@ingeniomaps/cauce 0.52.0 → 0.53.0

package/CHANGELOG.md

@@ -14,6 +14,35 @@ desde este repositorio no va, porque el que lee no puede actuar sobre eso. Cuand
 unas pocas líneas casi siempre es porque cuenta cómo se descubrió el problema o por qué se eligió el
 diseño — eso vive en el commit y en el código.
 
+## [0.53.0] - 2026-08-27
+
+### Corregido
+
+- **Dieciocho fuentes estaban clasificadas como rápidas y no lo son**, así que su cargo investigaba
+  cada semana para leer el mismo texto. La cadencia sale de la fuente más veloz, y cada una se comprobó
+  contra su propia fuente antes de moverla —no se dedujo del nombre—: `arc42` va de v8 (feb 2022) a v9
+  (jul 2025); la especificación OpenAPI publica con meses o años de diferencia; el PSA `I-060923-PSA`
+  del FBI es un documento fechado y cerrado; el GOV.UK Design System publica una vez al mes o menos; la
+  guía de contenido útil de Google y su guía de estilo llevan meses sin cambiar; el archivo de «core app
+  quality» de Android muestra años entre revisiones; Standard Webhooks no publica desde febrero; el
+  Contributor Covenant va de 2016 a 2021 en tres versiones; Open Source Guides se toca cada dos a cuatro
+  meses; la documentación de GitHub sobre moderación y sobre endurecer Actions lleva meses o más de un
+  año sin cambios; la página de idempotencia de Stripe no expone fechas ni historial; y **Shopify publica
+  una versión de API por trimestre**, en fecha fija. Las dieciocho pasan a `standard`, que es mensual.
+  Los semanales bajan de 29 a 20.
+- **Lo que no se pudo comprobar quedó donde estaba.** Apple Human Interface Guidelines y la guía de
+  Gainsight no exponen fechas de revisión, y de Material Design sólo se pudo medir su implementación de
+  referencia —4 a 9 meses entre versiones—, que no es la guía que el cargo cita. Las tres siguen
+  semanales: moverlas por su nombre, o por el ritmo de otro artefacto, es lo que `R14` prohíbe.
+- **Una URL con dos nombres ahora es un error.** `evaluate` lo rechaza dentro de un archivo —la cadencia
+  sale del `tier` de cada entrada, así que dos copias de una fuente pueden decir cosas distintas sobre
+  cada cuánto publica, y la más rápida gana sin que nadie lo decida— y una prueba del catálogo lo
+  detecta entre cargos, que es la forma en que apareció. Se unificaron dieciséis: el catálogo pasa de
+  229 fuentes a 211.
+- **La especificación OpenAPI estaba tres veces con nombres distintos** —`OpenAPI Specification`,
+  `...latest published` y `...3.2.0`—, así que corregirla en un cargo no la corregía en los otros.
+
+
 ## [0.52.0] - 2026-08-27
 
 ### Corregido

package/agents/roles/system/backend-engineer/learning/sources.yaml

@@ -9,13 +9,13 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/backend-engineer.md dentro de cada instalación.
 sources:
-  - name: RFC Editor HTTP
+  - name: RFC 9110 HTTP Semantics
     url: https://www.rfc-editor.org/rfc/rfc9110.html
     tier: standard
     topics: [http, semantics, idempotency, caching]
   - name: OpenAPI Specification
     url: https://spec.openapis.org/oas/latest.html
-    tier: project
+    tier: standard
     topics: [api-contracts]
   - name: OWASP API Security
     url: https://owasp.org/API-Security/

package/agents/roles/system/community-manager/learning/sources.yaml

@@ -11,11 +11,11 @@ rules:
 sources:
   - name: Contributor Covenant 3.0
     url: https://www.contributor-covenant.org/version/3/0/code_of_conduct/
-    tier: project
+    tier: standard
     topics: [conduct, safety, reporting, enforcement]
   - name: GitHub community management and moderation
     url: https://docs.github.com/en/communities/setting-up-your-project-for-healthy-contributions/about-community-management-and-moderation
-    tier: platform
+    tier: standard
     topics: [community, moderation, platform, tools]
   - name: W3C Web Content Accessibility Guidelines 2.2
     url: https://www.w3.org/TR/WCAG22/

