@hostwebhook/node-types 1.88.0 → 1.90.0

package/dist/esm/index.d.ts

@@ -80,6 +80,8 @@ export { TOOLKITS_POR_TIPO, operacionDeToolkit, esOperacionDestructiva, TIPOS_CO
 export { GOOGLE_CONTACTS_TOOLKIT_SPECS, GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME, } from './google-contacts-toolkit.js';
 export type { GoogleContactsToolkitSpec, GoogleContactsToolkitParameter, } from './google-contacts-toolkit.js';
 export type { OperacionDeToolkit } from './toolkits.js';
+export { leerSslPostgres, ponerSslPostgres, pistaDeSslPostgres, conPistaDeSslPostgres, CASOS_DE_SSL_POSTGRES, FICHEROS_DE_POSTGRES, parametrosDeCadenaPostgres, ficherosEnCadenaPostgres, CASOS_DE_FICHEROS_POSTGRES, } from './postgres-ssl.js';
+export type { ModoSslPostgres, SslDeLaCadenaPostgres } from './postgres-ssl.js';
 export type { LlmProvider, LlmProviderOption, LlmModelOption, } from './llm-models.js';
 export { LLM_PROVIDERS, LLM_MODELS, MODEL_CONTEXT_WINDOWS, getModelsFor, getDefaultModel, getModelLabel, } from './llm-models.js';
 export type { ModeloDeOpenRouter, PrecioDeOpenRouter, RespuestaDeModelosDeOpenRouter, } from './openrouter.js';

package/dist/esm/index.js

@@ -62,6 +62,11 @@ export { TOOLKITS_POR_TIPO, operacionDeToolkit, esOperacionDestructiva, TIPOS_CO
    llama `…_TOOLKIT_SPECS` porque `GOOGLE_CONTACTS_OPERATION_SPECS` ya es el
    formulario del nodo — la misma pareja que Discord y Slack. */
 export { GOOGLE_CONTACTS_TOOLKIT_SPECS, GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME, } from './google-contacts-toolkit.js';
+// ── El SSL de una cadena de Postgres (dashboard, api y hw-nodes) ──
+/* Lo que hará `pg` con el SSL de una cadena, escrito una vez: el panel lo usa
+   para fijar el modo cuando la cadena lo dice, y los servicios para decir qué
+   cambiar cuando falla. El api lo compara con el driver de verdad. */
+export { leerSslPostgres, ponerSslPostgres, pistaDeSslPostgres, conPistaDeSslPostgres, CASOS_DE_SSL_POSTGRES, FICHEROS_DE_POSTGRES, parametrosDeCadenaPostgres, ficherosEnCadenaPostgres, CASOS_DE_FICHEROS_POSTGRES, } from './postgres-ssl.js';
 export { LLM_PROVIDERS, LLM_MODELS, MODEL_CONTEXT_WINDOWS, getModelsFor, getDefaultModel, getModelLabel, } from './llm-models.js';
 export { URL_DE_MODELOS_DE_OPENROUTER, opcionesDeModelosDeOpenRouter, ventanaDeContextoDeOpenRouter, } from './openrouter.js';
 export { CREDENTIAL_TYPES, CREDENTIAL_TYPE_VALUES, credentialTypeValues, getCredentialType, isCredentialType, } from './credentials.js';

package/dist/esm/postgres-ssl.d.ts

@@ -0,0 +1,163 @@
+/**
+ * El SSL de una cadena de conexión de Postgres: qué hará el driver con ella,
+ * y cómo escribir el modo que se elija.
+ *
+ * ## Por qué vive aquí (2026-09-24)
+ *
+ * Ariel conectó un Postgres de Railway eligiendo «Require» y el panel del nodo
+ * dijo `self-signed certificate in certificate chain`. Medido: el servidor
+ * enseña un certificado `CN=localhost` firmado por su propio `root-ca`, y
+ * «Require» escribía `sslmode=require`, que para `pg` 8 es VERIFICAR el
+ * certificado. Y pidió que, si la cadena ya trae el SSL, el panel lo lea y lo
+ * deje fijo; y si no lo trae, que se elija a mano.
+ *
+ * Para fijarlo, el panel tiene que saber lo que hará EL DRIVER, no lo que
+ * parece que dice la cadena — y el driver tiene reglas que no se adivinan:
+ * `sslmode=prefer` también verifica, `ssl=false` ENCIENDE el SSL (queda como
+ * el texto `"false"`, que es verdadero), y `uselibpqcompat=true` le da la
+ * vuelta a `require`. El panel sólo conocía `require` y `no-verify`; lo demás
+ * lo pintaba como «Off».
+ *
+ * Una sola función para el dashboard y para los servicios, y el api la compara
+ * caso a caso con el `pg` que de verdad corre (`el-ssl-de-postgres-es-el-del-
+ * driver.spec.ts`): si una actualización de `pg` cambia sus reglas, ese spec
+ * se pone rojo antes de que el panel enseñe una cosa y el driver haga otra.
+ *
+ * ## Las reglas, copiadas de `pg-connection-string` 2.12 y `pg` 8.20
+ *
+ *   1. Los parámetros salen de `new URL(cadena, 'postgres://base')` (con el
+ *      mismo arreglo de espacios y el mismo host de relleno para `@/`); si una
+ *      clave se repite, gana la ÚLTIMA. Las claves distinguen mayúsculas:
+ *      `SSLMODE` no existe para el driver.
+ *   2. `ssl=true`/`ssl=1` → sí; `ssl=0` → no; cualquier otro texto se queda
+ *      como texto (`ssl=false` → `"false"` → ENCENDIDO).
+ *   3. Si hay `sslmode` (no vacío) o un fichero (`sslcert`, `sslkey`,
+ *      `sslrootcert`), el SSL pasa a ser un objeto y `ssl=` deja de contar.
+ *   4. `sslmode`: `disable` → no; `no-verify` → cifrar sin comprobar; todo lo
+ *      demás (`prefer`, `require`, `verify-ca`, `verify-full`, y cualquier
+ *      valor raro) → cifrar Y comprobar el certificado.
+ *   5. Con `uselibpqcompat=true`, las de libpq: `prefer` y `require` → sin
+ *      comprobar; `verify-full` → comprobando; `verify-ca` sin `sslrootcert`
+ *      → el driver se NIEGA; `no-verify` no existe en libpq → comprobando.
+ *   6. Sin nada de eso, `pg` mira `PGSSLMODE` del entorno; en los servicios no
+ *      está puesta (medido el 2026-09-24), así que es SIN SSL.
+ *
+ * ## Los ficheros (`sslcert`, `sslkey`, `sslrootcert`)
+ *
+ * El driver los LEE DEL DISCO de quien conecta — nuestro servidor, no la
+ * máquina de quien pegó la cadena. Nunca pueden valer: aquí salen como
+ * `problema` y el panel no deja guardarlos.
+ */
+/** Los tres modos del selector. `require` es «cifrar y comprobar el
+ *  certificado» — lo que `pg` 8 hace con `sslmode=require`. */
+export type ModoSslPostgres = 'off' | 'require' | 'no-verify';
+export type SslDeLaCadenaPostgres = 
+/** La cadena no dice nada de SSL: se elige a mano. */
+{
+    dice: false;
+}
+/** La cadena lo decide. `por` es el parámetro que manda (`sslmode=require`). */
+ | {
+    dice: true;
+    modo: ModoSslPostgres;
+    por: string;
+}
+/** La cadena dice algo que no puede funcionar desde nuestros servidores. */
+ | {
+    dice: true;
+    modo: null;
+    por: string;
+    problema: string;
+};
+/**
+ * Los parámetros que `pg-connection-string` LEE DEL DISCO con
+ * `fs.readFileSync(<valor>)` al construir el cliente (2.12 y 2.14, medido
+ * el 2026-09-24). El api y hw-nodes comprueban contra el fuente del driver
+ * que no lee ninguno más (`ninguna-conexion-postgres-lee-ficheros.spec.ts`).
+ */
+export declare const FICHEROS_DE_POSTGRES: readonly ["sslcert", "sslkey", "sslrootcert"];
+/**
+ * Los parámetros de la cadena EXACTAMENTE como los lee `pg-connection-string`
+ * —mismo arreglo de espacios, mismo host de relleno para `@/`, claves
+ * decodificadas, la última repetida gana—. `null` si el driver no llega a
+ * leer parámetros: un socket (`/ruta` o `socket:`) o una cadena que ni él
+ * puede leer.
+ *
+ * ⚠️ SIN recortar: la usa una guarda de seguridad
+ * (`asegurarPostgresSinFicheros` en node-sdk). Con `" /x?sslrootcert=…"`, un
+ * recorte vería un socket y dejaría pasar lo que el driver sí lee.
+ */
+export declare function parametrosDeCadenaPostgres(cadena: string): Record<string, string> | null;
+/**
+ * Qué hará el driver con el SSL de esta cadena.
+ *
+ * `{ dice: false }` cuando la cadena no dice nada: ni `ssl`, ni `sslmode`, ni
+ * ficheros (un `sslmode=` o `ssl=` vacío tampoco dicen nada: el driver los
+ * ignora).
+ */
+export declare function leerSslPostgres(cadena: string): SslDeLaCadenaPostgres;
+/**
+ * Escribe el modo elegido en la cadena, quitando antes `ssl` y `sslmode` (en
+ * una cadena que «no dice nada», los que hubiera están vacíos). No toca el
+ * resto de parámetros, ni los recodifica.
+ *
+ * Lo que escribe, y por qué:
+ *   - `off`       → `sslmode=disable`, explícito: la cadena guardada dice lo
+ *                   que hace sin depender de `PGSSLMODE`.
+ *   - `require`   → `sslmode=verify-full`, no `require`: para `pg` 8 es lo
+ *                   mismo, pero `require` avisa en cada conexión de que en la
+ *                   versión 9 pasará a NO comprobar. `verify-full` significa
+ *                   lo mismo en las dos.
+ *   - `no-verify` → `sslmode=no-verify`; con `uselibpqcompat=true`, que no lo
+ *                   conoce, `sslmode=require` (lo mismo en libpq).
+ *
+ * Una cadena vacía se devuelve tal cual.
+ */
+export declare function ponerSslPostgres(cadena: string, modo: ModoSslPostgres): string;
+/**
+ * La frase que le falta a un error de conexión de SSL: qué cambiar. `null` si
+ * el error no es de SSL.
+ *
+ * Los tres casos que se ven al conectar:
+ *   - el certificado no se puede comprobar (autofirmado, CA privada, nombre
+ *     que no casa): Railway (`CN=localhost` de su `root-ca`) y Supabase (su
+ *     `Supabase Root 2021 CA`) —medidos los dos el 2026-09-24—, Heroku y
+ *     RDS. Neon sí se comprueba (Let's Encrypt);
+ *   - el servidor no acepta SSL;
+ *   - el servidor exige SSL y se conectó sin él.
+ */
+export declare function pistaDeSslPostgres(mensaje: string): string | null;
+/**
+ * Los casos con los que se comprueba `ficherosEnCadenaPostgres` contra el
+ * driver de verdad (el api y hw-nodes espían `fs.readFileSync` mientras
+ * `pg-connection-string` lee cada cadena): `lee` es si el DRIVER abre un
+ * fichero. Incluye los dos rodeos medidos el 2026-09-24 —un espacio delante
+ * de `/` (el driver no lo toma por socket y lee) y una clave codificada
+ * (`ssl%72ootcert`)— y lo que no lee (mayúsculas, sockets, valor vacío).
+ * Las rutas empiezan por `/nope` para que el espía las reconozca.
+ */
+export declare const CASOS_DE_FICHEROS_POSTGRES: ReadonlyArray<{
+    cadena: string;
+    lee: boolean;
+}>;
+/**
+ * Los parámetros de la cadena que el driver leería como FICHEROS del disco de
+ * quien conecta —nuestros servidores—. Vacío si no hay ninguno. Devuelve los
+ * NOMBRES, nunca los valores: una ruta no se repite en un mensaje.
+ */
+export declare function ficherosEnCadenaPostgres(cadena: string): string[];
+/** El mensaje con su pista, si la tiene. Lo que devuelven los servicios. Si el
+ *  error ya pasó por aquí (dos capas que lo envuelven), no la repite. */
+export declare function conPistaDeSslPostgres(mensaje: string): string;
+/**
+ * Los casos con los que se comprueba la regla — aquí y contra el driver de
+ * verdad en el api (`el-ssl-de-postgres-es-el-del-driver.spec.ts`). Uno nuevo
+ * se añade AQUÍ y lo miran los dos.
+ *
+ * `esperado`: el modo, `'nada'` si la cadena no dice nada, `'problema'` si no
+ * puede funcionar.
+ */
+export declare const CASOS_DE_SSL_POSTGRES: ReadonlyArray<{
+    cadena: string;
+    esperado: ModoSslPostgres | 'nada' | 'problema';
+}>;

