parche-cli 0.6.8 → 0.7.0

package/CHANGELOG.md

@@ -2,6 +2,35 @@
 
 Los cambios de cada versión de `parche-cli` y de la Action `Pepo08/parche@v0`. En npm están la 0.1.1, la 0.5.1 y de la 0.6.0 en adelante. La 0.1.0 y de la 0.2.0 a la 0.5.0 no se publicaron en npm; lo que traían está incluido en la 0.5.1. La fecha de cada versión es la del cambio; la de publicación figura en npm y en los [Releases](https://github.com/Pepo08/parche/releases).
 
+## 0.7.0 — 2026-10-24
+
+ARCA: Parche encuentra a los repos que creen estar migrados y no lo están, reconoce `@arcasdk/core` (la segunda librería de ARCA más descargada en npm) y avisa de la librería vieja en más casos. Salió de los pendientes del escaneo de 174 repos públicos (frente B, puntos 12 a 14).
+
+### Nuevo
+- **Clave casi bien escrita:** si el detalle del comprobante lleva `CondicionIVAReceptor` (sin `Id`), `CondicionIvaReceptorId` o `condicionIVAReceptorId`, Parche la renombra a `CondicionIVAReceptorId` sin tocar el valor, en JS y en PHP. Ese elemento no existe en el WSDL de WSFEv1: el dato nunca llegaba y desde el 1/12/2026 ARCA rechaza el CAE. Pasaba en un repo real con integración SOAP propia, en cuatro archivos. El PR sale borrador, para revisar que el valor sea un código válido. Solo se toca dentro de objetos o arrays con al menos dos claves de WSFEv1 (`DocTipo`, `CbteDesde`, `ImpTotal`…), nunca en tests ni en modelos propios con un nombre parecido. Si el comprobante tiene las dos claves, no edita y pide revisar.
+- **`@arcasdk/core`:** `arca.electronicBillingService.createVoucher(...)` y `createNextVoucher(...)` reciben los mismos arreglos que `afip.js` (consumidor final, DNI con B o C, PR parcial). Su comprobante usa las mismas claves de WSFEv1 (tipos de la 2.0.2, leídos en el paquete de npm). Probado sobre cinco repos públicos que la usan.
+- **Guía "Cómo agregar `CondicionIVAReceptorId` antes del 1/12/2026"** (`docs/guia-condicion-iva-receptor.md`): qué cambia, el campo en afip.js, afip.php, @arcasdk/core y SOAP propio, los códigos por clase de comprobante, los tres errores que aparecieron en repos reales y cómo probarlo en homologación. Para quien prefiere hacerlo a mano.
+
+### Cambios
+- **`ts-afip-ws`:** se avisa como librería vieja. Es un fork de afip.js 0.x y su última versión (1.3.2, de 2023) trae `wsfe.wsdl` y `wsfe-production.wsdl` sin el campo. El aviso dice qué hacer: pasar a `@afipsdk/afip.js` 1.x o actualizar el WSDL que trae la librería (lo mismo para `eesnaola/afip.php`, que no tiene una 1.x).
+- **El aviso de librería vieja también sale cuando Parche no puede leer los datos del comprobante** (por ejemplo, si llegan de otra función). Antes salía solo en los arreglos automáticos y en lo que pedía un dato con el objeto a la vista.
+- **Cuerpo del issue:** el pie dice "¿Te sirvió este aviso?" en vez de "¿Este PR te sirvió?".
+- **Checklist:** "confirmar que cada cliente con CUIT tiene su condición" sale solo si queda algo pendiente. En un PR que arregla todo, como uno de puros consumidores finales, no aplicaba (nuevo campo de pack: `review_checklist_if_pending_es`).
+- **Pack `arca.wsfe.condicion-iva-receptor` 2026.10.24:** fuentes releídas el 24/10/2026 (sin prórroga del 1/12); la explicación ya no cita una versión del manual de WSFEv1, que la página de ARCA rotula distinto; suma `facturas` (LaPyme) y las llamadas de `@arcasdk/core` a la detección.
+
+## 0.6.9 — 2026-10-23
+
+La Action muestra lo que no abre un PR, y la plantilla del workflow anda en repos PHP. Salió de probar cada comando sobre los ejemplos antes de mandar los primeros mensajes de venta.
+
+### Nuevo
+- **Resumen del job y anotaciones en GitHub Actions:** `parche pr` escribe en el resumen de la corrida (`$GITHUB_STEP_SUMMARY`) los PRs que abrió, lo que quedó sin PR (por ejemplo, una factura A a un CUIT, donde falta la condición frente al IVA del cliente) y los avisos de los packs de solo detección, como un modelo de IA que se retira. Las primeras 10 también salen como anotaciones con el archivo y la línea. Hasta la 0.6.8, `pr` salteaba los packs sin arreglo y la Action no mostraba los avisos de IA.
+- **Fuera de GitHub Actions,** `parche pr` imprime al final los avisos de solo detección ("Avisos sin PR").
+
+### Cambios
+- **Plantilla del workflow (`templates/github-workflow.yml`):** `npm ci` corre solo si hay `package-lock.json`, y `composer install` solo si hay `composer.json`. Antes, en un repo PHP el workflow fallaba en el primer paso.
+- **Inventario en PHP y Python:** un SDK declarado en `composer.json` o `requirements.txt` dice "los usos en PHP (o Python) todavía no se analizan", en vez de "sin usos encontrados", que sonaba a que no se usa.
+- La CI prueba la Action también sobre un repo PHP (copia de `examples/tienda-php`).
+
 ## 0.6.8 — 2026-10-22
 
