@gerege-systems/eid-mongolia-sdk 0.9.0 → 0.10.0

package/dist/index.d.ts

@@ -1,5 +1,5 @@
-import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PdfSessionBlock, b as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-B_XtyuFG.js';
-export { c as ApiError, d as AuthenticationError, e as DeviceLinkError, f as DeviceLinkInput, g as EndResult, h as ForbiddenError, i as NavigatorLike, j as NetworkError, O as ON_BEHALF_ERROR_CODES, k as OnBehalfErrorCode, l as OpenOrShowQROptions, m as OrgResult, n as PdfDocumentStatus, o as PdfSigner, p as Representation, q as SessionFailedError, r as SessionState, s as SignatureAlgorithmParameters, t as SignatureProtocol, V as ValidationError, u as deviceLink, v as isMobileUserAgent, w as openOrShowQR } from './browser-B_XtyuFG.js';
+import { R as RpCredentials, C as CertificateLevel, I as Interaction, S as SignatureAlgorithm, H as HashAlgorithm, N as NotificationSession, D as DeviceLinkSession, a as SessionResult, P as PersonBlock, b as PdfSessionBlock, c as RepresentationsResponse, A as AcspContext, F as FlowType, E as EidError } from './browser-BWCDj8xO.js';
+export { d as ApiError, e as AuthenticationError, f as DeviceLinkError, g as DeviceLinkInput, h as EndResult, i as ForbiddenError, j as HttpErrorInit, k as NavigatorLike, l as NetworkError, O as ON_BEHALF_ERROR_CODES, m as OnBehalfErrorCode, n as OpenOrShowQROptions, o as OrgResult, p as PdfDocumentStatus, q as PdfSigner, r as RETRYABLE_ERROR_CODES, s as Representation, t as RetryableErrorCode, u as SessionFailedError, v as SessionState, w as SignatureAlgorithmParameters, x as SignatureProtocol, T as TokenCertSessionBlock, y as TokenCertStatus, V as ValidationError, z as deviceLink, B as isMobileUserAgent, G as openOrShowQR, J as parseRetryAfter } from './browser-BWCDj8xO.js';
 import { X509Certificate, KeyObject } from 'node:crypto';
 
 interface HttpConfig {
@@ -100,6 +100,11 @@ interface SignOptions {
      * өөрөө иргэний PIN2 гэрчилгээгээр — байгууллага нь digest-д ОРОХГҮЙ.
      */
     onBehalfOf?: string;
+    /**
+     * Гарын үсэг зурагдах баримтын нэр — CA-ийн /verify хуудас ба иргэний түүхэнд харагдана. Заавал биш: өгөөгүй бол CA
+     * interaction текстээс таамаглана.
+     */
+    fileName?: string;
 }
 declare class SignApi {
     private readonly http;
@@ -121,6 +126,14 @@ declare class SignApi {
 
 /** RP-API-ийн session JSON-ийг SessionResult болгон задална (rpclient.ts-тэй ижил mapping). */
 declare function parseSessionResult(raw: unknown): SessionResult;
+/**
+ * Person блокийн `civilId` нь баталгаажсан гэрчилгээний SERIALNUMBER-тэй (`PNOMN-<civilId>`) таарах эсэх — хоёулаа
+ * хоосон биш байх ёстой. Person блок гарын үсэгт ордоггүй тул RP үүнийг validateAuth-ийн дараа шалгаж байж нэр /
+ * төрсөн огноонд итгэнэ. `subject` — validateAuth-ийн `parsedSubject` (эсвэл түүний `serialNumber`).
+ */
+declare function personMatchesCertificate(person: PersonBlock | null | undefined, subject: {
+    serialNumber?: string;
+} | string | null | undefined): boolean;
 declare class SessionApi {
     private readonly http;
     constructor(http: Http);
@@ -138,7 +151,15 @@ declare class SessionApi {
 
 interface PdfDefaults {
     certificateLevel: CertificateLevel;
+    /** prepare / document дуудлагын хугацаа (мс); анхдагч {@link DEFAULT_PDF_TIMEOUT_MS}. */
+    timeoutMs?: number;
 }
+/**
+ * PAdES prepare / баримт татах нэг дуудлагын анхдагч хугацаа (мс). CA prepare нь ≤ 10 MiB уншиж, өмнөх гарын үсэг +
+ * LTV өгөгдөл шалгаад push эхлүүлдэг; баримт татахад угсралтыг ≤ 30с хүлээдэг (PADES_SIGNING §3.4). 80с нь хоёуланд
+ * хүрэлцэнэ, CA-ийн nginx proxy_read_timeout-оос бага.
