE_DELETE,
+    Permission.PLATFORM_AUDIT_VIEW,
+    Permission.TENANT_USER_CREATE,
+    Permission.TENANT_USER_CREATE_LATERAL,
+    Permission.TENANT_USER_READ,
+    Permission.TENANT_USER_STATUS,
+    Permission.TENANT_USER_LIST,
+    Permission.TENANT_USER_VIEW,
+    Permission.TENANT_USER_UPDATE,
+    Permission.TENANT_USER_DISABLE,
+    Permission.TENANT_USER_ENABLE,
+    Permission.TENANT_USER_DELETE,
+    Permission.TENANT_USER_MFA_RESET,
+    Permission.TENANT_USER_PASSWORD_RESET,
+    Permission.TENANT_ROLE_CREATE,
+    Permission.TENANT_ROLE_LIST,
+    Permission.TENANT_ROLE_UPDATE,
+    Permission.TENANT_ROLE_DELETE,
+    Permission.TENANT_ROLE_VIEW,
+    Permission.TENANT_ROLE_ASSIGN,
+    Permission.TENANT_ROLE_REVOKE,
+    Permission.TENANT_SECURITY_POLICY_VIEW,
+    Permission.TENANT_SECURITY_POLICY_MANAGE,
+    Permission.TENANT_BRANDING_MANAGE,
+    Permission.TENANT_AUDIT_VIEW,
+    Permission.RETAIL_USER_CREATE,
+    Permission.RETAIL_USER_CREATE_LATERAL,
+    Permission.RETAIL_USER_READ,
+    Permission.RETAIL_USER_UPDATE,
+    Permission.RETAIL_USER_STATUS,
+    Permission.RETAIL_USER_DELETE,
+    Permission.RETAIL_USER_PASSWORD_RESET,
+    Permission.RETAIL_USER_MFA_RESET,
+    Permission.RETAIL_PRODUCT_CREATE,
+    Permission.RETAIL_PRODUCT_LIST,
+    Permission.RETAIL_PRODUCT_VIEW,
+    Permission.RETAIL_PRODUCT_UPDATE,
+    Permission.RETAIL_PRODUCT_DELETE,
+    Permission.RETAIL_PRODUCT_MDM_CONFIG,
+    Permission.RETAIL_INVENTORY_LIST,
+    Permission.RETAIL_INVENTORY_VIEW,
+    Permission.RETAIL_INVENTORY_UPDATE,
+    Permission.RETAIL_SALE_CREATE,
+    Permission.RETAIL_SALE_LIST,
+    Permission.RETAIL_SALE_CANCEL,
+    Permission.RETAIL_STORE_MANAGE,
+    Permission.RETAIL_RETAILER_MANAGE,
+    Permission.LEND_CREDIT_CREATE,
+    Permission.LEND_CREDIT_LIST,
+    Permission.LEND_CREDIT_VIEW,
+    Permission.LEND_CREDIT_UPDATE,
+    Permission.LEND_CREDIT_LIQUIDATE,
+    Permission.LEND_CREDIT_RESTRUCTURE,
+    Permission.LEND_PAYMENT_APPLY,
+    Permission.LEND_PAYMENT_LIST,
+    Permission.LEND_PAYMENT_REVERSE,
+    Permission.LEND_INSTALLMENT_VIEW,
+    Permission.MDM_DEVICE_ENROLL,
+    Permission.MDM_DEVICE_RELEASE,
+    Permission.MDM_DEVICE_ARCHIVE,
+    Permission.MDM_DEVICE_DEACTIVATE,
+    Permission.MDM_DEVICE_LOCK_MANUAL,
+    Permission.MDM_DEVICE_UNLOCK_MANUAL,
+    Permission.MDM_DEVICE_PIN_UNLOCK,
+    Permission.MDM_DEVICE_EXTEND_VALIDITY,
+    Permission.MDM_DEVICE_NOTIFY,
+    Permission.MDM_DEVICE_STATUS_VIEW,
+    Permission.MDM_OPERATION_LOG_VIEW,
+    Permission.MDM_TEST,
+    Permission.PAY_TRANSACTION_VIEW,
+] as const;
+
+function djb2(input: string): number {
+    let h = 5381;
+    for (let i = 0; i < input.length; i++) h = ((h << 5) + h + input.charCodeAt(i)) >>> 0;
+    return h;
+}
+/** Versión del catálogo = hash del orden. Cambia solo si el orden cambia. */
+export const PERMS_VERSION: number = djb2(PERMISSION_BIT_ORDER.join('|'));
+
+const BIT_INDEX: ReadonlyMap<Permission, number> = new Map(PERMISSION_BIT_ORDER.map((p, i) => [p, i]));
+
+/** Comprime un set de permisos a bitset base64url. */
+export function permissionsToBits(perms: readonly Permission[]): string {
+    const bytes = new Uint8Array(Math.ceil(PERMISSION_BIT_ORDER.length / 8));
+    for (const p of perms) {
+        const idx = BIT_INDEX.get(p);
+        if (idx === undefined) continue;
+        bytes[idx >> 3] |= 1 << (idx & 7);
+    }
+    return Buffer.from(bytes).toString('base64url');
+}
+/** Decodifica un bitset base64url a la lista de permisos. Tolerante a basura → []. */
+export function bitsToPermissions(bits: string): Permission[] {
+    if (typeof bits !== 'string' || bits.length === 0) return [];
+    let bytes: Buffer;
+    try {
+        bytes = Buffer.from(bits, 'base64url');
+    } catch {
+        return [];
+    }
+    const out: Permission[] = [];
+    for (let i = 0; i < PERMISSION_BIT_ORDER.length; i++) {
+        const byte = bytes[i >> 3] ?? 0;
+        if (byte & (1 << (i & 7))) out.push(PERMISSION_BIT_ORDER[i]);
+    }
+    return out;
+}