package/dist/esm/postgres-ssl.js

@@ -0,0 +1,327 @@
+/**
+ * El SSL de una cadena de conexión de Postgres: qué hará el driver con ella,
+ * y cómo escribir el modo que se elija.
+ *
+ * ## Por qué vive aquí (2026-09-24)
+ *
+ * Ariel conectó un Postgres de Railway eligiendo «Require» y el panel del nodo
+ * dijo `self-signed certificate in certificate chain`. Medido: el servidor
+ * enseña un certificado `CN=localhost` firmado por su propio `root-ca`, y
+ * «Require» escribía `sslmode=require`, que para `pg` 8 es VERIFICAR el
+ * certificado. Y pidió que, si la cadena ya trae el SSL, el panel lo lea y lo
+ * deje fijo; y si no lo trae, que se elija a mano.
+ *
+ * Para fijarlo, el panel tiene que saber lo que hará EL DRIVER, no lo que
+ * parece que dice la cadena — y el driver tiene reglas que no se adivinan:
+ * `sslmode=prefer` también verifica, `ssl=false` ENCIENDE el SSL (queda como
+ * el texto `"false"`, que es verdadero), y `uselibpqcompat=true` le da la
+ * vuelta a `require`. El panel sólo conocía `require` y `no-verify`; lo demás
+ * lo pintaba como «Off».
+ *
+ * Una sola función para el dashboard y para los servicios, y el api la compara
+ * caso a caso con el `pg` que de verdad corre (`el-ssl-de-postgres-es-el-del-
+ * driver.spec.ts`): si una actualización de `pg` cambia sus reglas, ese spec
+ * se pone rojo antes de que el panel enseñe una cosa y el driver haga otra.
+ *
+ * ## Las reglas, copiadas de `pg-connection-string` 2.12 y `pg` 8.20
+ *
+ *   1. Los parámetros salen de `new URL(cadena, 'postgres://base')` (con el
+ *      mismo arreglo de espacios y el mismo host de relleno para `@/`); si una
+ *      clave se repite, gana la ÚLTIMA. Las claves distinguen mayúsculas:
+ *      `SSLMODE` no existe para el driver.
+ *   2. `ssl=true`/`ssl=1` → sí; `ssl=0` → no; cualquier otro texto se queda
+ *      como texto (`ssl=false` → `"false"` → ENCENDIDO).
+ *   3. Si hay `sslmode` (no vacío) o un fichero (`sslcert`, `sslkey`,
+ *      `sslrootcert`), el SSL pasa a ser un objeto y `ssl=` deja de contar.
+ *   4. `sslmode`: `disable` → no; `no-verify` → cifrar sin comprobar; todo lo
+ *      demás (`prefer`, `require`, `verify-ca`, `verify-full`, y cualquier
+ *      valor raro) → cifrar Y comprobar el certificado.
+ *   5. Con `uselibpqcompat=true`, las de libpq: `prefer` y `require` → sin
+ *      comprobar; `verify-full` → comprobando; `verify-ca` sin `sslrootcert`
+ *      → el driver se NIEGA; `no-verify` no existe en libpq → comprobando.
+ *   6. Sin nada de eso, `pg` mira `PGSSLMODE` del entorno; en los servicios no
+ *      está puesta (medido el 2026-09-24), así que es SIN SSL.
+ *
+ * ## Los ficheros (`sslcert`, `sslkey`, `sslrootcert`)
+ *
+ * El driver los LEE DEL DISCO de quien conecta — nuestro servidor, no la
+ * máquina de quien pegó la cadena. Nunca pueden valer: aquí salen como
+ * `problema` y el panel no deja guardarlos.
+ */
+/**
+ * Los parámetros que `pg-connection-string` LEE DEL DISCO con
+ * `fs.readFileSync(<valor>)` al construir el cliente (2.12 y 2.14, medido
+ * el 2026-09-24). El api y hw-nodes comprueban contra el fuente del driver
+ * que no lee ninguno más (`ninguna-conexion-postgres-lee-ficheros.spec.ts`).
+ */
+export const FICHEROS_DE_POSTGRES = ['sslcert', 'sslkey', 'sslrootcert'];
+const FICHEROS = FICHEROS_DE_POSTGRES;
+/**
+ * Los parámetros de la cadena EXACTAMENTE como los lee `pg-connection-string`
+ * —mismo arreglo de espacios, mismo host de relleno para `@/`, claves
+ * decodificadas, la última repetida gana—. `null` si el driver no llega a
+ * leer parámetros: un socket (`/ruta` o `socket:`) o una cadena que ni él
+ * puede leer.
+ *
+ * ⚠️ SIN recortar: la usa una guarda de seguridad
+ * (`asegurarPostgresSinFicheros` en node-sdk). Con `" /x?sslrootcert=…"`, un
+ * recorte vería un socket y dejaría pasar lo que el driver sí lee.
+ */
+export function parametrosDeCadenaPostgres(cadena) {
+    let str = cadena ?? '';
+    if (!str || str.charAt(0) === '/')
+        return null;
+    if (/ |%[^a-f0-9]|%[a-f0-9][^a-f0-9]/i.test(str)) {
+        str = encodeURI(str).replace(/%25(\d\d)/g, '%$1');
+    }
+    let url;
+    try {
+        try {
+            url = new URL(str, 'postgres://base');
+        }
+        catch {
+            url = new URL(str.replace('@/', '@___DUMMY___/'), 'postgres://base');
+        }
+    }
+    catch {
+        return null;
+    }
+    /* Con `socket:` el driver devuelve antes de mirar el SSL. */
+    if (url.protocol === 'socket:')
+        return null;
+    const p = {};
+    url.searchParams.forEach((valor, clave) => {
+        p[clave] = valor;
+    });
+    return p;
+}
+/**
+ * Qué hará el driver con el SSL de esta cadena.
+ *
+ * `{ dice: false }` cuando la cadena no dice nada: ni `ssl`, ni `sslmode`, ni
+ * ficheros (un `sslmode=` o `ssl=` vacío tampoco dicen nada: el driver los
+ * ignora).
+ */
+export function leerSslPostgres(cadena) {
+    /* Recortada: es lo que se guarda (los formularios guardan `trim()`). */
+    const p = parametrosDeCadenaPostgres((cadena ?? '').trim());
+    if (!p)
+        return { dice: false };
+    const ficheros = FICHEROS.filter((k) => p[k]);
+    if (ficheros.length > 0) {
+        return {
+            dice: true,
+            modo: null,
+            por: `${ficheros[0]}=…`,
+            problema: `\`${ficheros[0]}\` points to a file, and the driver reads it from the disk of the ` +
+                `machine that connects — our servers, not yours. Remove it from the connection string ` +
+                `and pick the SSL mode here instead.`,
+        };
+    }
+    const libpq = p.uselibpqcompat === 'true';
+    const conLibpq = libpq ? ' with uselibpqcompat=true' : '';
+    if (p.sslmode) {
+        const por = `sslmode=${p.sslmode}${conLibpq}`;
+        if (libpq) {
+            switch (p.sslmode) {
+                case 'disable':
+                    return { dice: true, modo: 'off', por };
+                case 'prefer':
+                case 'require':
+                    return { dice: true, modo: 'no-verify', por };
+                case 'verify-ca':
+                    return {
+                        dice: true,
+                        modo: null,
+                        por,
+                        problema: 'With uselibpqcompat=true, sslmode=verify-ca needs sslrootcert, and a certificate file ' +
+                            "can't be read from our servers. Use sslmode=verify-full, or remove sslmode and pick " +
+                            'the SSL mode here.',
+                    };
+                default:
+                    /* `verify-full`, `no-verify` (que libpq no conoce) o un valor raro:
+                       el objeto se queda vacío → comprobar. */
+                    return { dice: true, modo: 'require', por };
+            }
+        }
+        switch (p.sslmode) {
+            case 'disable':
+                return { dice: true, modo: 'off', por };
+            case 'no-verify':
+                return { dice: true, modo: 'no-verify', por };
+            default:
+                return { dice: true, modo: 'require', por };
+        }
+    }
+    if (p.ssl) {
+        const por = `ssl=${p.ssl}`;
+        if (p.ssl === '0')
+            return { dice: true, modo: 'off', por };
+        /* `pg` convierte `ssl=no-verify` en «sin comprobar». */
+        if (p.ssl === 'no-verify')
+            return { dice: true, modo: 'no-verify', por };
+        /* `true`, `1`… y también `false`: queda como el texto `"false"`, que es
+           verdadero, y el driver cifra y comprueba. */
+        return { dice: true, modo: 'require', por };
+    }
+    return { dice: false };
+}
+/**
+ * Escribe el modo elegido en la cadena, quitando antes `ssl` y `sslmode` (en
+ * una cadena que «no dice nada», los que hubiera están vacíos). No toca el
+ * resto de parámetros, ni los recodifica.
+ *
+ * Lo que escribe, y por qué:
+ *   - `off`       → `sslmode=disable`, explícito: la cadena guardada dice lo
+ *                   que hace sin depender de `PGSSLMODE`.