package/agents/roles/system/content-specialist/learning/sources.yaml

@@ -15,7 +15,7 @@ sources:
     topics: [accessibility, headings, links, alternatives, clarity]
   - name: Google Search helpful content
     url: https://developers.google.com/search/docs/fundamentals/creating-helpful-content
-    tier: platform
+    tier: standard
     topics: [seo, people-first, quality, transparency]
   - name: Federal Plain Language Guidelines
     url: https://www.plainlanguage.gov/guidelines/

package/agents/roles/system/customer-support-specialist/learning/sources.yaml

@@ -21,7 +21,7 @@ sources:
     url: https://www.peoplecert.org/browse-certifications/it-governance-and-service-management/ITIL-1
     tier: standard
     topics: [incident-management, service-desk, knowledge]
-  - name: W3C Writing for Accessibility
+  - name: W3C Writing for Web Accessibility
     url: https://www.w3.org/WAI/tips/writing/
     tier: standard
     topics: [clear-instructions, headings, links, accessibility]

package/agents/roles/system/data-analyst/learning/sources.yaml

@@ -9,11 +9,11 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/data-analyst.md dentro de cada instalación.
 sources:
-  - name: NIST Statistical Methods Handbook
+  - name: NIST SEMATECH e-Handbook of Statistical Methods
     url: https://www.itl.nist.gov/div898/handbook/
     tier: standard
     topics: [statistics, exploration, uncertainty, modeling]
-  - name: ASA Ethical Guidelines
+  - name: ASA Ethical Guidelines for Statistical Practice
     url: https://www.amstat.org/your-career/ethical-guidelines-for-statistical-practice
     tier: profession
     topics: [ethics, transparency, communication, data]

package/agents/roles/system/data-governance-steward/learning/sources.yaml

@@ -51,7 +51,7 @@ sources:
     topics: [catalog, dataset-metadata, interoperability, versioning]
   # Recomendación W3C del 2013-04-30, leída el 2026-08-22. Entidad, actividad y agente: el vocabulario
   # con el que un linaje se puede afirmar de forma comprobable en vez de dibujarse.
-  - name: W3C PROV-O
+  - name: W3C PROV-O provenance ontology
     url: https://www.w3.org/TR/prov-o/
     tier: standard
     topics: [provenance, lineage, agents]

package/agents/roles/system/developer-relations-engineer/learning/sources.yaml

@@ -9,9 +9,9 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/developer-relations-engineer.md dentro de cada instalación.
 sources:
-  - name: OpenAPI Specification latest published
+  - name: OpenAPI Specification
     url: https://spec.openapis.org/oas/latest.html
-    tier: project
+    tier: standard
     topics: [api, contracts, versions, compatibility]
   - name: NIST Secure Software Development Framework
     url: https://csrc.nist.gov/pubs/sp/800/218/final
@@ -23,5 +23,5 @@ sources:
     topics: [accessibility, web, conformance, testing]
   - name: Open Source Guides building welcoming communities
     url: https://opensource.guide/building-community/
-    tier: project
+    tier: standard
     topics: [community, contributors, inclusion, conduct]

package/agents/roles/system/devops-engineer/learning/sources.yaml

@@ -23,5 +23,5 @@ sources:
     topics: [iac, plans, state, modules]
   - name: GitHub Actions security hardening
     url: https://docs.github.com/en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions
-    tier: platform
+    tier: standard
     topics: [workflow-security, permissions, oidc]

package/agents/roles/system/financial-controller/learning/sources.yaml

@@ -13,7 +13,7 @@ sources:
     url: https://www.ifrs.org/issued-standards/list-of-standards/
     tier: standard
     topics: [accounting, reporting, presentation, disclosure]
-  - name: COSO Internal Control
+  - name: COSO Internal Control—Integrated Framework (2013)
     url: https://www.coso.org/guidance-on-ic
     tier: standard
     topics: [internal-control, risk, control-activities, monitoring]

package/agents/roles/system/frontend-engineer/learning/sources.yaml

@@ -13,7 +13,7 @@ sources:
     url: https://developer.mozilla.org/
     tier: platform
     topics: [html, css, javascript, browser-apis, compatibility]
-  - name: W3C WAI
+  - name: W3C Web Accessibility Initiative
     url: https://www.w3.org/WAI/
     tier: standard
     topics: [wcag, aria, accessibility]

