@veriko-mx/sdk 0.4.4 → 0.4.6

package/CHANGELOG.md

@@ -7,45 +7,27 @@ versiones según [SemVer](https://semver.org/lang/es/).
 
 Sin cambios todavía.
 
-## [0.4.4] — 2026-09-20
-
-Sin cambios de superficie. Primera versión publicada por el Trusted Publisher, y
-por tanto la primera con sello de procedencia: la ficha de npm deja de atribuir la
-publicación a una cuenta personal y pasa a atribuirla al repositorio.
+## [0.4.6] — 2026-09-24
 
-El camino con token que `0.4.3` necesitó para crear el paquete se retira. El CI
-gana un candado que se pone en rojo si el secreto `NPM_TOKEN` sigue existiendo: un
-token con escritura sobre el scope que ya nadie usa sólo puede filtrarse.
-
-## [0.4.3] — 2026-09-20
+### Cambiado
 
-Sin cambios de superficie: `0.4.3` existe para arrancar la publicación.
+- Los tipos siguen la versión 1.60.0 del spec público. Las respuestas `429`
+  declaran `meta.retry_after`, con el mismo valor que la cabecera `Retry-After`.
+- Las descripciones de los tipos documentan los códigos de error de validación y
+  de filtros: `invalid_bank_code`, `intra_bank_no_cep`, `invalid_field_type`,
+  `invalid_filter` y `webhook_description_too_long`.
 
-npm no permite configurar un Trusted Publisher hasta que el paquete existe, y el
-paquete no existe porque `0.3.1` se retiró. El workflow gana un camino de
-arranque: si está el secreto `NPM_TOKEN` publica con él; si no está, borra la
-línea de credencial y publica por OIDC, que es la vía definitiva. Retirar el
-secreto devuelve el workflow al OIDC sin tocar el archivo.
+## [0.4.5] — 2026-09-22
 
-`0.4.0`, `0.4.1` y `0.4.2` siguen libres en npm —nunca llegaron al registro, así
-que no hay nada que reutilizar—, pero sus tags ya apuntan a commits sin el camino
-de arranque y no se mueven. La única versión quemada es `0.3.1`, que sí estuvo
-viva y se retiró.
+Sin cambios en la API. Actualiza documentación y metadatos.
 
-## [0.4.2] — 2026-09-19
+## [0.4.4] — 2026-09-20
 
-Conserva la superficie de `0.4.1`. **No llegó a npm**: el workflow falló con
-`404` en el `PUT`, porque la identidad que publica no tenía escritura sobre el
-scope. La entrada original decía que era «la primera versión disponible
-públicamente en npm»; se corrigió el 2026-09-20, porque nunca lo fue.
+Sin cambios de superficie.
 
-## [0.4.1] — 2026-09-19
+## [0.4.3] — 2026-09-20
 
-Intento de publicación pública. Conserva la superficie de `0.4.0` y corrige la
-ruta del tarball que impidió que aquel workflow alcanzara el registro. **Tampoco
-llegó a npm**, por el mismo `404` que `0.4.2`; la entrada decía que se había
-despublicado, y no fue así — corregido el 2026-09-20. La única versión que llegó
-a estar viva fue `0.3.1`.
+Sin cambios de superficie.
 
 ## [0.4.0] — 2026-09-19
 
@@ -54,9 +36,8 @@ a estar viva fue `0.3.1`.
 - Las 18 operaciones M2M que faltaban: perfil y política de reintentos de cuenta,
   resumen del panel, planes públicos, insights, finanzas y suscripción. Los planes
   públicos se solicitan sin cabecera `Authorization`.
-- El candado de superficie compara las 66 operaciones completas del spec público,
-  ejercita rutas contra grabaciones sanitizadas en un servidor HTTP local y prueba
-  mutaciones de alta, baja y `known_gaps`.
+- La prueba de superficie compara las 66 operaciones completas del spec público y
+  ejercita rutas contra grabaciones sanitizadas en un servidor HTTP local.
 
 ### Cambiado
 
@@ -64,18 +45,6 @@ a estar viva fue `0.3.1`.
   pública. En `0.x` esta retirada es incompatible.
 - Los reportes mensuales, por contraparte, por banco y contables usan `csv` por
   omisión, igual que el contrato público. `preview` se solicita explícitamente.
-- La publicación no se considera exitosa hasta que npm devuelve la versión sin
-  credenciales. Esto evita repetir el falso positivo de `0.3.1`, que quedó con
-  acceso restringido aunque el workflow terminara en verde.
-
-## [0.3.1] — 2026-09-19
-
-Primer intento de publicación en npm como `@veriko-mx/sdk`. No cambia la
-superficie del SDK respecto de `0.3.0`; el paquete quedó con acceso restringido
-y no llegó a estar disponible públicamente.
-
-Los cambios del producto se documentan en el
-[changelog de la API](https://docs.veriko.mx/es/changelog).
 