 Pack de IA: los alias de Claude que apuntan a un modelo con fecha. Antes de la generación 4.6, la API de Claude acepta alias cortos que apuntan al snapshot fechado más reciente de cada versión (página "Model IDs and versioning", verificada el 22/10/2026). La 0.6.7 avisaba `claude-sonnet-4-5-20250929`, que se retira el 30/11/2026, pero no `claude-sonnet-4-5`, que es el mismo modelo.

package/LICENSE

@@ -1,6 +1,6 @@
 MIT License
 
-Copyright (c) 2026 Joaquín González
+Copyright (c) 2026 Joaquin Gonzalez Menza
 
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal

package/README.md

@@ -91,7 +91,9 @@ Para que corra todas las semanas, copiá [`templates/github-workflow.yml`](templ
     # dry-run: 'true'                          # opcional: armar las ramas sin abrir PRs
 ```
 
-El workflow necesita `permissions: contents: write` y `pull-requests: write`.
+El workflow necesita `permissions: contents: write` y `pull-requests: write`. Antes de Parche, la plantilla instala las dependencias de tu proyecto para que corran sus tests: `npm ci` si hay `package-lock.json` y `composer install` si hay `composer.json` (Composer viene en los runners de Ubuntu de GitHub). Así anda igual en un repo de Node y en uno de PHP.
+
+Lo que no abre un PR también se ve en la corrida: los avisos de solo detección (modelos de IA que se retiran, por ejemplo) y lo que quedó sin PR porque falta un dato de tu negocio aparecen en el **resumen del job** y como **anotaciones** con el archivo y la línea (GitHub muestra las primeras 10; el resumen las tiene todas).
 
 Con el `GITHUB_TOKEN` por defecto, GitHub deja los workflows del PR que abre Parche esperando aprobación: alguien con permiso de escritura tiene que tocar **Approve workflows to run** (el cuerpo del PR lo avisa). Para que tu CI corra sola sobre esos PRs, pasale a la Action un token de una GitHub App o un token personal con permiso de escritura en `contents` y `pull-requests`:
 
@@ -128,7 +130,7 @@ Cómo contribuir, las reglas para el código y cómo se saca una versión: [`CON
 
 | Pack | Proveedor | Tipo | Fecha límite | Arreglo |
 |---|---|---|---|---|
-| `arca.wsfe.condicion-iva-receptor` | ARCA | rompe | 2026-12-01 | sí, en JS (`afip.js`) y PHP (`afipsdk/afip.php` y forks): consumidor final y DNI B/C; con `DocTipo` en una variable, consumidor final al ejecutarse (PR parcial) |
+| `arca.wsfe.condicion-iva-receptor` | ARCA | rompe | 2026-12-01 | sí, en JS (`afip.js` y `@arcasdk/core`) y PHP (`afipsdk/afip.php` y forks): consumidor final y DNI B/C; con `DocTipo` en una variable, consumidor final al ejecutarse (PR parcial) |
 | `mercadopago.payments-to-orders` | Mercado Pago | migración | — | sí (creación de pagos en SDK Node v2) |