+ */
+declare const DEFAULT_PDF_TIMEOUT_MS = 80000;
 /** Гарын үсэг зурагч — яг нэг нь. */
 type PdfSignerRef = {
     etsi: string;
@@ -193,11 +214,16 @@ declare class PdfApi {
     private readonly creds;
     private readonly defaults;
     constructor(http: Http, creds: RpCredentials, defaults: PdfDefaults);
-    /** POST /pdf/sign/prepare — multipart (`request` JSON + `pdf`). SIGN эрх шаардана. */
+    /**
+     * POST /pdf/sign/prepare — multipart (`request` JSON + `pdf`). SIGN эрх шаардана. Түр алдаа: `ApiError` 429
+     * PDF_PREPARE_BUSY, 503 LTV_UNAVAILABLE / TSA_UNAVAILABLE — `retryAfterMs`-ийн дараа дахин (`retryable`).
+     */
     prepare(input: PdfPrepareInput): Promise<PdfPrepareSession>;
     /**
      * GET /pdf/sign/{sessionID}/document — гарын үсэгтэй PDF (READY-ээс хойш 30 мин). Татсан байтын SHA-256-ийг
-     * session-ий `pdf.outSha256`-тай тулга. Эрх хасагдсан бол `ForbiddenError` `.code = "REPRESENTATION_REVOKED"`.
+     * session-ий `pdf.outSha256`-тай тулга. Эрх хасагдсан бол `ForbiddenError` `.code = "REPRESENTATION_REVOKED"`. Баримт
+     * бэлэн болоогүй бол `ApiError` 503 `.code` DOCUMENT_PENDING / TSA_UNAVAILABLE / LTV_UNAVAILABLE — `retryAfterMs`-ийн
+     * дараа дахин татна (`retryable`).
      */
     document(sessionId: string): Promise<Uint8Array>;
     /**
@@ -216,6 +242,264 @@ declare class OrganizationApi {
     getRepresentations(personEtsi: string): Promise<RepresentationsResponse>;
 }
 
+/** Токенд холбогдсон байгууллага. */
+interface TokenOrganization {
+    etsi: string;
+    name: string;
+}
+/** Иргэний нэг гэрчилгээ. */
+interface PersonCertificate {
+    documentNumber: string;
+    /** AUTH | SIGN | SEAL. */
+    type: string;
+    /** MOBILE | TOKEN | HSM. */
+    keyMedium: string;
+    serialNumber: string;
+    certificateLevel: string;
+    /** VALID | REVOKED | EXPIRED | SUSPENDED. */
+    status: string;
+    /** RFC 3339. */
+    notBefore: string;
+    notAfter: string;
+    issuerDn: string;
+    /** base64 DER (нийтийн артефакт). */
+    certValue?: string;
+    /** TOKEN мөрөнд токенд холбогдсон байгууллага; хувийн токенд алга. */
+    organization?: TokenOrganization;
+}
+interface CertCounts {
+    valid: number;
+    revoked: number;
+    expired: number;
+    suspended: number;
+    total: number;
+}
+/** GET /certificates/etsi/{personEtsi}. */
+interface PersonCertificates {
+    personEtsi: string;
+    counts: CertCounts;
+    certificates: PersonCertificate[];
+    raw: unknown;
+}
+interface PersonDevice {
+    deviceId?: string;
+    documentNumber: string;
+    /** APNS | FCM. */
+    platform?: string;
+    pushTopic?: string;
+    enrolledAt: string;
+    active: boolean;
+    deactivatedAt?: string | null;
+}
+/** GET /devices/etsi/{personEtsi}. */
+interface PersonDevices {
+    personEtsi: string;
+    devices: PersonDevice[];
+    activeCount: number;
+    total: number;
+    raw: unknown;
+}
+/** Үйл ажиллагааны нэг бичлэг (kind/reason: EID_PERSON_PKI §Activity kind/reason; шинэ код нэмэгдэж болно). */
+interface ActivityItem {
+    id?: string;
+    sessionId?: string;