+ *   - `require`   → `sslmode=verify-full`, no `require`: para `pg` 8 es lo
+ *                   mismo, pero `require` avisa en cada conexión de que en la
+ *                   versión 9 pasará a NO comprobar. `verify-full` significa
+ *                   lo mismo en las dos.
+ *   - `no-verify` → `sslmode=no-verify`; con `uselibpqcompat=true`, que no lo
+ *                   conoce, `sslmode=require` (lo mismo en libpq).
+ *
+ * Una cadena vacía se devuelve tal cual.
+ */
+export function ponerSslPostgres(cadena, modo) {
+    if (!cadena)
+        return cadena;
+    const i = cadena.indexOf('?');
+    const base = i >= 0 ? cadena.slice(0, i) : cadena;
+    const partes = i >= 0 ? cadena.slice(i + 1).split('&') : [];
+    const clave = (parte) => {
+        const k = parte.split('=')[0];
+        try {
+            return decodeURIComponent(k);
+        }
+        catch {
+            return k;
+        }
+    };
+    const libpq = partes.some((parte) => clave(parte) === 'uselibpqcompat' && /=true$/.test(parte));
+    const quedan = partes.filter((parte) => parte !== '' && clave(parte) !== 'ssl' && clave(parte) !== 'sslmode');
+    const valor = modo === 'off' ? 'disable' : modo === 'require' ? 'verify-full' : libpq ? 'require' : 'no-verify';
+    quedan.push(`sslmode=${valor}`);
+    return `${base}?${quedan.join('&')}`;
+}
+/**
+ * La frase que le falta a un error de conexión de SSL: qué cambiar. `null` si
+ * el error no es de SSL.
+ *
+ * Los tres casos que se ven al conectar:
+ *   - el certificado no se puede comprobar (autofirmado, CA privada, nombre
+ *     que no casa): Railway (`CN=localhost` de su `root-ca`) y Supabase (su
+ *     `Supabase Root 2021 CA`) —medidos los dos el 2026-09-24—, Heroku y
+ *     RDS. Neon sí se comprueba (Let's Encrypt);
+ *   - el servidor no acepta SSL;
+ *   - el servidor exige SSL y se conectó sin él.
+ */
+export function pistaDeSslPostgres(mensaje) {
+    const m = mensaje ?? '';
+    if (/self[- ]signed certificate|unable to verify the first certificate|unable to get local issuer certificate|certificate has expired|Hostname\/IP does not match certificate|SELF_SIGNED_CERT_IN_CHAIN|DEPTH_ZERO_SELF_SIGNED_CERT|UNABLE_TO_VERIFY_LEAF_SIGNATURE|ERR_TLS_CERT_ALTNAME_INVALID|CERT_HAS_EXPIRED/i.test(m)) {
+        return ("The server's SSL certificate can't be verified (self-signed or from a private CA — Railway, " +
+            'Supabase, Heroku and RDS do this). Set the credential\'s SSL mode to "Require, skip cert" ' +
+            '(sslmode=no-verify): the connection stays encrypted, only the certificate check is skipped.');
+    }
+    if (/server does not support SSL connections/i.test(m)) {
+        return ('This server does not accept SSL. Set the credential\'s SSL mode to "Off" (sslmode=disable) — ' +
+            'only for a private network or a tunnel.');
+    }
+    if (/no pg_hba\.conf entry.*(no encryption|SSL off)|connection is insecure|SSL (connection )?is required|requires? SSL/i.test(m)) {
+        return ('This server requires SSL. Set the credential\'s SSL mode to "Require" (sslmode=verify-full), ' +
+            'or "Require, skip cert" (sslmode=no-verify) if its certificate is self-signed.');
+    }
+    return null;
+}
+/**
+ * Los casos con los que se comprueba `ficherosEnCadenaPostgres` contra el
+ * driver de verdad (el api y hw-nodes espían `fs.readFileSync` mientras
+ * `pg-connection-string` lee cada cadena): `lee` es si el DRIVER abre un
+ * fichero. Incluye los dos rodeos medidos el 2026-09-24 —un espacio delante
+ * de `/` (el driver no lo toma por socket y lee) y una clave codificada
+ * (`ssl%72ootcert`)— y lo que no lee (mayúsculas, sockets, valor vacío).
+ * Las rutas empiezan por `/nope` para que el espía las reconozca.
+ */
+export const CASOS_DE_FICHEROS_POSTGRES = [
+    { cadena: 'postgres://u:p@h/db?sslrootcert=/nope1', lee: true },
+    { cadena: ' /x?sslrootcert=/nope2', lee: true },
+    { cadena: 'postgres://u:p@h/db?ssl%72ootcert=/nope3', lee: true },
+    { cadena: 'postgres://u:p@h/db?SSLROOTCERT=/nope4', lee: false },
+    { cadena: 'socket://u:p@/var/run?sslrootcert=/nope5', lee: false },
+    { cadena: '/var/run/postgresql db?sslrootcert=/nope6', lee: false },
+    { cadena: 'postgres://u:p@/db?sslkey=/nope7', lee: true },
+    { cadena: 'postgres://u:p w@h/db?sslcert=/nope8', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslrootcert=/nope9&sslrootcert=', lee: false },
+    { cadena: 'postgres://u:p@h/db?sslrootcert=&sslrootcert=/nope10', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslmode=require&sslcert=/nope11&sslkey=/nope12', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslmode=no-verify&sslpassword=x', lee: false },
+];
+/**
+ * Los parámetros de la cadena que el driver leería como FICHEROS del disco de
+ * quien conecta —nuestros servidores—. Vacío si no hay ninguno. Devuelve los
+ * NOMBRES, nunca los valores: una ruta no se repite en un mensaje.
+ */
+export function ficherosEnCadenaPostgres(cadena) {
+    const p = parametrosDeCadenaPostgres(cadena);
+    if (!p)
+        return [];
+    return FICHEROS_DE_POSTGRES.filter((k) => p[k]);
+}
+/** El mensaje con su pista, si la tiene. Lo que devuelven los servicios. Si el
+ *  error ya pasó por aquí (dos capas que lo envuelven), no la repite. */
+export function conPistaDeSslPostgres(mensaje) {
+    const pista = pistaDeSslPostgres(mensaje);
+    if (!pista || mensaje.includes(pista))
+        return mensaje;
+    return `${mensaje} — ${pista}`;
+}
+/**
+ * Los casos con los que se comprueba la regla — aquí y contra el driver de
+ * verdad en el api (`el-ssl-de-postgres-es-el-del-driver.spec.ts`). Uno nuevo
+ * se añade AQUÍ y lo miran los dos.
+ *
+ * `esperado`: el modo, `'nada'` si la cadena no dice nada, `'problema'` si no
+ * puede funcionar.
+ */
+export const CASOS_DE_SSL_POSTGRES = [
+    { cadena: 'postgresql://u:p@h.example:5432/db', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?application_name=x', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?SSLMODE=require', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=allow', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=prefer', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=verify-ca', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=verify-full', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=REQUIRE', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=true', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=1', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=false', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=0', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=true&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=disable&ssl=true', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=no-verify&ssl=true', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=prefer', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=require', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=verify-full', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=no-verify', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=verify-ca', esperado: 'problema' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslrootcert=/etc/ssl/ca.pem', esperado: 'problema' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require&sslkey=key.pem', esperado: 'problema' },
+    { cadena: 'postgres://u:p@h.example/db?sslmode=require', esperado: 'require' },
+    { cadena: 'postgres://u:p%40x@h.example/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgres://u:p@/db?host=/var/run/postgresql&sslmode=disable', esperado: 'off' },
+    /* Varios hosts: `pg` ni la lee (`ERR_INVALID_URL`), así que no hay SSL que
+       fijar — falla al conectar con su propio error. */
+    { cadena: 'postgres://u:p@h1.example:5432,h2.example:5433/db?sslmode=require', esperado: 'nada' },
+    { cadena: 'postgres://u:p w@h.example/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: '/var/run/postgresql mydb', esperado: 'nada' },
+    { cadena: '', esperado: 'nada' },
+];