 | `ai.model-retirements` | Anthropic, OpenAI | retiro | varias | solo detección (también modelos fine-tuned de OpenAI, `ft:…`). De OpenAI, los modelos que su página de deprecaciones apaga desde 2026: texto, código, imagen, video, voz, transcripción y realtime; y los productos que cierran: Assistants API, prompts reutilizables (`pmpt_…`, `v1/prompts`), la plataforma de Evals, ChatKit con un workflow de Agent Builder y la Videos API (cerrada el 24/9/2026). De Anthropic, los modelos retirados o con fecha, también por su alias (`claude-sonnet-4-5`, que apunta a `claude-sonnet-4-5-20250929` y se retira el 30/11/2026), `temperature`, `top_p` y `top_k` con un valor que no es el de por defecto en Claude 4.7 y posteriores, que dan error 400 (SDK de JS/TS y de Python, y HTTP directo), y los mismos tres parámetros con cualquier modelo en la API version `2026-10-21`, que usan el SDK de TypeScript 1.0.0 y el de Python 2.0.0 (del 21/10/2026): dice si el pedido ya falla, si falla en una instalación nueva o si va a fallar cuando suban el SDK |
 
@@ -157,6 +159,8 @@ Para reportar una vulnerabilidad, y el detalle de todo esto: [`SECURITY.md`](SEC
 
 ## ARCA en PHP
 
+**¿Tenés que agregar el campo a mano?** La guía paso a paso, para afip.js, afip.php, @arcasdk/core y SOAP propio: [Cómo agregar `CondicionIVAReceptorId` antes del 1/12/2026](docs/guia-condicion-iva-receptor.md).
+
 Para `afipsdk/afip.php` y sus forks (`fertandil87/afip.php`, `ivanalemunioz/afip.php`, `eesnaola/afip.php`), Parche busca `$afip->ElectronicBilling->CreateVoucher($data)` y `CreateNextVoucher($data)` (también en minúsculas: PHP no distingue) y agrega una línea por factura:
 
 ```php
@@ -169,7 +173,9 @@ Para `afipsdk/afip.php` y sus forks (`fertandil87/afip.php`, `ivanalemunioz/afip
 - Copia el estilo del array: comillas de las claves, indentación (espacios o tabs), alineación de los `=>`, coma final y fin de línea (LF o CRLF).
 - Saltea `vendor/`.
 
-**La versión de la librería importa.** Con `afip.js`/`afip.php` 0.x (y `eesnaola/afip.php`) el pedido se arma con un WSDL de 2021 que no tiene `CondicionIVAReceptorId`: aunque el campo esté en el código, no llega a ARCA. Parche lee la versión instalada (`composer.lock`, `package-lock.json`, `node_modules`) y, en esos casos, el arreglo sale como **"revisar"** con el aviso de actualizar a 1.x. También avisa si el repo tiene un `.wsdl` de WSFEv1 sin el campo.
+**La versión de la librería importa.** Con `afip.js`/`afip.php` 0.x, `eesnaola/afip.php` y `ts-afip-ws` (un fork de afip.js 0.x; su última versión, la 1.3.2, trae el WSDL sin el campo) el pedido se arma con un WSDL de 2021 que no tiene `CondicionIVAReceptorId`: aunque el campo esté en el código, no llega a ARCA. Parche lee la versión instalada (`composer.lock`, `package-lock.json`, `node_modules`) y, en esos casos, el arreglo sale como **"revisar"** y lo que pide un dato lleva el mismo aviso: qué actualizar para que el campo viaje. También avisa si el repo tiene un `.wsdl` de WSFEv1 sin el campo.
+
+**Clave casi bien escrita.** Si el detalle del comprobante lleva `CondicionIVAReceptor` (sin `Id`), `CondicionIvaReceptorId` o `condicionIVAReceptorId`, ese elemento no existe en el WSDL: el dato nunca llega y el repo parece migrado. Parche renombra la clave a `CondicionIVAReceptorId` sin tocar el valor, en JS y en PHP, y el PR sale **borrador** para revisar que el valor sea un código válido. Solo lo hace dentro de objetos o arrays con al menos dos claves de WSFEv1 (`DocTipo`, `CbteDesde`, `ImpTotal`…), para no tocar modelos propios con un nombre parecido, y nunca en tests.
 