+    /** AUTH | SIGN | PIN_CHECK | ENROLL | TOKEN_AUTH | … */
+    kind: string;
+    /** AUTHENTICATION | SIGNATURE (зөвхөн AUTH/SIGN). */
+    flow?: string;
+    /** OK | DENIED | FAILED. */
+    outcome: string;
+    reason?: string;
+    pinSlot?: string;
+    endResult?: string;
+    rpName?: string;
+    subsystemName?: string;
+    docText?: string;
+    interactionType?: string;
+    documentNumber?: string;
+    clientIp?: string;
+    timestamp: string;
+    onBehalfOfName?: string;
+}
+interface ActivityCounts {
+    authentication: number;
+    signature: number;
+}
+/** GET /rp/activity/etsi/{personEtsi} (RP-scoped; eID портал — бүрэн түүх). */
+interface PersonActivity {
+    personEtsi: string;
+    counts: ActivityCounts;
+    sessions: ActivityItem[];
+    total: number;
+    limit: number;
+    offset: number;
+    raw: unknown;
+}
+/** activity-ийн шүүлт. Өгөөгүй = серверийн анхдагч (limit 20, offset 0, бүх flow). */
+interface ActivityQuery {
+    flow?: "AUTHENTICATION" | "SIGNATURE";
+    /** 1–200. */
+    limit?: number;
+    offset?: number;
+}
+/** GET /person/summary/etsi/{personEtsi}. `lastName` = ЭЦГИЙН нэр, `familyName` = УРГИЙН овог. */
+interface PersonSummary {
+    personEtsi: string;
+    firstName?: string;
+    lastName?: string;
+    familyName?: string;
+    certificates: CertCounts;
+    activity: ActivityCounts;
+    devicesActive: number;
+    devicesTotal: number;
+    representationCount: number;
+    raw: unknown;
+}
+interface PersonChild {
+    etsi: string;
+    regNo: string;
+    /** «Овог Нэр». */
+    name: string;
+    /** YYYY-MM-DD. */
+    birthDate?: string;
+    registered: boolean;
+    /** 18 нас хүрэх өдөр; бүртгэлгүй бол алга. */
+    certNotAfter?: string;
+}
+/** GET /person/children/etsi/{personEtsi}. */
+interface PersonChildren {
+    children: PersonChild[];
+    raw: unknown;
+}
+declare class PersonApi {
+    private readonly http;
+    constructor(http: Http);
+    private get;
+    /** Иргэний бүх гэрчилгээ + статусын тоолол. */
+    certificates(personEtsi: string): Promise<PersonCertificates>;
+    /** Иргэний холбоотой төхөөрөмжүүд (идэвхтэй + идэвхгүй). */
+    devices(personEtsi: string): Promise<PersonDevices>;
+    /** Иргэний үйл ажиллагааны түүх. */
+    activity(personEtsi: string, query?: ActivityQuery): Promise<PersonActivity>;
+    /** Самбарын нэгдсэн тоо. */
+    summary(personEtsi: string): Promise<PersonSummary>;
+    /** Асран хамгаалж буй хүүхдүүд (зөвхөн унших). */
+    children(personEtsi: string): Promise<PersonChildren>;
+}
+
+interface TokenCertInput {
+    /** Иргэн (PNOMN-…) — батлах push түүний утсанд очно. */
+    signerEtsi: string;
+    /** PKCS#10 DER (EC P-256, ecdsa-with-SHA256, өөр өөр түлхүүр, ≤ 4 KiB). */
+    csrAuth: Uint8Array;
+    csrSign: Uint8Array;
+    /** `[A-Za-z0-9-]{1,64}`. */
+    tokenSerial: string;
+    /** Заавал биш (≤ 64). */
+    tokenLabel?: string;
+    /** Байгууллагын токен (NTRMN-…); хоосон/алга = хувийн токен. */
+    onBehalfOf?: string;
+}
+interface TokenCertStart {
+    sessionId: string;
+    /** Иргэнд ХАРУУЛАХ баталгаажуулах код (ПИН биш). */
+    vc: string | null;