package/dist/index.d.ts

@@ -80,6 +80,8 @@ export { TOOLKITS_POR_TIPO, operacionDeToolkit, esOperacionDestructiva, TIPOS_CO
 export { GOOGLE_CONTACTS_TOOLKIT_SPECS, GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME, } from './google-contacts-toolkit.js';
 export type { GoogleContactsToolkitSpec, GoogleContactsToolkitParameter, } from './google-contacts-toolkit.js';
 export type { OperacionDeToolkit } from './toolkits.js';
+export { leerSslPostgres, ponerSslPostgres, pistaDeSslPostgres, conPistaDeSslPostgres, CASOS_DE_SSL_POSTGRES, FICHEROS_DE_POSTGRES, parametrosDeCadenaPostgres, ficherosEnCadenaPostgres, CASOS_DE_FICHEROS_POSTGRES, } from './postgres-ssl.js';
+export type { ModoSslPostgres, SslDeLaCadenaPostgres } from './postgres-ssl.js';
 export type { LlmProvider, LlmProviderOption, LlmModelOption, } from './llm-models.js';
 export { LLM_PROVIDERS, LLM_MODELS, MODEL_CONTEXT_WINDOWS, getModelsFor, getDefaultModel, getModelLabel, } from './llm-models.js';
 export type { ModeloDeOpenRouter, PrecioDeOpenRouter, RespuestaDeModelosDeOpenRouter, } from './openrouter.js';