 **Otros lenguajes:** en Python, C#, Java, Go y VB.NET, Parche detecta integraciones SOAP propias y clientes SOAP generados sin el campo (no los reescribe).
 
@@ -201,7 +207,7 @@ Cuando `DocTipo` no es un número fijo (`DocTipo: docTipo`), Parche no puede sab
 ## Límites del MVP
 
 - JS/TS (ESM y CommonJS) y, para ARCA, PHP. Siguen Python y Java.
-- ARCA: cubre `@afipsdk/afip.js` y `afipsdk/afip.php` (con sus forks). Las integraciones SOAP propias (en cualquier lenguaje) se detectan pero no se reescriben.
+- ARCA: cubre `@afipsdk/afip.js`, `@arcasdk/core` (`arca.electronicBillingService.createVoucher` y `createNextVoucher`) y `afipsdk/afip.php` (con sus forks). Las integraciones SOAP propias (en cualquier lenguaje) se detectan pero no se reescriben, salvo el renombre de una clave casi bien escrita.
 - IA, parámetros de Claude 4.7 y posteriores: avisa solo si el modelo del pedido se lee en el mismo archivo (un literal, una constante asignada una vez o el valor por defecto de una variable de entorno) y el parámetro es un número escrito en el código. Si el modelo llega de otro archivo o de la configuración, no avisa: no se puede saber si el pedido va a fallar.
 - IA, API version `2026-10-21` de Anthropic: la versión del SDK sale de `package-lock.json`, `node_modules` o el rango de `package.json`, y en Python solo de `requirements.txt` (todavía no de `pyproject.toml`, `poetry.lock` ni `uv.lock`). Un rango sin número (`latest`, `*`) cuenta como versión desconocida. Por HTTP directo avisa solo si el archivo manda `anthropic-version: 2026-10-21`. Los SDKs de Go, Java, .NET, Ruby y PHP no se leen.
 - IA, alias de Anthropic: avisa los de Claude Sonnet 4.5, Opus 4.5 y Haiku 4.5 (`claude-sonnet-4-5`, `claude-opus-4-5`, `claude-haiku-4-5`), escritos enteros entre comillas. Los alias de modelos ya retirados (`claude-3-5-sonnet-latest`, `claude-3-7-sonnet-latest` y otros) todavía no: la documentación actual de Anthropic ya no los nombra.

package/bin/parche.js

@@ -9,8 +9,9 @@ import { verify } from '../src/verify.js';
 import * as git from '../src/git.js';
 import { parseGithubRemote, openPullRequest } from '../src/github.js';
 import { record } from '../src/ledger.js';
-import { apiLabel } from '../src/inventory/index.js';
+import { apiLabel, noUsesLabel } from '../src/inventory/index.js';
 import { isTestFile } from '../src/paths.js';
+import { stepSummary, annotations, byPack, workspacePrefix } from '../src/actions.js';
 