+    /** hex(SHA-256(CSR DER)) — SDK илгээсэн CSR-тэй тулгасан (жижиг үсэг). */
+    csrAuthSha256: string;
+    csrSignSha256: string;
+    expiresAt?: string;
+}
+interface TokenCertItem {
+    /** base64 DER. */
+    certificate: string;
+    certificatePem: string;
+    serialHex: string;
+    notBefore: string;
+    notAfter: string;
+}
+/** GET /token/certificate/{sessionID} (зөвхөн үүсгэсэн RP, 24 цаг идэмпотент). */
+interface TokenCertResult {
+    status: string;
+    auth: TokenCertItem | null;
+    sign: TokenCertItem | null;
+    /** base64 DER: 04, 03, 02 (root-гүй). */
+    chain: string[];
+    chainPem: string;
+    /** Хувийн токенд null. */
+    organization: TokenOrganization | null;
+    keyMedium: string;
+    certificateLevel: string;
+    raw: unknown;
+}
+interface TokenAuthChallenge {
+    challengeId: string;
+    /** base64 (32 байт). */
+    challenge: string;
+    /** CA-ийн холбосон RP (жижиг үсэг) — hash-д ЯГ ЭНЭ мөр орно. */
+    rpUUID: string;
+    expiresAt: string;
+}
+/** CA-ийн баталгаажуулсан иргэн; givenName/surname — KYC бүртгэлээс (кирилл). */
+interface TokenIdentity {
+    etsi: string;
+    givenName: string;
+    surname: string;
+}
+interface TokenAuthResult {
+    identity: TokenIdentity;
+    serialHex: string;
+    notAfter: string;
+    /** Токен байгууллагад холбогдсон бол; эс бөгөөс null. */
+    organization: TokenOrganization | null;
+    raw: unknown;
+}
+/** 409 TOKEN_LIMIT_REACHED-ийн дэлгэрэнгүй. `limit` 0 = тухайн төрлийн олголт хаалттай. */
+interface TokenLimit {
+    kind: "PERSONAL" | "ORGANIZATION";
+    limit: number;
+    /** Зөвхөн ORGANIZATION-д (NTRMN-…). */
+    organization?: string;
+}
+declare class TokenApi {
+    private readonly http;
+    private readonly creds;
+    constructor(http: Http, creds: RpCredentials);
+    /**
+     * POST /token/certificate — токены AUTH + SIGN гэрчилгээ олголт эхлүүлнэ (иргэн утсаараа батална). CA-ийн буцаасан
+     * CSR hash-ууд илгээсэнтэй таарахгүй бол ValidationError.
+     */
+    issueCertificate(input: TokenCertInput): Promise<TokenCertStart>;
+    /**
+     * GET /token/certificate/{sessionID} — олгосон AUTH + SIGN гэрчилгээ + гинж. Токенд бичихээс өмнө
+     * {@link verifyTokenCertificates}-ээр CSR-ийн түлхүүртэй тулга.
+     */
+    certificateResult(sessionId: string): Promise<TokenCertResult>;
+    /** POST /token/auth/challenge — энэ RP-д холбогдсон нэг удаагийн challenge (2 мин). */
+    authChallenge(): Promise<TokenAuthChallenge>;
+    /**
+     * POST /token/auth/verify — токены AUTH гэрчилгээ (DER) + challenge дээрх түүхий r||s. CA гинж, төлөв, цуцлалт, гарын
+     * үсгийг шалгана; SDK нэмж endResult === OK ба identity.etsi === гэрчилгээний SERIALNUMBER-ийг тулгана (эс бөгөөс
+     * ValidationError). Challenge нэг удаагийн — алдааны дараа шинээр авна.
+     */
+    authVerify(challengeId: string, certDer: Uint8Array, signature: Uint8Array): Promise<TokenAuthResult>;
+}
+/**
+ * Олгосон AUTH/SIGN гэрчилгээ бүр задарч, илгээсэн CSR-ийн public key-тэй (SPKI) ЯГ таарахыг шалгана. Таарахгүй бол
+ * ValidationError — гэрчилгээг токенд бүү бич.