package/dist/index.js

@@ -3,8 +3,8 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.GMAIL_SEND_LEGACY_FIELDS = exports.NATIVE_EMAIL_TOOLKIT_BY_TOOL_NAME = exports.GMAIL_TOOLKIT_BY_TOOL_NAME = exports.NATIVE_EMAIL_TOOLKIT_SPECS = exports.GMAIL_SEND_AND_WAIT_TOOL_SPEC = exports.GMAIL_ALL_TOOLKIT_SPECS = exports.GMAIL_TOOLKIT_SPECS = exports.GMAIL_TOOLKIT_OPERATIONS = exports.GMAIL_DROPDOWN_OPERATIONS = exports.GMAIL_OPERATION_GROUPS = exports.GMAIL_OPERATION_SPECS = exports.GMAIL_OPERATIONS = exports.versionCatalogErrors = exports.fieldsLost = exports.fieldsLostBetween = exports.currentVersion = exports.versionSpec = exports.versionsOf = exports.isVersioned = exports.NODE_TYPE_TO_PREFIX = exports.PREFIX_TO_NODE_TYPE = exports.NODE_STATE_KEYS = exports.NODE_COLORS = exports.NODE_DETAIL_PATHS = exports.getNodeRegistryEntry = exports.NODE_REGISTRY = exports.pasaLoQueRecibe = exports.getNodeDispatchConfig = exports.getAllNodeCollections = exports.NODE_DISPATCH = exports.todosLosOutputGroups = exports.outputGroupsFor = exports.esEtiquetaDeSentimiento = exports.SENTIMENT_PORT_SUMMARY = exports.SENTIMENT_PORT_LABEL = exports.SENTIMENT_PORTS = exports.SENTIMENT_UNCLEAR = exports.SENTIMENT_LABELS = exports.resolveNodeId = exports.PREFIX_TO_TYPE = exports.NODE_UI = exports.ALL_NODE_TYPES = exports.isNodeType = exports.isTerminal = exports.canSendToNodes = exports.canReceiveFromNodes = exports.canReceiveFrom = exports.NODE_CONNECTIONS = exports.iterableMeta = exports.singleMeta = void 0;
 exports.isGithubOperation = exports.GITHUB_ITERABLE_OPERATIONS = exports.GITHUB_DROPDOWN_OPERATIONS = exports.GITHUB_OPERATION_SPECS = exports.GITHUB_OPERATIONS = exports.scopesQueFaltanEnShopify = exports.isShopifyOperation = exports.SHOPIFY_PRODUCT_STATUSES = exports.SHOPIFY_CANCEL_REASONS = exports.SHOPIFY_SEARCHABLE_RESOURCES = exports.SHOPIFY_TAGGABLE_RESOURCES = exports.SHOPIFY_OPERATION_SCOPES = exports.SHOPIFY_OPERATION_SPECS = exports.SHOPIFY_OPERATIONS = exports.isMailchimpOperation = exports.MAILCHIMP_CONTACT_STATUSES = exports.MAILCHIMP_OPERATION_SPECS = exports.MAILCHIMP_OPERATIONS = exports.herramientasDeDiscordPara = exports.DISCORD_TOOLKIT_BY_TOOL_NAME = exports.DISCORD_TOOLKIT_SPECS = exports.isDiscordOperation = exports.camposDeDiscordNoDisponibles = exports.discordPuedeEjecutar = exports.operacionesDeDiscordPara = exports.DISCORD_CAPACIDADES_POR_CREDENCIAL = exports.DISCORD_OPERATION_SPECS = exports.DISCORD_OPERATIONS = exports.camposNoDisponiblesPara = exports.puedeEjecutar = exports.operacionesPara = exports.isWhatsAppOperation = exports.WHATSAPP_OPERATIONS = exports.TELEGRAM_TOOLKIT_BY_TOOL_NAME = exports.TELEGRAM_TOOLKIT_SPECS = exports.isTelegramOperation = exports.TELEGRAM_OPERATION_SPECS = exports.TELEGRAM_OPERATIONS = exports.DRIVE_TOOLKIT_BY_TOOL_NAME = exports.DRIVE_TOOLKIT_SPECS = exports.isDriveOperation = exports.DRIVE_OPERATION_SPECS = exports.DRIVE_OPERATIONS = exports.GOOGLE_CALENDAR_TOOLKIT_BY_TOOL_NAME = exports.GOOGLE_CALENDAR_TOOLKIT_SPECS = exports.isGoogleCalendarOperation = exports.GOOGLE_CALENDAR_OPERATION_SPECS = exports.GOOGLE_CALENDAR_OPERATIONS = exports.isGmailOperation = exports.resolveGmailSendFields = void 0;
 exports.NOTION_OPERATION_SPECS = exports.NOTION_OPERATIONS = exports.isGoogleAnalyticsOperation = exports.GOOGLE_ANALYTICS_DROPDOWN_OPERATIONS = exports.GOOGLE_ANALYTICS_OPERATION_SPECS = exports.GOOGLE_ANALYTICS_OPERATIONS = exports.isGoogleContactsOperation = exports.GOOGLE_CONTACTS_DEFAULT_PERSON_FIELDS = exports.GOOGLE_CONTACTS_OPERATION_GROUPS = exports.GOOGLE_CONTACTS_OPERATION_SPECS = exports.GOOGLE_CONTACTS_OPERATIONS_V2 = exports.GOOGLE_CONTACTS_OPERATIONS_V1 = exports.GOOGLE_CONTACTS_OPERATIONS = exports.SHEETS_TOOLKIT_DEFAULTABLE = exports.SHEETS_TOOLKIT_BY_TOOL_NAME = exports.SHEETS_TOOLKIT_SPECS = exports.isSheetsOperation = exports.SHEETS_OPERATION_SPECS = exports.SHEETS_OPERATIONS = exports.herramientasDeSlackPara = exports.SLACK_TOOLKIT_BY_TOOL_NAME = exports.SLACK_TOOLKIT_SPECS = exports.isSlackOperation = exports.camposDeSlackNoDisponibles = exports.slackPuedeEjecutar = exports.operacionesDeSlackPara = exports.SLACK_CAPACIDADES_POR_CREDENCIAL = exports.SLACK_OPERATION_SPECS = exports.SLACK_OPERATIONS = exports.isAirtableOperation = exports.AIRTABLE_ITERABLE_OPERATIONS = exports.AIRTABLE_OPERATION_SPECS = exports.AIRTABLE_OPERATIONS = exports.isCalendlyOperation = exports.CALENDLY_ITERABLE_OPERATIONS = exports.CALENDLY_OPERATION_SPECS = exports.CALENDLY_OPERATIONS = exports.isApifyOperation = exports.APIFY_ITERABLE_OPERATIONS = exports.APIFY_OPERATION_SPECS = exports.APIFY_OPERATIONS = exports.isBucketOperation = exports.BUCKET_ITERABLE_OPERATIONS = exports.BUCKET_OPERATION_SPECS = exports.BUCKET_OPERATIONS = exports.isJiraOperation = exports.JIRA_ITERABLE_OPERATIONS = exports.JIRA_DROPDOWN_OPERATIONS = exports.JIRA_OPERATION_SPECS = exports.JIRA_OPERATIONS = void 0;
-exports.isCredentialType = exports.getCredentialType = exports.credentialTypeValues = exports.CREDENTIAL_TYPE_VALUES = exports.CREDENTIAL_TYPES = exports.ventanaDeContextoDeOpenRouter = exports.opcionesDeModelosDeOpenRouter = exports.URL_DE_MODELOS_DE_OPENROUTER = exports.getModelLabel = exports.getDefaultModel = exports.getModelsFor = exports.MODEL_CONTEXT_WINDOWS = exports.LLM_MODELS = exports.LLM_PROVIDERS = exports.GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME = exports.GOOGLE_CONTACTS_TOOLKIT_SPECS = exports.motivoParaNoCorrer = exports.mensajeDeHerramientaBloqueada = exports.MENSAJE_SIN_HERRAMIENTA = exports.herramientaBloqueadaEn = exports.bloqueadasDe = exports.nombresDeHerramientas = exports.admiteBloqueo = exports.tieneModoToolkit = exports.TIPOS_CON_TOOLKIT = exports.esOperacionDestructiva = exports.operacionDeToolkit = exports.TOOLKITS_POR_TIPO = exports.marcarDestructivas = exports.esHerramientaDestructiva = exports.claseDeHerramienta = exports.POSTGRES_TOOLKIT_BY_TOOL_NAME = exports.POSTGRES_TOOLKIT_SPECS = exports.MONGO_TOOLKIT_BY_TOOL_NAME = exports.MONGO_TOOLKIT_SPECS = exports.DOCS_TOOLKIT_DEFAULTABLE = exports.DOCS_TOOLKIT_BY_TOOL_NAME = exports.DOCS_TOOLKIT_SPECS = exports.isDocsOperation = exports.DOCS_OPERATION_SPECS = exports.DOCS_OPERATIONS = exports.isMongoOperation = exports.MONGO_OPERATION_SPECS = exports.MONGO_OPERATIONS = exports.isPostgresOperation = exports.POSTGRES_OPERATION_SPECS = exports.POSTGRES_MODES = exports.POSTGRES_OPERATIONS = exports.isNotionOperation = exports.NOTION_DROPDOWN_OPERATIONS = void 0;
-exports.armarRespuestaDelSync = exports.RESPUESTA_DEL_SYNC_POR_DEFECTO = exports.TOPE_DE_ESPERA_DEL_SYNC = exports.TOPES_DE_ESTADO = exports.SOBRES_DE_RESPUESTA = exports.MODOS_DE_PAYLOAD = exports.NIVELES_DE_DETALLE = exports.RESULTADOS_DEL_VALIDADOR = exports.contestaEnSync = exports.NODOS_QUE_CONTESTAN_EN_SYNC = void 0;
+exports.getDefaultModel = exports.getModelsFor = exports.MODEL_CONTEXT_WINDOWS = exports.LLM_MODELS = exports.LLM_PROVIDERS = exports.CASOS_DE_FICHEROS_POSTGRES = exports.ficherosEnCadenaPostgres = exports.parametrosDeCadenaPostgres = exports.FICHEROS_DE_POSTGRES = exports.CASOS_DE_SSL_POSTGRES = exports.conPistaDeSslPostgres = exports.pistaDeSslPostgres = exports.ponerSslPostgres = exports.leerSslPostgres = exports.GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME = exports.GOOGLE_CONTACTS_TOOLKIT_SPECS = exports.motivoParaNoCorrer = exports.mensajeDeHerramientaBloqueada = exports.MENSAJE_SIN_HERRAMIENTA = exports.herramientaBloqueadaEn = exports.bloqueadasDe = exports.nombresDeHerramientas = exports.admiteBloqueo = exports.tieneModoToolkit = exports.TIPOS_CON_TOOLKIT = exports.esOperacionDestructiva = exports.operacionDeToolkit = exports.TOOLKITS_POR_TIPO = exports.marcarDestructivas = exports.esHerramientaDestructiva = exports.claseDeHerramienta = exports.POSTGRES_TOOLKIT_BY_TOOL_NAME = exports.POSTGRES_TOOLKIT_SPECS = exports.MONGO_TOOLKIT_BY_TOOL_NAME = exports.MONGO_TOOLKIT_SPECS = exports.DOCS_TOOLKIT_DEFAULTABLE = exports.DOCS_TOOLKIT_BY_TOOL_NAME = exports.DOCS_TOOLKIT_SPECS = exports.isDocsOperation = exports.DOCS_OPERATION_SPECS = exports.DOCS_OPERATIONS = exports.isMongoOperation = exports.MONGO_OPERATION_SPECS = exports.MONGO_OPERATIONS = exports.isPostgresOperation = exports.POSTGRES_OPERATION_SPECS = exports.POSTGRES_MODES = exports.POSTGRES_OPERATIONS = exports.isNotionOperation = exports.NOTION_DROPDOWN_OPERATIONS = void 0;
+exports.armarRespuestaDelSync = exports.RESPUESTA_DEL_SYNC_POR_DEFECTO = exports.TOPE_DE_ESPERA_DEL_SYNC = exports.TOPES_DE_ESTADO = exports.SOBRES_DE_RESPUESTA = exports.MODOS_DE_PAYLOAD = exports.NIVELES_DE_DETALLE = exports.RESULTADOS_DEL_VALIDADOR = exports.contestaEnSync = exports.NODOS_QUE_CONTESTAN_EN_SYNC = exports.isCredentialType = exports.getCredentialType = exports.credentialTypeValues = exports.CREDENTIAL_TYPE_VALUES = exports.CREDENTIAL_TYPES = exports.ventanaDeContextoDeOpenRouter = exports.opcionesDeModelosDeOpenRouter = exports.URL_DE_MODELOS_DE_OPENROUTER = exports.getModelLabel = void 0;
 var types_js_1 = require("./types.js");
 Object.defineProperty(exports, "singleMeta", { enumerable: true, get: function () { return types_js_1.singleMeta; } });
 Object.defineProperty(exports, "iterableMeta", { enumerable: true, get: function () { return types_js_1.iterableMeta; } });
@@ -255,6 +255,20 @@ Object.defineProperty(exports, "motivoParaNoCorrer", { enumerable: true, get: fu
 var google_contacts_toolkit_js_1 = require("./google-contacts-toolkit.js");
 Object.defineProperty(exports, "GOOGLE_CONTACTS_TOOLKIT_SPECS", { enumerable: true, get: function () { return google_contacts_toolkit_js_1.GOOGLE_CONTACTS_TOOLKIT_SPECS; } });
 Object.defineProperty(exports, "GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME", { enumerable: true, get: function () { return google_contacts_toolkit_js_1.GOOGLE_CONTACTS_TOOLKIT_BY_TOOL_NAME; } });
+// ── El SSL de una cadena de Postgres (dashboard, api y hw-nodes) ──
+/* Lo que hará `pg` con el SSL de una cadena, escrito una vez: el panel lo usa
+   para fijar el modo cuando la cadena lo dice, y los servicios para decir qué
+   cambiar cuando falla. El api lo compara con el driver de verdad. */
+var postgres_ssl_js_1 = require("./postgres-ssl.js");
+Object.defineProperty(exports, "leerSslPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.leerSslPostgres; } });
+Object.defineProperty(exports, "ponerSslPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.ponerSslPostgres; } });
+Object.defineProperty(exports, "pistaDeSslPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.pistaDeSslPostgres; } });
+Object.defineProperty(exports, "conPistaDeSslPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.conPistaDeSslPostgres; } });
+Object.defineProperty(exports, "CASOS_DE_SSL_POSTGRES", { enumerable: true, get: function () { return postgres_ssl_js_1.CASOS_DE_SSL_POSTGRES; } });
+Object.defineProperty(exports, "FICHEROS_DE_POSTGRES", { enumerable: true, get: function () { return postgres_ssl_js_1.FICHEROS_DE_POSTGRES; } });
+Object.defineProperty(exports, "parametrosDeCadenaPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.parametrosDeCadenaPostgres; } });
+Object.defineProperty(exports, "ficherosEnCadenaPostgres", { enumerable: true, get: function () { return postgres_ssl_js_1.ficherosEnCadenaPostgres; } });
+Object.defineProperty(exports, "CASOS_DE_FICHEROS_POSTGRES", { enumerable: true, get: function () { return postgres_ssl_js_1.CASOS_DE_FICHEROS_POSTGRES; } });
 var llm_models_js_1 = require("./llm-models.js");
 Object.defineProperty(exports, "LLM_PROVIDERS", { enumerable: true, get: function () { return llm_models_js_1.LLM_PROVIDERS; } });
 Object.defineProperty(exports, "LLM_MODELS", { enumerable: true, get: function () { return llm_models_js_1.LLM_MODELS; } });