 const HELP = `parche — Dependabot para APIs
 
@@ -67,7 +68,7 @@ function printInventory(inventory) {
     const ops = api.operations.map((o) => (o.count > 1 ? `${o.op} ×${o.count}` : o.op));
     const shown = ops.length > 4 ? [...ops.slice(0, 4), `+${ops.length - 4} más`] : ops;
     const packs = api.packs.length ? '  · con pack' : '';
-    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || '(declarada, sin usos encontrados)'}${packs}`);
+    console.log(`  ${KIND[api.kind]}  ${apiLabel(api).padEnd(38)} ${api.confidence.padEnd(5)}  ${shown.join(', ') || `(${noUsesLabel(api)})`}${packs}`);
   }
   if (inventory.unresolved.length) {
     console.log(`  + ${inventory.unresolved.length} llamada(s) HTTP con URL dinámica (no se sabe a qué host van; detalle en el reporte)`);
@@ -225,6 +226,9 @@ async function main() {
     const packs = loadPacks().filter((p) => p.codemod && (!packIds || packIds.includes(p.id)));
     // A dónde se pushea: origin, o el fork de quien abre el PR (--push-remote fork). El PR se abre contra origin.
     const pushRemote = typeof args['push-remote'] === 'string' ? args['push-remote'] : 'origin';
+    // Para el resumen del job en GitHub Actions: los PRs de esta corrida y lo que quedó sin PR.
+    const opened = [];
+    const withoutPr = [];
     for (const pack of packs) {
       const preview = run(root, { write: false, packIds: [pack.id] });
       if (!preview.findings.length) continue;
@@ -258,6 +262,7 @@ async function main() {
           console.log(`  ${summary(result.findings)}`);
           console.log(`  ${why[0].toUpperCase()}${why.slice(1)}; queda como issue o reporte: ${bodyPath}`);
           record(root, { type: 'report-only', pack: pack.id, findings: c, reason: why });
+          withoutPr.push({ pack, findings: result.findings });
           continue;
         }
         const draft = !!(c['needs-review'] || c['needs-input'] || c.blocked);
@@ -277,6 +282,7 @@ async function main() {
         } else {
           console.log(`  Modo prueba: no se abrió el PR${draft ? ' (iría como borrador por tener ítems para revisar)' : ''}.`);
         }
+        opened.push({ title, url, draft });
         record(root, { type: 'pr', pack: pack.id, packVersion: pack.version, branch, sha, url, draft, files: changedFiles, findings: c,
           partial: result.findings.filter((f) => f.partial).length });
       } finally {
@@ -285,6 +291,19 @@ async function main() {
         if (!keepBranch) git.deleteBranch(root, branch);
       }
     }
+    // Los packs de solo detección (IA) no abren PR: sus avisos se muestran acá y, en GitHub Actions, en el resumen del
+    // job y como anotaciones, junto con lo que quedó sin PR. Antes `pr` los salteaba y en la Action no se veían (D67).
+    const detectPacks = loadPacks().filter((p) => !p.codemod && (!packIds || packIds.includes(p.id)));
+    const detected = detectPacks.length ? run(root, { write: false, packIds: detectPacks.map((p) => p.id) }) : { packs: [], findings: [] };
+    const notices = byPack(detected);
+    if (notices.length) {
+      console.log('\nAvisos sin PR (solo detección):');
+      printFindings(detected);
+    }
+    if (process.env.GITHUB_ACTIONS === 'true') {
+      if (process.env.GITHUB_STEP_SUMMARY) fs.appendFileSync(process.env.GITHUB_STEP_SUMMARY, stepSummary({ opened, reportOnly: withoutPr, notices }));
+      for (const line of annotations([...notices, ...withoutPr], workspacePrefix(root, process.env.GITHUB_WORKSPACE))) console.log(line);
+    }
     return 0;
   }
 