+ */
+declare function verifyTokenCertificates(result: TokenCertResult, csrAuth: Uint8Array, csrSign: Uint8Array): void;
+/**
+ * Токены зурах 32 байт: SHA-256("eID-TOKEN-AUTH" || rpUUID || challenge) (docs/TOKEN_AUTH.md). `rpUUID` — challenge
+ * хариуны `rpUUID` (жижиг үсэг, 36), `challengeB64` — 32 байт base64. Токен үүнийг CKM_ECDSA-аар зурж, түүхий r||s
+ * (64 байт)-ийг authVerify-д өгнө.
+ */
+declare function tokenAuthDigest(rpUUID: string, challengeB64: string): Buffer;
+/**
+ * err нь 409 TOKEN_LIMIT_REACHED бол түүний `{kind, limit, organization}`. Гэрээнээс гадуур хэлбэр бол undefined —
+ * татгалзал хүчинтэй хэвээр, дэлгэрэнгүйгүй.
+ */
+declare function tokenLimitOf(err: unknown): TokenLimit | undefined;
+
 /** Задалсан subject. Cert-д байхгүй талбар — undefined. Давхардсан OID-ийн эхнийх нь. */
 interface CertSubject {
     /** 2.5.4.42 GIVENNAME. */
@@ -271,12 +555,36 @@ interface ValidateAuthOptions {
      */
     userChallengeVerifier?: string;
 }
+/**
+ * validateSign-ийн нэмэлт шалгалт. Гуравдах параметрт мөр (`hashAlgorithm`) эсвэл энэ объектыг өгнө.
+ */
+interface ValidateSignOptions {
+    /** digest-ийг үүсгэсэн hash (хүсэлтэд илгээсэнтэй ижил; default SHA-256). */
+    hashAlgorithm?: string;
+    /**
+     * RP-ийн эхлүүлсэн урсгал (device-link: "QR" / "Web2App" / "App2App"; push → "Notification"). Өгвөл хариуны
+     * `flowType` ЯГ ИЖИЛ байх ёстой, эс бөгөөс `ValidationError` — validateAuth-ийн `expectedFlowType`-тэй ижил.
+     * ⚠️ RAW_DIGEST_SIGNATURE-д `flowType` гарын үсэгт ОРДОГГҮЙ (зөвхөн digest зурагдана) — энэ нь RP-API хариуны
+     * тулгалт, криптограф баталгаа биш.
+     */
+    expectedFlowType?: FlowType;
+}
 /**
  * RevocationChecker — иргэний cert revoke хийгдсэн эсэхийг шалгах hook (OCSP/CRL).
  * Сүлжээний I/O шаардсан тул async. RP нь cert доторх AIA (OCSP) / CDP (CRL) URL-аар
  * хэрэгжүүлнэ. "good" = хүчинтэй, "revoked" = цуцлагдсан, "unknown" = тогтоогдсонгүй.
  */
 type RevocationStatus = "good" | "revoked" | "unknown";
+/**
+ * {@link ResponseValidator.checkRevocationStatus}-ийн амжилттай дүн: "good" — issuer хүчинтэй гэж хариулсан;
+ * "unchecked" — "unknown", soft-fail горимд зөвшөөрөв; "skipped" — revocation hook тохируулаагүй.
+ */
+type RevocationOutcome = "good" | "unchecked" | "skipped";
+/**
+ * eID Mongolia Issuing CA (04)-ийн Subject Key Identifier — иргэний утасны болон USB токены AUTH/SIGN гэрчилгээг
+ * гаргадаг цорын ганц CA. `TrustConfig.allowedIssuerSkis`-д.
+ */
+declare const CITIZEN_ISSUING_CA_SKI = "b8a37f2c64ad677912db7d9e34f246358a2fb909";
 type RevocationChecker = (cert: X509Certificate, issuer: X509Certificate | undefined) => Promise<RevocationStatus>;
 interface TrustConfig {
     /**
@@ -306,6 +614,19 @@ interface TrustConfig {
      * revocation тохируулсан үед); "soft-fail" — "unknown"-г зөвшөөрнө.