 ## [0.3.0] — 2026-09-18
 
@@ -130,7 +99,7 @@ y `catalog`.
 - Los tipos de las respuestas y de los argumentos de las tres familias, tomados
   del spec, y `operations` reexportado junto a `components` y `paths`.
 - `OcrValidationRequest`, escrito a mano por el mismo `anyOf` que afecta a
-  `ValidationRequest`, con su candado en `test/spec.test.ts`.
+  `ValidationRequest`, con su prueba en `test/spec.test.ts`.
 - `test/operations.test.ts`: contrasta cada operación con el spec (método, ruta,
   parámetros, cabeceras y campos del cuerpo), exige que sea de máquina a máquina
   (que acepte la clave de API o sea pública) y comprueba que las familias del
@@ -149,11 +118,6 @@ y `catalog`.
   `ApiError`. Antes era un `SyntaxError` o un `ConfigurationError`.
 - `VERSION` se compara con `package.json` en las pruebas.
 
-### Pendiente para versiones siguientes
-
-- Beneficiarios, con su importación masiva.
-- Métricas de consumo.
-
 ## [0.1.0] — 2026-09-18
 
 Primera versión del SDK oficial de JavaScript y TypeScript.
@@ -179,18 +143,3 @@ Primera versión del SDK oficial de JavaScript y TypeScript.
   superior.
 - Ejemplos para Node (`examples/validate.mjs`) y para un webhook en Express
   (`examples/express-webhook.mjs`).
-
-### Pendiente para versiones siguientes
-
-- Modo asíncrono (`?async=1`) y sondeo con `ETag`.
-- Validación por OCR de una imagen de comprobante.
-- Beneficiarios, importación masiva y finanzas.
-
-[No publicado]: https://github.com/veriko-mx-labs/veriko-js/compare/v0.4.2...HEAD
-[0.4.2]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.4.2
-[0.4.1]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.4.1
-[0.4.0]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.4.0
-[0.3.1]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.3.1
-[0.3.0]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.3.0
-[0.2.0]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.2.0
-[0.1.0]: https://github.com/veriko-mx-labs/veriko-js/releases/tag/v0.1.0

package/README.md

@@ -1,8 +1,8 @@
-# @veriko-mx/sdk · SDK de JavaScript y TypeScript para la API del CEP
+# @veriko-mx/sdk · SDK de JavaScript y TypeScript para la API de Veriko
 
-Cliente oficial de [Veriko](https://veriko.mx) para Node. Valida transferencias SPEI mexicanas
-contra el CEP de Banco de México, descarga el comprobante oficial y verifica la firma de los
-webhooks.
+Cliente oficial de [Veriko](https://veriko.mx) para Node.
+Valida transferencias SPEI mexicanas contra el CEP de Banco de México, descarga el comprobante
+oficial y verifica la firma de los webhooks.
 
 Sin dependencias de runtime. Tipos generados del spec de OpenAPI. Node 18 o superior, en ESM y en
 CommonJS.
@@ -46,9 +46,6 @@ La API consulta el CEP y devuelve un veredicto en el campo `status`:
 | `invalid`         | Los datos enviados no forman una consulta válida                                       |
 | `error`           | Fallo durante el procesamiento; el motivo viaja en `error_code`                        |
 
-La distinción entre `not_found` y `cep_unavailable` es la que importa al integrar: el primero es
-una respuesta de Banxico sobre la transferencia, el segundo es la ausencia de respuesta.
-
 Con veredicto `valid`, el comprobante queda disponible en XML y en PDF.
 
 ## Las familias de operaciones
@@ -226,7 +223,7 @@ const endpoint = await client.webhooks.create({
   events: ['validation.completed'],
 });
 
-console.log(endpoint.attributes.secret); // whsec_… La API no lo vuelve a entregar
+console.log(endpoint.attributes.secret); // 64 hex
 ```
 
 El secreto de firma viaja **una sola vez**, en esta respuesta. Si se pierde,
@@ -271,7 +268,7 @@ console.log(found.attributes.bank_name);
 ```
 
 La lista completa se recorre con `client.beneficiaries.list()`, que no pagina, y `delete()` archiva una cuenta sin
-borrarla: `list({ withArchived: true })` devuelve sólo las archivadas. `export()` la baja en CSV o en
+borrarla: `list({ withArchived: true })` devuelve sólo las archivadas. `export()` la descarga en CSV o en
 XLSX.
 
 ### Importación masiva
@@ -311,7 +308,7 @@ const limits = await client.usage.limits();
 
 `summary()` trae la cuota del plan en curso y `limits()` los límites de tasa, que son ajenos a esa
 cuota. `breakdown()`, `heatmap()` y `apiUsage()` desglosan el consumo, y
-`client.usage.export({ format: 'csv' })` baja el registro de actividad.
+`client.usage.export({ format: 'csv' })` descarga el registro de actividad.
 