package/dist/postgres-ssl.d.ts

@@ -0,0 +1,163 @@
+/**
+ * El SSL de una cadena de conexión de Postgres: qué hará el driver con ella,
+ * y cómo escribir el modo que se elija.
+ *
+ * ## Por qué vive aquí (2026-09-24)
+ *
+ * Ariel conectó un Postgres de Railway eligiendo «Require» y el panel del nodo
+ * dijo `self-signed certificate in certificate chain`. Medido: el servidor
+ * enseña un certificado `CN=localhost` firmado por su propio `root-ca`, y
+ * «Require» escribía `sslmode=require`, que para `pg` 8 es VERIFICAR el
+ * certificado. Y pidió que, si la cadena ya trae el SSL, el panel lo lea y lo
+ * deje fijo; y si no lo trae, que se elija a mano.
+ *
+ * Para fijarlo, el panel tiene que saber lo que hará EL DRIVER, no lo que
+ * parece que dice la cadena — y el driver tiene reglas que no se adivinan:
+ * `sslmode=prefer` también verifica, `ssl=false` ENCIENDE el SSL (queda como
+ * el texto `"false"`, que es verdadero), y `uselibpqcompat=true` le da la
+ * vuelta a `require`. El panel sólo conocía `require` y `no-verify`; lo demás
+ * lo pintaba como «Off».
+ *
+ * Una sola función para el dashboard y para los servicios, y el api la compara
+ * caso a caso con el `pg` que de verdad corre (`el-ssl-de-postgres-es-el-del-
+ * driver.spec.ts`): si una actualización de `pg` cambia sus reglas, ese spec
+ * se pone rojo antes de que el panel enseñe una cosa y el driver haga otra.
+ *
+ * ## Las reglas, copiadas de `pg-connection-string` 2.12 y `pg` 8.20
+ *
+ *   1. Los parámetros salen de `new URL(cadena, 'postgres://base')` (con el
+ *      mismo arreglo de espacios y el mismo host de relleno para `@/`); si una
+ *      clave se repite, gana la ÚLTIMA. Las claves distinguen mayúsculas:
+ *      `SSLMODE` no existe para el driver.
+ *   2. `ssl=true`/`ssl=1` → sí; `ssl=0` → no; cualquier otro texto se queda
+ *      como texto (`ssl=false` → `"false"` → ENCENDIDO).
+ *   3. Si hay `sslmode` (no vacío) o un fichero (`sslcert`, `sslkey`,
+ *      `sslrootcert`), el SSL pasa a ser un objeto y `ssl=` deja de contar.
+ *   4. `sslmode`: `disable` → no; `no-verify` → cifrar sin comprobar; todo lo
+ *      demás (`prefer`, `require`, `verify-ca`, `verify-full`, y cualquier
+ *      valor raro) → cifrar Y comprobar el certificado.
+ *   5. Con `uselibpqcompat=true`, las de libpq: `prefer` y `require` → sin
+ *      comprobar; `verify-full` → comprobando; `verify-ca` sin `sslrootcert`
+ *      → el driver se NIEGA; `no-verify` no existe en libpq → comprobando.
+ *   6. Sin nada de eso, `pg` mira `PGSSLMODE` del entorno; en los servicios no
+ *      está puesta (medido el 2026-09-24), así que es SIN SSL.
+ *
+ * ## Los ficheros (`sslcert`, `sslkey`, `sslrootcert`)
+ *
+ * El driver los LEE DEL DISCO de quien conecta — nuestro servidor, no la
+ * máquina de quien pegó la cadena. Nunca pueden valer: aquí salen como
+ * `problema` y el panel no deja guardarlos.
+ */
+/** Los tres modos del selector. `require` es «cifrar y comprobar el
+ *  certificado» — lo que `pg` 8 hace con `sslmode=require`. */
+export type ModoSslPostgres = 'off' | 'require' | 'no-verify';
+export type SslDeLaCadenaPostgres = 
+/** La cadena no dice nada de SSL: se elige a mano. */
+{
+    dice: false;
+}
+/** La cadena lo decide. `por` es el parámetro que manda (`sslmode=require`). */
+ | {
+    dice: true;
+    modo: ModoSslPostgres;
+    por: string;
+}
+/** La cadena dice algo que no puede funcionar desde nuestros servidores. */
+ | {
+    dice: true;
+    modo: null;
+    por: string;
+    problema: string;
+};
+/**
+ * Los parámetros que `pg-connection-string` LEE DEL DISCO con
+ * `fs.readFileSync(<valor>)` al construir el cliente (2.12 y 2.14, medido
+ * el 2026-09-24). El api y hw-nodes comprueban contra el fuente del driver
+ * que no lee ninguno más (`ninguna-conexion-postgres-lee-ficheros.spec.ts`).
+ */
+export declare const FICHEROS_DE_POSTGRES: readonly ["sslcert", "sslkey", "sslrootcert"];
+/**
+ * Los parámetros de la cadena EXACTAMENTE como los lee `pg-connection-string`
+ * —mismo arreglo de espacios, mismo host de relleno para `@/`, claves
+ * decodificadas, la última repetida gana—. `null` si el driver no llega a
+ * leer parámetros: un socket (`/ruta` o `socket:`) o una cadena que ni él
+ * puede leer.
+ *
+ * ⚠️ SIN recortar: la usa una guarda de seguridad
+ * (`asegurarPostgresSinFicheros` en node-sdk). Con `" /x?sslrootcert=…"`, un
+ * recorte vería un socket y dejaría pasar lo que el driver sí lee.
+ */
+export declare function parametrosDeCadenaPostgres(cadena: string): Record<string, string> | null;
+/**
+ * Qué hará el driver con el SSL de esta cadena.
+ *
+ * `{ dice: false }` cuando la cadena no dice nada: ni `ssl`, ni `sslmode`, ni
+ * ficheros (un `sslmode=` o `ssl=` vacío tampoco dicen nada: el driver los
+ * ignora).
+ */
+export declare function leerSslPostgres(cadena: string): SslDeLaCadenaPostgres;
+/**
+ * Escribe el modo elegido en la cadena, quitando antes `ssl` y `sslmode` (en
+ * una cadena que «no dice nada», los que hubiera están vacíos). No toca el
+ * resto de parámetros, ni los recodifica.
+ *
+ * Lo que escribe, y por qué:
+ *   - `off`       → `sslmode=disable`, explícito: la cadena guardada dice lo
+ *                   que hace sin depender de `PGSSLMODE`.
+ *   - `require`   → `sslmode=verify-full`, no `require`: para `pg` 8 es lo
+ *                   mismo, pero `require` avisa en cada conexión de que en la
+ *                   versión 9 pasará a NO comprobar. `verify-full` significa
+ *                   lo mismo en las dos.
+ *   - `no-verify` → `sslmode=no-verify`; con `uselibpqcompat=true`, que no lo
+ *                   conoce, `sslmode=require` (lo mismo en libpq).
+ *
+ * Una cadena vacía se devuelve tal cual.
+ */
+export declare function ponerSslPostgres(cadena: string, modo: ModoSslPostgres): string;
+/**
+ * La frase que le falta a un error de conexión de SSL: qué cambiar. `null` si
+ * el error no es de SSL.
+ *
+ * Los tres casos que se ven al conectar:
+ *   - el certificado no se puede comprobar (autofirmado, CA privada, nombre
+ *     que no casa): Railway (`CN=localhost` de su `root-ca`) y Supabase (su
+ *     `Supabase Root 2021 CA`) —medidos los dos el 2026-09-24—, Heroku y
+ *     RDS. Neon sí se comprueba (Let's Encrypt);
+ *   - el servidor no acepta SSL;
+ *   - el servidor exige SSL y se conectó sin él.
+ */
+export declare function pistaDeSslPostgres(mensaje: string): string | null;
+/**
+ * Los casos con los que se comprueba `ficherosEnCadenaPostgres` contra el
+ * driver de verdad (el api y hw-nodes espían `fs.readFileSync` mientras
+ * `pg-connection-string` lee cada cadena): `lee` es si el DRIVER abre un
+ * fichero. Incluye los dos rodeos medidos el 2026-09-24 —un espacio delante
+ * de `/` (el driver no lo toma por socket y lee) y una clave codificada
+ * (`ssl%72ootcert`)— y lo que no lee (mayúsculas, sockets, valor vacío).
+ * Las rutas empiezan por `/nope` para que el espía las reconozca.
+ */
+export declare const CASOS_DE_FICHEROS_POSTGRES: ReadonlyArray<{
+    cadena: string;
+    lee: boolean;
+}>;
+/**
+ * Los parámetros de la cadena que el driver leería como FICHEROS del disco de
+ * quien conecta —nuestros servidores—. Vacío si no hay ninguno. Devuelve los
+ * NOMBRES, nunca los valores: una ruta no se repite en un mensaje.
+ */
+export declare function ficherosEnCadenaPostgres(cadena: string): string[];
+/** El mensaje con su pista, si la tiene. Lo que devuelven los servicios. Si el
+ *  error ya pasó por aquí (dos capas que lo envuelven), no la repite. */
+export declare function conPistaDeSslPostgres(mensaje: string): string;
+/**
+ * Los casos con los que se comprueba la regla — aquí y contra el driver de
+ * verdad en el api (`el-ssl-de-postgres-es-el-del-driver.spec.ts`). Uno nuevo
+ * se añade AQUÍ y lo miran los dos.
+ *
+ * `esperado`: el modo, `'nada'` si la cadena no dice nada, `'problema'` si no
+ * puede funcionar.
+ */
+export declare const CASOS_DE_SSL_POSTGRES: ReadonlyArray<{
+    cadena: string;
+    esperado: ModoSslPostgres | 'nada' | 'problema';
+}>;