      */
     revocationMode?: "hard-fail" | "soft-fail";
+    /**
+     * Иргэний гэрчилгээг шууд гаргасан CA-ийн Subject Key Identifier (hex, ":" зөвшөөрнө) жагсаалт. Хоосон/алга бол trust
+     * anchor хүртэл гинжлэгдсэн дурын CA зөвшөөрөгдөнө (хуучин зан). Ижил root-ийн доорх өөр CA (ж: байгууллагын Issuing
+     * CA) иргэний гэрчилгээ гаргахаас хамгаалахад: `[CITIZEN_ISSUING_CA_SKI]`.
+     */
+    allowedIssuerSkis?: string[];
+    /**
+     * true бол гэрчилгээний зориулалтыг CA-ийн профайлаар шалгана: auth → KeyUsage digitalSignature + ExtKeyUsage
+     * clientAuth (P-CITIZEN-AUTH); sign → KeyUsage contentCommitment / nonRepudiation (P-CITIZEN-SIGN). Анхдагч false.
+     */
+    checkKeyUsage?: boolean;
+    /** ACSP_V2 payload-ийн scheme нэр (CA-ийн `capabilities.acsp_scheme_name`); анхдагч "smart-id". */
+    schemeName?: string;
 }
 /** Баталгаажсан иргэний таних мэдээлэл (auth). */
 interface VerifiedIdentity {
@@ -336,6 +657,9 @@ declare class ResponseValidator {
     private readonly allowUntrusted;
     private readonly revocation?;
     private readonly revocationMode;
+    private readonly allowedIssuers?;
+    private readonly checkKeyUsage;
+    private readonly schemeName?;
     constructor(trust?: TrustConfig);
     /**
      * Auth session-ийн хариуг бүрэн шалгаж, баталгаажсан иргэнийг буцаана.
@@ -344,9 +668,9 @@ declare class ResponseValidator {
     validateAuth(result: SessionResult, acsp: AcspContext, opts?: ValidateAuthOptions): VerifiedIdentity;
     /**
      * Sign session-ийн хариуг бүрэн шалгаж, баталгаажсан гарын үсгийг буцаана.
-     * @param hashAlgorithm — digest-ийг үүсгэсэн hash (хүсэлтэд илгээсэнтэй ижил; default SHA-256).
+     * @param opts — `hashAlgorithm` мөр (хуучин хэлбэр; default SHA-256) эсвэл {@link ValidateSignOptions}.
      */
-    validateSign(result: SessionResult, digestB64: string, hashAlgorithm?: string): VerifiedSignature;
+    validateSign(result: SessionResult, digestB64: string, opts?: string | ValidateSignOptions): VerifiedSignature;
     /**
      * Хариуны signatureAlgorithm + hashAlgorithm-ийг RP-ийн хүссэнтэй ба иргэний түлхүүрийн төрөлтэй тулгана
      * (downgrade / alg confusion хаалт).
@@ -363,6 +687,13 @@ declare class ResponseValidator {
     private algorithmOf;
     /** state/endResult, cert байгаа эсэх, chain, validity, certLevel — нийтлэг шалгалт. */
     private precheck;
+    /**
+     * checkKeyUsage үед гэрчилгээний зориулалт протоколд тохирох эсэх (CA crypto/ca_profile.go): ACSP_V2 (auth) → KU
+     * digitalSignature + EKU clientAuth (эсвэл anyExtendedKeyUsage); RAW_DIGEST_SIGNATURE (sign) → KU contentCommitment.
+     */
+    private checkPurpose;
+    /** allowedIssuerSkis үед leaf-ийн шууд issuer-ийн SKI (issuer-т алга бол leaf-ийн AKI) жагсаалтад байх ёстой. */
+    private checkIssuer;
     private checkValidity;
     private checkLevel;
     /** leaf-ээс эхлэн issuer-ийг intermediates/anchors дотроос олж, anchor хүртэл chain зангидна. */
@@ -376,6 +707,11 @@ declare class ResponseValidator {
      * дуудна (тэдгээр нь sync; revocation нь сүлжээ I/O тул async).