package/agents/roles/system/growth-marketer/learning/sources.yaml

@@ -9,7 +9,7 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/growth-marketer.md dentro de cada instalación.
 sources:
-  - name: NIST Statistical Methods Handbook
+  - name: NIST SEMATECH e-Handbook of Statistical Methods
     url: https://www.itl.nist.gov/div898/handbook/
     tier: standard
     topics: [experiments, uncertainty, sampling, inference]
@@ -21,7 +21,7 @@ sources:
     url: https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en
     tier: regulation
     topics: [privacy, consent, targeting, transfers]
-  - name: FTC Truth in Advertising
+  - name: FTC Advertising and Marketing
     url: https://www.ftc.gov/business-guidance/advertising-marketing
     tier: regulation
     topics: [claims, endorsements, substantiation, disclosure]

package/agents/roles/system/integrations-engineer/learning/sources.yaml

@@ -46,9 +46,9 @@ sources:
   # La versión vigente al 2026-08-22 es la 3.2.0, publicada el 2025-09-19, y define `webhooks` como
   # campo de primer nivel del documento: el contrato de lo que se le expone a un partner puede
   # declarar también lo que se le envía.
-  - name: OpenAPI Specification 3.2.0
+  - name: OpenAPI Specification
     url: https://spec.openapis.org/oas/latest.html
-    tier: project
+    tier: standard
     topics: [api-contract, partner-facing-contract, webhooks, versioning]
 
   # Convención de versionado con sólo versión mayor en la ruta y canales de estabilidad. Sirve como
@@ -72,7 +72,7 @@ sources:
   # el contraste con el que no la publica es lo que hay que diseñar.
   - name: Shopify — API versioning
     url: https://shopify.dev/docs/api/usage/versioning
-    tier: platform
+    tier: standard
     topics: [third-party-versioning, deprecation-window, breaking-changes]
 
   # El proveedor declara por escrito que no garantiza el orden dentro de un topic ni entre topics del
@@ -80,7 +80,7 @@ sources:
   # `X-Shopify-Webhook-Id` y conciliar. Es la cita que sostiene «asumir al menos una vez y sin orden».
   - name: Shopify — Webhook best practices
     url: https://shopify.dev/docs/apps/build/webhooks/best-practices
-    tier: platform
+    tier: standard
     topics: [webhooks, at-least-once, out-of-order, deduplication, reconciliation]
 
   # Guarda código y cuerpo de la primera respuesta por clave y los repite en el reintento, incluido un
@@ -89,7 +89,7 @@ sources:
   # y ninguno es deducible del concepto de idempotencia.
   - name: Stripe — Idempotent requests
     url: https://docs.stripe.com/api/idempotent_requests
-    tier: platform
+    tier: standard
     topics: [idempotency-key, retry-safety, payments, deduplication-window]
 
   # Firma, cabeceras y verificación de webhooks, con comité técnico de varias empresas. La página
@@ -97,7 +97,7 @@ sources:
   # verificó**, así que se cita como convención de la industria y no como norma con edición.
   - name: Standard Webhooks
     url: https://www.standardwebhooks.com/
-    tier: project
+    tier: standard
     topics: [webhooks, signature-scheme, headers, replay-protection]
 
   # Registrado para que nadie lo cite como estándar: es un Internet-Draft **expirado**. Última

package/agents/roles/system/mobile-engineer/learning/sources.yaml

@@ -11,7 +11,7 @@ rules:
 sources:
   - name: Android Developers Core app quality
     url: https://developer.android.com/docs/quality-guidelines/core-app-quality
-    tier: platform
+    tier: standard
     topics: [quality, compatibility, performance, security]
   - name: Apple Human Interface Guidelines
     url: https://developer.apple.com/design/human-interface-guidelines/

package/agents/roles/system/people-operations-manager/learning/sources.yaml

@@ -29,7 +29,7 @@ sources:
     url: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/employment/
     tier: regulation
     topics: [employment-data, records, health, monitoring, automated-decisions]
-  - name: NIST AI Risk Management Framework
+  - name: NIST AI Risk Management Framework 1.0 (NIST.AI.100-1)
     url: https://www.nist.gov/itl/ai-risk-management-framework
     tier: standard
     topics: [ai-governance, risk, measurement, oversight]