package/dist/postgres-ssl.js

@@ -0,0 +1,336 @@
+"use strict";
+/**
+ * El SSL de una cadena de conexión de Postgres: qué hará el driver con ella,
+ * y cómo escribir el modo que se elija.
+ *
+ * ## Por qué vive aquí (2026-09-24)
+ *
+ * Ariel conectó un Postgres de Railway eligiendo «Require» y el panel del nodo
+ * dijo `self-signed certificate in certificate chain`. Medido: el servidor
+ * enseña un certificado `CN=localhost` firmado por su propio `root-ca`, y
+ * «Require» escribía `sslmode=require`, que para `pg` 8 es VERIFICAR el
+ * certificado. Y pidió que, si la cadena ya trae el SSL, el panel lo lea y lo
+ * deje fijo; y si no lo trae, que se elija a mano.
+ *
+ * Para fijarlo, el panel tiene que saber lo que hará EL DRIVER, no lo que
+ * parece que dice la cadena — y el driver tiene reglas que no se adivinan:
+ * `sslmode=prefer` también verifica, `ssl=false` ENCIENDE el SSL (queda como
+ * el texto `"false"`, que es verdadero), y `uselibpqcompat=true` le da la
+ * vuelta a `require`. El panel sólo conocía `require` y `no-verify`; lo demás
+ * lo pintaba como «Off».
+ *
+ * Una sola función para el dashboard y para los servicios, y el api la compara
+ * caso a caso con el `pg` que de verdad corre (`el-ssl-de-postgres-es-el-del-
+ * driver.spec.ts`): si una actualización de `pg` cambia sus reglas, ese spec
+ * se pone rojo antes de que el panel enseñe una cosa y el driver haga otra.
+ *
+ * ## Las reglas, copiadas de `pg-connection-string` 2.12 y `pg` 8.20
+ *
+ *   1. Los parámetros salen de `new URL(cadena, 'postgres://base')` (con el
+ *      mismo arreglo de espacios y el mismo host de relleno para `@/`); si una
+ *      clave se repite, gana la ÚLTIMA. Las claves distinguen mayúsculas:
+ *      `SSLMODE` no existe para el driver.
+ *   2. `ssl=true`/`ssl=1` → sí; `ssl=0` → no; cualquier otro texto se queda
+ *      como texto (`ssl=false` → `"false"` → ENCENDIDO).
+ *   3. Si hay `sslmode` (no vacío) o un fichero (`sslcert`, `sslkey`,
+ *      `sslrootcert`), el SSL pasa a ser un objeto y `ssl=` deja de contar.
+ *   4. `sslmode`: `disable` → no; `no-verify` → cifrar sin comprobar; todo lo
+ *      demás (`prefer`, `require`, `verify-ca`, `verify-full`, y cualquier
+ *      valor raro) → cifrar Y comprobar el certificado.
+ *   5. Con `uselibpqcompat=true`, las de libpq: `prefer` y `require` → sin
+ *      comprobar; `verify-full` → comprobando; `verify-ca` sin `sslrootcert`
+ *      → el driver se NIEGA; `no-verify` no existe en libpq → comprobando.
+ *   6. Sin nada de eso, `pg` mira `PGSSLMODE` del entorno; en los servicios no
+ *      está puesta (medido el 2026-09-24), así que es SIN SSL.
+ *
+ * ## Los ficheros (`sslcert`, `sslkey`, `sslrootcert`)
+ *
+ * El driver los LEE DEL DISCO de quien conecta — nuestro servidor, no la
+ * máquina de quien pegó la cadena. Nunca pueden valer: aquí salen como
+ * `problema` y el panel no deja guardarlos.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CASOS_DE_SSL_POSTGRES = exports.CASOS_DE_FICHEROS_POSTGRES = exports.FICHEROS_DE_POSTGRES = void 0;
+exports.parametrosDeCadenaPostgres = parametrosDeCadenaPostgres;
+exports.leerSslPostgres = leerSslPostgres;
+exports.ponerSslPostgres = ponerSslPostgres;
+exports.pistaDeSslPostgres = pistaDeSslPostgres;
+exports.ficherosEnCadenaPostgres = ficherosEnCadenaPostgres;
+exports.conPistaDeSslPostgres = conPistaDeSslPostgres;
+/**
+ * Los parámetros que `pg-connection-string` LEE DEL DISCO con
+ * `fs.readFileSync(<valor>)` al construir el cliente (2.12 y 2.14, medido
+ * el 2026-09-24). El api y hw-nodes comprueban contra el fuente del driver
+ * que no lee ninguno más (`ninguna-conexion-postgres-lee-ficheros.spec.ts`).
+ */
+exports.FICHEROS_DE_POSTGRES = ['sslcert', 'sslkey', 'sslrootcert'];
+const FICHEROS = exports.FICHEROS_DE_POSTGRES;
+/**
+ * Los parámetros de la cadena EXACTAMENTE como los lee `pg-connection-string`
+ * —mismo arreglo de espacios, mismo host de relleno para `@/`, claves
+ * decodificadas, la última repetida gana—. `null` si el driver no llega a
+ * leer parámetros: un socket (`/ruta` o `socket:`) o una cadena que ni él
+ * puede leer.
+ *
+ * ⚠️ SIN recortar: la usa una guarda de seguridad
+ * (`asegurarPostgresSinFicheros` en node-sdk). Con `" /x?sslrootcert=…"`, un
+ * recorte vería un socket y dejaría pasar lo que el driver sí lee.
+ */
+function parametrosDeCadenaPostgres(cadena) {
+    let str = cadena ?? '';
+    if (!str || str.charAt(0) === '/')
+        return null;
+    if (/ |%[^a-f0-9]|%[a-f0-9][^a-f0-9]/i.test(str)) {
+        str = encodeURI(str).replace(/%25(\d\d)/g, '%$1');
+    }
+    let url;
+    try {
+        try {
+            url = new URL(str, 'postgres://base');
+        }
+        catch {
+            url = new URL(str.replace('@/', '@___DUMMY___/'), 'postgres://base');
+        }
+    }
+    catch {
+        return null;
+    }
+    /* Con `socket:` el driver devuelve antes de mirar el SSL. */
+    if (url.protocol === 'socket:')
+        return null;
+    const p = {};
+    url.searchParams.forEach((valor, clave) => {
+        p[clave] = valor;
+    });
+    return p;
+}
+/**
+ * Qué hará el driver con el SSL de esta cadena.
+ *
+ * `{ dice: false }` cuando la cadena no dice nada: ni `ssl`, ni `sslmode`, ni
+ * ficheros (un `sslmode=` o `ssl=` vacío tampoco dicen nada: el driver los
+ * ignora).
+ */
+function leerSslPostgres(cadena) {
+    /* Recortada: es lo que se guarda (los formularios guardan `trim()`). */
+    const p = parametrosDeCadenaPostgres((cadena ?? '').trim());
+    if (!p)
+        return { dice: false };
+    const ficheros = FICHEROS.filter((k) => p[k]);
+    if (ficheros.length > 0) {
+        return {
+            dice: true,
+            modo: null,
+            por: `${ficheros[0]}=…`,
+            problema: `\`${ficheros[0]}\` points to a file, and the driver reads it from the disk of the ` +
+                `machine that connects — our servers, not yours. Remove it from the connection string ` +
+                `and pick the SSL mode here instead.`,
+        };
+    }
+    const libpq = p.uselibpqcompat === 'true';
+    const conLibpq = libpq ? ' with uselibpqcompat=true' : '';
+    if (p.sslmode) {
+        const por = `sslmode=${p.sslmode}${conLibpq}`;
+        if (libpq) {
+            switch (p.sslmode) {
+                case 'disable':
+                    return { dice: true, modo: 'off', por };
+                case 'prefer':
+                case 'require':
+                    return { dice: true, modo: 'no-verify', por };
+                case 'verify-ca':
+                    return {
+                        dice: true,
+                        modo: null,
+                        por,
+                        problema: 'With uselibpqcompat=true, sslmode=verify-ca needs sslrootcert, and a certificate file ' +
+                            "can't be read from our servers. Use sslmode=verify-full, or remove sslmode and pick " +
+                            'the SSL mode here.',
+                    };
+                default:
+                    /* `verify-full`, `no-verify` (que libpq no conoce) o un valor raro:
+                       el objeto se queda vacío → comprobar. */
+                    return { dice: true, modo: 'require', por };
+            }
+        }
+        switch (p.sslmode) {
+            case 'disable':
+                return { dice: true, modo: 'off', por };
+            case 'no-verify':
+                return { dice: true, modo: 'no-verify', por };
+            default:
+                return { dice: true, modo: 'require', por };
+        }
+    }
+    if (p.ssl) {
+        const por = `ssl=${p.ssl}`;
+        if (p.ssl === '0')
+            return { dice: true, modo: 'off', por };
+        /* `pg` convierte `ssl=no-verify` en «sin comprobar». */
+        if (p.ssl === 'no-verify')
+            return { dice: true, modo: 'no-verify', por };
+        /* `true`, `1`… y también `false`: queda como el texto `"false"`, que es
+           verdadero, y el driver cifra y comprueba. */
+        return { dice: true, modo: 'require', por };
+    }
+    return { dice: false };
+}
+/**
+ * Escribe el modo elegido en la cadena, quitando antes `ssl` y `sslmode` (en
+ * una cadena que «no dice nada», los que hubiera están vacíos). No toca el
+ * resto de parámetros, ni los recodifica.
+ *
+ * Lo que escribe, y por qué:
+ *   - `off`       → `sslmode=disable`, explícito: la cadena guardada dice lo
+ *                   que hace sin depender de `PGSSLMODE`.