package/data/known-sdks.json

@@ -15,6 +15,7 @@
     "afip.ts": { "provider": "ARCA (ex AFIP)", "category": "facturación" },
     "ts-afip-ws": { "provider": "ARCA (ex AFIP)", "category": "facturación" },
     "facturajs": { "provider": "ARCA (ex AFIP)", "category": "facturación" },
+    "facturas": { "provider": "ARCA (ex AFIP)", "category": "facturación" },
     "openai": { "provider": "OpenAI", "category": "ia" },
     "@anthropic-ai/sdk": { "provider": "Anthropic", "category": "ia" },
     "@google/generative-ai": { "provider": "Google (Gemini)", "category": "ia" },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "parche-cli",
-  "version": "0.6.8",
+  "version": "0.7.0",
   "description": "Dependabot para APIs: detecta cambios de cualquier API de terceros en tu código (ARCA, Mercado Pago, OpenAI, Anthropic) y abre el PR con el arreglo.",
   "keywords": [
     "api",
@@ -25,7 +25,7 @@
     "type": "git",
     "url": "git+https://github.com/Pepo08/parche.git"
   },
-  "author": "Joaquín González",
+  "author": "Joaquin Gonzalez Menza",
   "license": "MIT",
   "type": "module",
   "bin": {

package/packs/arca.wsfe.condicion-iva-receptor.json

@@ -1,24 +1,24 @@
 {
   "id": "arca.wsfe.condicion-iva-receptor",
-  "version": "2026.10.16",
+  "version": "2026.10.24",
   "provider": "ARCA (ex AFIP)",
   "title": "Condición frente al IVA del receptor obligatoria en WSFEv1",
   "kind": "breaking",
   "severity": "critical",
   "deadline": "2026-12-01",
-  "last_verified": "2026-10-16",
+  "last_verified": "2026-10-24",
   "summary_es": "Desde el 1/12/2026 ARCA rechaza automáticamente las solicitudes de CAE que no informen CondicionIVAReceptorId.",
-  "why_es": "La RG 5616/2024 hizo obligatorio informar la condición frente al IVA del receptor en cada comprobante electrónico. El manual del desarrollador de WSFEv1 (v4.8) fija el 1 de diciembre de 2026 como fecha desde la cual el campo es obligatorio: si viaja vacío, nulo o no viaja, el pedido de CAE se rechaza y no se puede facturar.",
+  "why_es": "La RG 5616/2024 hizo obligatorio informar la condición frente al IVA del receptor en cada comprobante electrónico. El manual del desarrollador de WSFEv1 fija el 1 de diciembre de 2026 como fecha desde la cual el campo es obligatorio: si viaja vacío, nulo o no viaja, el pedido de CAE se rechaza y no se puede facturar.",
   "sources": [
-    { "title": "VATupdate: Argentina makes recipient VAT status mandatory (WSFEv1 v4.8)", "url": "https://www.vatupdate.com/2026/09/09/argentina-makes-recipient-vat-status-mandatory-in-electronic-invoices/" },
+    { "title": "VATupdate: Argentina makes recipient VAT status mandatory in electronic invoices", "url": "https://www.vatupdate.com/2026/09/09/argentina-makes-recipient-vat-status-mandatory-in-electronic-invoices/" },
     { "title": "iProfesional: ARCA rechazará facturas sin la condición del cliente frente al IVA", "url": "https://www.iprofesional.com/impuestos/464104-nuevo-requisito-arca-puede-trabar-emision-facturas" },
     { "title": "Tabla de códigos de FEParamGetCondicionIvaReceptor", "url": "https://app.spomsolutions.com/blog/condicion-iva-receptor-rg-5616" },
     { "title": "Afip SDK: factura electrónica (Node y PHP, CreateVoucher / CreateNextVoucher)", "url": "https://docs.afipsdk.com/siguientes-pasos/web-services/factura-electronica" },
     { "title": "afipsdk/afip.php en Packagist", "url": "https://packagist.org/packages/afipsdk/afip.php" }
   ],
   "detect": {
-    "packages": ["@afipsdk/afip.js", "@arcasdk/core", "afip.ts", "ts-afip-ws", "facturajs", "afipsdk/afip.php", "fertandil87/afip.php", "ivanalemunioz/afip.php", "eesnaola/afip.php"],
-    "calls": ["ElectronicBilling.createVoucher", "ElectronicBilling.createNextVoucher", "ElectronicBilling->CreateVoucher", "ElectronicBilling->CreateNextVoucher"],
+    "packages": ["@afipsdk/afip.js", "@arcasdk/core", "afip.ts", "ts-afip-ws", "facturajs", "facturas", "afipsdk/afip.php", "fertandil87/afip.php", "ivanalemunioz/afip.php", "eesnaola/afip.php"],
+    "calls": ["ElectronicBilling.createVoucher", "ElectronicBilling.createNextVoucher", "ElectronicBilling->CreateVoucher", "ElectronicBilling->CreateNextVoucher", "electronicBillingService.createVoucher", "electronicBillingService.createNextVoucher"],
     "raw_markers": ["FECAESolicitar", "FECAEDetRequest"],
     "field": "CondicionIVAReceptorId"
   },
@@ -44,8 +44,10 @@
   "codemod": "arca-wsfe-condicion-iva",
   "review_checklist_es": [
     "Probar la emisión en homologación (wsfehomo) con cada tipo de comprobante que emitís.",
-    "Confirmar que cada cliente con CUIT tiene guardada su condición frente al IVA y que se envía en cada CAE.",
     "Pedir la condición frente al IVA en el alta de clientes nuevos.",
     "Validar los códigos con FEParamGetCondicionIvaReceptor (la tabla puede cambiar)."
+  ],
+  "review_checklist_if_pending_es": [
+    "Confirmar que cada cliente con CUIT tiene guardada su condición frente al IVA y que se envía en cada CAE."
   ]
 }