      */
     checkRevocation(cert: X509Certificate): Promise<void>;
+    /**
+     * {@link checkRevocation} + юу шийдсэнийг буцаана (лог/аудитад): "good" | "unchecked" (unknown, soft-fail) |
+     * "skipped" (hook алга). "revoked", мөн hard-fail горимд "unknown" → ValidationError; hook-ийн алдаа дамжина.
+     */
+    checkRevocationStatus(cert: X509Certificate): Promise<RevocationOutcome>;
 }
 /** Payload (auth) дээрх гарын үсэг — алгоритмаар салаалж node:crypto verify. */
 /** Smart-ID: userChallenge = BASE64URL(SHA-256(UTF-8(userChallengeVerifier))), padding-гүй. */
@@ -396,6 +732,8 @@ interface ClientConfig {
     defaultCertificateLevel?: CertificateLevel;
     /** HTTP timeout (мс). */
     timeoutMs?: number;
+    /** PAdES prepare / баримт татах дуудлагын хугацаа (мс). Анхдагч 80000 ({@link DEFAULT_PDF_TIMEOUT_MS}). */
+    pdfTimeoutMs?: number;
     /** undici Dispatcher (mTLS client cert). */
     dispatcher?: unknown;
     /** fetch орлуулагч (тест). */
@@ -412,6 +750,8 @@ declare class EidClient {
     readonly sign: SignApi;
     readonly pdf: PdfApi;
     readonly organization: OrganizationApi;
+    readonly person: PersonApi;
+    readonly token: TokenApi;
     readonly session: SessionApi;
     readonly validator: ResponseValidator;
     constructor(cfg: ClientConfig);
@@ -649,4 +989,4 @@ declare class EidOidcClient {
 /** PKCE S256: `BASE64URL(SHA-256(ASCII(code_verifier)))` (RFC 7636 §4.2). */
 declare function pkceChallenge(codeVerifier: string): Promise<string>;
 
-export { AcspContext, type AcspV2Params, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, type TrustConfig, type ValidateAuthOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature };
+export { AcspContext, type AcspV2Params, type ActivityCounts, type ActivityItem, type ActivityQuery, AuthApi, type AuthDefaults, type AuthOptions, type BuildDeviceLinkInput, CITIZEN_ISSUING_CA_SKI, type CertCounts, type CertSubject, CertificateLevel, type ClientConfig, type CreateAuthorizationOptions, DEFAULT_BASE_URL, DEFAULT_PDF_TIMEOUT_MS, DeviceLinkSession, type DeviceLinkSessionType, type DeviceLinkType, EID_ACR_ADVANCED, EID_ACR_QUALIFIED, EID_OIDC_ISSUER, type EidAuthorization, type EidCallbackChecks, type EidCallbackResult, EidClient, EidError, type EidIdTokenClaims, EidOidcClient, type EidOidcClientConfig, type EidOidcDiscovery, EidOidcError, type EidOidcErrorCode, FlowType, HashAlgorithm, Http, type HttpConfig, Interaction, NotificationSession, OrganizationApi, PdfApi, type PdfDefaults, type PdfPrepareInput, type PdfPrepareSession, PdfSessionBlock, type PdfSignerRef, type PersonActivity, PersonApi, PersonBlock, type PersonCertificate, type PersonCertificates, type PersonChild, type PersonChildren, type PersonDevice, type PersonDevices, type PersonSummary, type QrDeviceLinkTickerOptions, RepresentationsResponse, ResponseValidator, type RevocationChecker, type RevocationOutcome, type RevocationStatus, RpCredentials, SessionApi, SessionResult, SignApi, type SignDefaults, type SignOptions, SignatureAlgorithm, TokenApi, type TokenAuthChallenge, type TokenAuthResult, type TokenCertInput, type TokenCertItem, type TokenCertResult, type TokenCertStart, type TokenIdentity, type TokenLimit, type TokenOrganization, type TrustConfig, type ValidateAuthOptions, type ValidateSignOptions, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, buildDeviceLink, interactionsToBase64, parseSessionResult, parseSubject, personMatchesCertificate, pkceChallenge, qrDeviceLinkTicker, randomChallenge, resolveBaseUrl, sha256Base64, tokenAuthDigest, tokenLimitOf, userChallengeOf, verifyPayloadSignature, verifyPrehashedSignature, verifyTokenCertificates };