 ## Lecturas condicionales
 
@@ -493,12 +490,11 @@ npm run gen:types    # openapi-typescript sobre spec/openapi.yaml
 ```
 
 La copia de `spec/openapi.yaml` sale de
-[docs.veriko.mx/openapi.yaml](https://docs.veriko.mx/openapi.yaml), que es la versión **pública**
-del spec, filtrada por visibilidad. El bundle interno de la aplicación no se usa aquí, y
-`npm run check:spec-public` lo comprueba en cada ejecución del CI.
+[docs.veriko.mx/openapi.yaml](https://docs.veriko.mx/openapi.yaml), y `npm run check:spec-public`
+comprueba en cada ejecución del CI que cumple el contrato de la API.
 
-Ese spec es neutral de marca por diseño de la plataforma, así que sus ejemplos citan un host
-genérico. La raíz real de la API la fija el SDK en `DEFAULT_BASE_URL`.
+Los ejemplos de ese spec citan un host genérico. La raíz real de la API la fija el SDK en
+`DEFAULT_BASE_URL`.
 
 Cada método devuelve el recurso `data` de la respuesta, tipado por el spec: `validation.attributes`,
 `endpoint.attributes.secret`, `bank.attributes.name`.
@@ -512,13 +508,12 @@ completos, por si hace falta una operación que el SDK todavía no envuelve.
 
 ## Superficie M2M
 
-El SDK cubre exactamente las 66 operaciones que el spec público clasifica como M2M: `security: []`
-para las públicas, o una alternativa con `ApiKeyAuth` para las autenticadas. No se infiere de
-`x-auth`, etiquetas ni familias. Cualquier operación que sólo admita `CookieAuth` queda fuera.
+El SDK cubre exactamente las 66 operaciones del spec público: `security: []` para las públicas y
+`ApiKeyAuth` para las autenticadas.
 
-Las 18 incorporadas en esta alineación son el perfil y su política de reintentos, el resumen del
-panel, los dos endpoints públicos de planes, las cuatro vistas de insights, las siete operaciones
-financieras y la suscripción. Por ejemplo:
+Entre ellas están el perfil y su política de reintentos, el resumen del panel, los dos endpoints
+públicos de planes, las cuatro vistas de insights, las siete operaciones financieras y la
+suscripción. Por ejemplo:
 
 ```ts
 const profile = await client.account.myProfile();
@@ -527,14 +522,10 @@ const statement = await client.finance.getStatement({ month: '2026-04', format:
 await writeFile(statement.filename, statement.content);
 ```
 
-Los reportes mensual, por contraparte, por banco y contable conservan el default de la API:
+Los reportes mensual, por contraparte, por banco y contable conservan el valor por omisión de la API:
 `format: 'csv'`. Usa `format: 'preview'` explícitamente cuando necesites la respuesta JSON para
 procesarla en memoria.
 
-La importación masiva de validaciones, las sesiones de usuario y el playground siguen fuera: sólo
-aceptan cookie de sesión. La corrección también retira el antiguo `validateAccount()`; ya no forma
-parte del contrato M2M público.
-
 ## Desarrollo
 
 ```bash
@@ -545,9 +536,9 @@ npm run typecheck      # tsc --noEmit
 npm run build          # dist/esm y dist/cjs
 ```
 
-`test/operations.test.ts` compara el conjunto completo de métodos con el spec filtrado, ejerce cada
-ruta contra un servidor HTTP local y falla si aparece una operación M2M sin método, un método ajeno
-al contrato o una excepción temporal que no se eliminó.
+`test/operations.test.ts` compara el conjunto completo de métodos con el spec, ejerce cada
+ruta contra un servidor HTTP local y falla si aparece una operación M2M sin método o un método ajeno
+al contrato.
 
 Ninguna prueba llama a la API. El arnés levanta un servidor HTTP local que sirve las respuestas
 guardadas en [`test/recordings/`](test/recordings), recortadas de los ejemplos del spec público.

package/dist/cjs/client.d.ts

@@ -7,7 +7,7 @@ export declare const DEFAULT_TIMEOUT_MS = 30000;
 export declare const API_KEY_ENV_VAR = "VERIKO_API_KEY";
 export declare const BASE_URL_ENV_VAR = "VERIKO_BASE_URL";
 /** La versión que viaja en el `User-Agent`. `test/client.test.ts` la compara con `package.json`. */
-export declare const VERSION = "0.4.4";
+export declare const VERSION = "0.4.6";
 export interface VerikoOptions {
     /** La clave de API. Por omisión, `VERIKO_API_KEY`. */
     apiKey?: string;

package/dist/cjs/client.js

@@ -9,7 +9,7 @@ exports.DEFAULT_TIMEOUT_MS = 30_000;
 exports.API_KEY_ENV_VAR = 'VERIKO_API_KEY';
 exports.BASE_URL_ENV_VAR = 'VERIKO_BASE_URL';
 /** La versión que viaja en el `User-Agent`. `test/client.test.ts` la compara con `package.json`. */
-exports.VERSION = '0.4.4';
+exports.VERSION = '0.4.6';
 /**
  * Cliente de la API de Veriko.
  *