+ *   - `require`   → `sslmode=verify-full`, no `require`: para `pg` 8 es lo
+ *                   mismo, pero `require` avisa en cada conexión de que en la
+ *                   versión 9 pasará a NO comprobar. `verify-full` significa
+ *                   lo mismo en las dos.
+ *   - `no-verify` → `sslmode=no-verify`; con `uselibpqcompat=true`, que no lo
+ *                   conoce, `sslmode=require` (lo mismo en libpq).
+ *
+ * Una cadena vacía se devuelve tal cual.
+ */
+function ponerSslPostgres(cadena, modo) {
+    if (!cadena)
+        return cadena;
+    const i = cadena.indexOf('?');
+    const base = i >= 0 ? cadena.slice(0, i) : cadena;
+    const partes = i >= 0 ? cadena.slice(i + 1).split('&') : [];
+    const clave = (parte) => {
+        const k = parte.split('=')[0];
+        try {
+            return decodeURIComponent(k);
+        }
+        catch {
+            return k;
+        }
+    };
+    const libpq = partes.some((parte) => clave(parte) === 'uselibpqcompat' && /=true$/.test(parte));
+    const quedan = partes.filter((parte) => parte !== '' && clave(parte) !== 'ssl' && clave(parte) !== 'sslmode');
+    const valor = modo === 'off' ? 'disable' : modo === 'require' ? 'verify-full' : libpq ? 'require' : 'no-verify';
+    quedan.push(`sslmode=${valor}`);
+    return `${base}?${quedan.join('&')}`;
+}
+/**
+ * La frase que le falta a un error de conexión de SSL: qué cambiar. `null` si
+ * el error no es de SSL.
+ *
+ * Los tres casos que se ven al conectar:
+ *   - el certificado no se puede comprobar (autofirmado, CA privada, nombre
+ *     que no casa): Railway (`CN=localhost` de su `root-ca`) y Supabase (su
+ *     `Supabase Root 2021 CA`) —medidos los dos el 2026-09-24—, Heroku y
+ *     RDS. Neon sí se comprueba (Let's Encrypt);
+ *   - el servidor no acepta SSL;
+ *   - el servidor exige SSL y se conectó sin él.
+ */
+function pistaDeSslPostgres(mensaje) {
+    const m = mensaje ?? '';
+    if (/self[- ]signed certificate|unable to verify the first certificate|unable to get local issuer certificate|certificate has expired|Hostname\/IP does not match certificate|SELF_SIGNED_CERT_IN_CHAIN|DEPTH_ZERO_SELF_SIGNED_CERT|UNABLE_TO_VERIFY_LEAF_SIGNATURE|ERR_TLS_CERT_ALTNAME_INVALID|CERT_HAS_EXPIRED/i.test(m)) {
+        return ("The server's SSL certificate can't be verified (self-signed or from a private CA — Railway, " +
+            'Supabase, Heroku and RDS do this). Set the credential\'s SSL mode to "Require, skip cert" ' +
+            '(sslmode=no-verify): the connection stays encrypted, only the certificate check is skipped.');
+    }
+    if (/server does not support SSL connections/i.test(m)) {
+        return ('This server does not accept SSL. Set the credential\'s SSL mode to "Off" (sslmode=disable) — ' +
+            'only for a private network or a tunnel.');
+    }
+    if (/no pg_hba\.conf entry.*(no encryption|SSL off)|connection is insecure|SSL (connection )?is required|requires? SSL/i.test(m)) {
+        return ('This server requires SSL. Set the credential\'s SSL mode to "Require" (sslmode=verify-full), ' +
+            'or "Require, skip cert" (sslmode=no-verify) if its certificate is self-signed.');
+    }
+    return null;
+}
+/**
+ * Los casos con los que se comprueba `ficherosEnCadenaPostgres` contra el
+ * driver de verdad (el api y hw-nodes espían `fs.readFileSync` mientras
+ * `pg-connection-string` lee cada cadena): `lee` es si el DRIVER abre un
+ * fichero. Incluye los dos rodeos medidos el 2026-09-24 —un espacio delante
+ * de `/` (el driver no lo toma por socket y lee) y una clave codificada
+ * (`ssl%72ootcert`)— y lo que no lee (mayúsculas, sockets, valor vacío).
+ * Las rutas empiezan por `/nope` para que el espía las reconozca.
+ */
+exports.CASOS_DE_FICHEROS_POSTGRES = [
+    { cadena: 'postgres://u:p@h/db?sslrootcert=/nope1', lee: true },
+    { cadena: ' /x?sslrootcert=/nope2', lee: true },
+    { cadena: 'postgres://u:p@h/db?ssl%72ootcert=/nope3', lee: true },
+    { cadena: 'postgres://u:p@h/db?SSLROOTCERT=/nope4', lee: false },
+    { cadena: 'socket://u:p@/var/run?sslrootcert=/nope5', lee: false },
+    { cadena: '/var/run/postgresql db?sslrootcert=/nope6', lee: false },
+    { cadena: 'postgres://u:p@/db?sslkey=/nope7', lee: true },
+    { cadena: 'postgres://u:p w@h/db?sslcert=/nope8', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslrootcert=/nope9&sslrootcert=', lee: false },
+    { cadena: 'postgres://u:p@h/db?sslrootcert=&sslrootcert=/nope10', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslmode=require&sslcert=/nope11&sslkey=/nope12', lee: true },
+    { cadena: 'postgres://u:p@h/db?sslmode=no-verify&sslpassword=x', lee: false },
+];
+/**
+ * Los parámetros de la cadena que el driver leería como FICHEROS del disco de
+ * quien conecta —nuestros servidores—. Vacío si no hay ninguno. Devuelve los
+ * NOMBRES, nunca los valores: una ruta no se repite en un mensaje.
+ */
+function ficherosEnCadenaPostgres(cadena) {
+    const p = parametrosDeCadenaPostgres(cadena);
+    if (!p)
+        return [];
+    return exports.FICHEROS_DE_POSTGRES.filter((k) => p[k]);
+}
+/** El mensaje con su pista, si la tiene. Lo que devuelven los servicios. Si el
+ *  error ya pasó por aquí (dos capas que lo envuelven), no la repite. */
+function conPistaDeSslPostgres(mensaje) {
+    const pista = pistaDeSslPostgres(mensaje);
+    if (!pista || mensaje.includes(pista))
+        return mensaje;
+    return `${mensaje} — ${pista}`;
+}
+/**
+ * Los casos con los que se comprueba la regla — aquí y contra el driver de
+ * verdad en el api (`el-ssl-de-postgres-es-el-del-driver.spec.ts`). Uno nuevo
+ * se añade AQUÍ y lo miran los dos.
+ *
+ * `esperado`: el modo, `'nada'` si la cadena no dice nada, `'problema'` si no
+ * puede funcionar.
+ */
+exports.CASOS_DE_SSL_POSTGRES = [
+    { cadena: 'postgresql://u:p@h.example:5432/db', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?application_name=x', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?SSLMODE=require', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true', esperado: 'nada' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=allow', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=prefer', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=verify-ca', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=verify-full', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=REQUIRE', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=true', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=1', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=false', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=0', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?ssl=true&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=disable&ssl=true', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=no-verify&ssl=true', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=disable', esperado: 'off' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=prefer', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=require', esperado: 'no-verify' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=verify-full', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=no-verify', esperado: 'require' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?uselibpqcompat=true&sslmode=verify-ca', esperado: 'problema' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslrootcert=/etc/ssl/ca.pem', esperado: 'problema' },
+    { cadena: 'postgresql://u:p@h.example:5432/db?sslmode=require&sslkey=key.pem', esperado: 'problema' },
+    { cadena: 'postgres://u:p@h.example/db?sslmode=require', esperado: 'require' },
+    { cadena: 'postgres://u:p%40x@h.example/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: 'postgres://u:p@/db?host=/var/run/postgresql&sslmode=disable', esperado: 'off' },
+    /* Varios hosts: `pg` ni la lee (`ERR_INVALID_URL`), así que no hay SSL que
+       fijar — falla al conectar con su propio error. */
+    { cadena: 'postgres://u:p@h1.example:5432,h2.example:5433/db?sslmode=require', esperado: 'nada' },
+    { cadena: 'postgres://u:p w@h.example/db?sslmode=no-verify', esperado: 'no-verify' },
+    { cadena: '/var/run/postgresql mydb', esperado: 'nada' },
+    { cadena: '', esperado: 'nada' },
+];

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hostwebhook/node-types",
-  "version": "1.88.0",
+  "version": "1.90.0",
   "description": "Shared node type definitions, connection rules, and dispatch config for HostWebhook",
   "main": "dist/index.js",
   "module": "dist/esm/index.js",