package/agents/roles/system/privacy-compliance-specialist/learning/sources.yaml

@@ -21,7 +21,7 @@ sources:
     url: https://eur-lex.europa.eu/eli/reg/2016/679/oj
     tier: regulation
     topics: [eu-data-protection]
-  - name: European Data Protection Board
+  - name: EDPB Guidelines on targeting and consent
     url: https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en
     tier: regulation
     topics: [eu-guidance, interpretation]

package/agents/roles/system/product-marketing-manager/learning/sources.yaml

@@ -13,7 +13,7 @@ sources:
     url: https://www.productmarketingalliance.com/
     tier: profession
     topics: [positioning, messaging, gtm, launches, enablement]
-  - name: ICC Advertising Code
+  - name: ICC Marketing Communications Code
     url: https://iccwbo.org/business-solutions/the-icc-advertising-and-marketing-communications-code/
     tier: standard
     topics: [responsible-marketing, substantiation, transparency]

package/agents/roles/system/qa-engineer/learning/sources.yaml

@@ -13,7 +13,7 @@ sources:
     url: https://www.istqb.org/certifications/certified-tester-foundation-level-ctfl-v4-0/
     tier: profession
     topics: [testing-principles, techniques, risk, defects]
-  - name: ISO IEC 25010
+  - name: ISO IEC 25010 product quality model
     url: https://www.iso.org/standard/78176.html
     tier: standard
     topics: [product-quality-model]
@@ -21,7 +21,7 @@ sources:
     url: https://owasp.org/www-project-web-security-testing-guide/
     tier: standard
     topics: [authorized-security-testing, web]
-  - name: W3C WCAG 2.2
+  - name: W3C Web Content Accessibility Guidelines 2.2
     url: https://www.w3.org/TR/WCAG22/
     tier: standard
     topics: [accessibility, conformance]

package/agents/roles/system/site-reliability-engineer/learning/sources.yaml

@@ -13,7 +13,7 @@ sources:
     url: https://sre.google/sre-book/table-of-contents/
     tier: profession
     topics: [sre, availability, monitoring, incidents, capacity]
-  - name: Google SRE Workbook
+  - name: Google SRE Workbook on capacity and efficiency
     url: https://sre.google/workbook/table-of-contents/
     tier: profession
     topics: [slo, burn-rate, alerting, toil]

package/agents/roles/system/software-architect/learning/sources.yaml

@@ -9,7 +9,7 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/software-architect.md dentro de cada instalación.
 sources:
-  - name: ISO IEC IEEE 42010
+  - name: ISO IEC IEEE 42010 architecture description
     url: https://www.iso.org/standard/74393.html
     tier: standard
     topics: [architecture-description, stakeholders, viewpoints]
@@ -23,5 +23,5 @@ sources:
     topics: [quality-attributes, scenarios, tradeoffs]
   - name: arc42
     url: https://arc42.org/
-    tier: project
+    tier: standard
     topics: [architecture-documentation, decisions, risks]

package/agents/roles/system/solutions-engineer/learning/sources.yaml

@@ -21,7 +21,7 @@ sources:
     url: https://www.nist.gov/publications/nist-cybersecurity-framework-csf-20
     tier: standard
     topics: [cybersecurity, risk, governance, profiles]
-  - name: OpenAPI Specification latest published
+  - name: OpenAPI Specification
     url: https://spec.openapis.org/oas/latest.html
-    tier: project
+    tier: standard
     topics: [api, contracts, compatibility, tooling]

package/agents/roles/system/technical-writer/learning/sources.yaml

@@ -11,17 +11,17 @@ rules:
 sources:
   - name: Google developer documentation style guide
     url: https://developers.google.com/style
-    tier: platform
+    tier: standard
     topics: [clarity, consistency, accessibility, global-audience, code]
   - name: Diataxis documentation framework
     url: https://www.diataxis.fr/start-here/
     tier: standard
     topics: [tutorial, how-to, reference, explanation]
-  - name: W3C WCAG 2.2
+  - name: W3C Web Content Accessibility Guidelines 2.2
     url: https://www.w3.org/TR/WCAG22/
     tier: standard
     topics: [accessibility, web-content, conformance]
-  - name: OpenAPI Specification latest published
+  - name: OpenAPI Specification
     url: https://spec.openapis.org/oas/latest.html
-    tier: project
+    tier: standard
     topics: [api, http, schema, reference, versioning]