package/src/platformRbac/enums/TokenValidationMode.ts

@@ -0,0 +1,13 @@
+/**
+ * Modo de validación de tokens por tenant (DEC-RBAC-002 del rbac-authorizer-trigger).
+ * Persistido como atributo no-key en PlatformTenantConfig_GT. Los valores string SON el
+ * contrato: el authorizer los espeja con un tipo local (no depende de type-kit, DT-7).
+ * - OFFLINE: solo firma (JWKS) + permsEpoch. Default. No pega a Cognito.
+ * - ONLINE_PREFERRED: AdminGetUser; negativo definitivo → Deny; fallo de infra → cae a offline.
+ * - ONLINE_STRICT: AdminGetUser; negativo definitivo O fallo de infra → Deny (fail-closed, regulado).
+ */
+export enum TokenValidationMode {
+    OFFLINE = 'offline',
+    ONLINE_PREFERRED = 'online_preferred',
+    ONLINE_STRICT = 'online_strict',
+}

package/src/platformRbac/index.ts

@@ -4,21 +4,29 @@
 // del platform-rbac-business documenta la migración futura de los 4 símbolos cross-cutting
 // (Permission, PermissionScope, AuthContext, RoleAssignmentInfo) de aquí a `rbac/`.
 //
-// En Fase 1.A los DTOs propios del rbac-business (CreateTenantRequest, AssignRoleRequest,
-// EffectivePermissionsResponse, etc.) NO viven en este módulo todavía — se agregan en
-// Fase 1.B cuando los managers que los consumen se implementen.
+// Los DTOs propios del rbac-business se van agregando a medida que los flujos los necesitan.
+// EffectivePermissionsResponse ya vive acá (lo consume jwt-inyector vía /internal/effective-permissions).
+// Otros DTOs aún pendientes se sumarán cuando los managers que los consumen se implementen.
 
-export { Permission } from './enums/Permission';
+export {
+    Permission,
+    PERMISSION_BIT_ORDER,
+    PERMS_VERSION,
+    permissionsToBits,
+    bitsToPermissions,
+} from './enums/Permission';
 export { PermissionScope } from './enums/PermissionScope';
 export { PermissionCategory } from './enums/PermissionCategory';
 
 export type { AuthContext } from './dtos/AuthContext';
 export type { RoleAssignmentInfo } from './dtos/RoleAssignmentInfo';
 export type { PermissionMeta } from './dtos/PermissionMeta';
+export type { EffectivePermissionsResponse } from './dtos/EffectivePermissionsResponse';
 
 // Fase 1 — Custom Auth Challenge (Email OTP + TOTP) + MFA self-service.
 // Class values (no type-only) — los DTOs llevan decoradores class-validator y se hidratan con plainToInstance en runtime.
 export * from './enums/MfaMethodEnum';
+export * from './enums/TokenValidationMode';
 export * from './enums/ChallengeNameEnum';
 export * from './auth/DefineNextChallengeRequest';
 export * from './auth/DefineNextChallengeResponse';