package/agents/roles/system/treasury-analyst/learning/sources.yaml

@@ -32,7 +32,7 @@ sources:
     topics: [liquidity-risk, maturity-analysis, disclosure]
   # Abierta el 2026-08-22. La edición vigente es la de 2013, que reemplazó a la de 1992 el
   # 2014-12-15; la página lo dice y por eso el nombre lleva el año.
-  - name: COSO Internal Control Integrated Framework 2013
+  - name: COSO Internal Control—Integrated Framework (2013)
     url: https://www.coso.org/guidance-on-ic
     tier: standard
     topics: [internal-control, segregation-of-duties, dual-approval]
@@ -60,7 +60,7 @@ sources:
   # authentication to verify requests for changes in account information."
   - name: FBI IC3 Business Email Compromise PSA I-060923-PSA
     url: https://www.ic3.gov/PSA/2023/PSA230609
-    tier: advisory
+    tier: standard
     topics: [payment-fraud, beneficiary-verification, out-of-band-verification]
 
 # Pendientes: no entran porque no pude abrirlas en esta corrida, y `require_primary_source: true`

package/agents/roles/system/ui-designer/learning/sources.yaml

@@ -22,5 +22,5 @@ sources:
     topics: [tokens, components, color, typography, motion]
   - name: GOV.UK Design System
     url: https://design-system.service.gov.uk/
-    tier: platform
+    tier: standard
     topics: [styles, components, patterns, accessibility]

package/agents/roles/system/ux-designer/learning/sources.yaml

@@ -22,5 +22,5 @@ sources:
     topics: [interaction-design, information-architecture, usability]
   - name: GOV.UK Design System
     url: https://design-system.service.gov.uk/
-    tier: platform
+    tier: standard
     topics: [patterns, content, accessibility]

package/engine/agents/learning.js

@@ -535,6 +535,23 @@ function sourceTiers(text) {
   return [...body.matchAll(/tier:\s*([A-Za-z-]+)/g)].map((hit) => hit[1])
 }
 
+// Las fuentes de un cargo, por su URL. La misma URL con dos nombres es una sola fuente contada dos
+// veces: el catálogo llegó a tener la especificación OpenAPI bajo tres —`OpenAPI Specification`,
+// `...latest published` y `...3.2.0`— así que arreglarle el `tier` a un cargo no se lo arreglaba a los
+// otros, y quien leyera el informe vería la misma página citada como si fueran tres.
+function sourceUrls(text) {
+  const body = text.includes('sources:') ? text.slice(text.indexOf('sources:')) : ''
+  const out = []
+  let name = ''
+  for (const line of body.split('\n')) {
+    const nombre = line.match(/^\s*-\s*name:\s*(.+?)\s*$/)
+    if (nombre) { name = nombre[1].replace(/^['"]|['"]$/g, ''); continue }
+    const url = line.match(/^\s*url:\s*(\S+)/)
+    if (url && name) out.push({ name, url: url[1].replace(/\/+$/, '') })
+  }
+  return out
+}
+
 function evaluate(root, agent) {
   const target = catalog.resolve(root, agent)
   const errors = []
@@ -562,6 +579,17 @@ function evaluate(root, agent) {
         errors.push(`sources.yaml: tier "${tier}" fuera de ${SOURCE_TIERS.join(' | ')}`)
       }
     }
+    // Dos nombres para una URL. Es error y no aviso: la cadencia sale del `tier` de cada entrada, así
+    // que dos copias de la misma fuente pueden decir cosas distintas sobre cada cuánto publica, y la
+    // más rápida gana sin que nadie lo haya decidido.
+    const porUrl = new Map()
+    for (const one of sourceUrls(fs.readFileSync(sourcesFile, 'utf8'))) {
+      const antes = porUrl.get(one.url)
+      if (antes && antes !== one.name) {
+        errors.push(`sources.yaml: ${one.url} está dos veces, como "${antes}" y como "${one.name}"`)
+      }
+      porUrl.set(one.url, one.name)
+    }
   }
   const skill = fs.readFileSync(path.join(target, 'SKILL.md'), 'utf8').toLowerCase()
   for (const phrase of ['no inventar', 'autorización', 'evidencia observable']) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ingeniomaps/cauce",
-  "version": "0.52.0",
+  "version": "0.53.0",
   "description": "Sistema portable de planificación y ejecución verificable para cualquier proyecto",
   "keywords": [
     "planning",