package/src/actions.js

@@ -0,0 +1,72 @@
+// Lo que se ve en GitHub Actions además de los PRs: el resumen del job ($GITHUB_STEP_SUMMARY) y las anotaciones
+// (::warning) con archivo y línea. Sin esto, los avisos de los packs de solo detección (IA) y lo que queda sin PR
+// (falta un dato, o no hay código para cambiar) se perdían dentro del runner (sesión del 23/10, D67).
+import path from 'node:path';
+import { LABEL } from './report.js';
+
+// Comandos de workflow de GitHub: el mensaje escapa %, \r y \n; las propiedades (file, title), además, ":" y ",".
+export const escapeData = (s) => String(s).replace(/%/g, '%25').replace(/\r/g, '%0D').replace(/\n/g, '%0A');
+export const escapeProperty = (s) => escapeData(s).replace(/:/g, '%3A').replace(/,/g, '%2C');
+
+// GitHub muestra hasta 10 anotaciones de advertencia por paso: las primeras van como anotación y todas en el resumen.
+export const MAX_ANNOTATIONS = 10;
+
+// Grupos { pack, findings } de un resultado del motor, en el orden de los packs y sin los packs vacíos.
+export const byPack = (result) => result.packs
+  .map((pack) => ({ pack, findings: result.findings.filter((f) => f.pack === pack.id) }))
+  .filter((g) => g.findings.length);
+
+// Prefijo para que la ruta del hallazgo (relativa a la carpeta que se revisó) sea relativa a la raíz del checkout,
+// que es lo que espera una anotación. Si la carpeta está fuera del checkout, no hay prefijo válido: null.
+export function workspacePrefix(root, workspace) {
+  if (!workspace) return '';
+  const rel = path.relative(path.resolve(workspace), path.resolve(root));
+  if (rel === '') return '';
+  if (rel.startsWith('..') || path.isAbsolute(rel)) return null;
+  return `${rel.split(path.sep).join('/')}/`;
+}
+
+// Una anotación por hallazgo, hasta MAX_ANNOTATIONS. Sin prefijo válido, el archivo y la línea van en el mensaje.
+export function annotations(groups, prefix = '') {
+  const out = [];
+  for (const { pack, findings } of groups) {
+    for (const f of findings) {
+      if (out.length === MAX_ANNOTATIONS) return out;
+      const where = `${f.file}${f.line ? `:${f.line}` : ''}`;
+      const props = prefix === null ? [] : [`file=${escapeProperty(prefix + f.file)}`, ...(f.line ? [`line=${f.line}`] : [])];
+      props.push(`title=${escapeProperty(`Parche · ${pack.title}`)}`);
+      out.push(`::warning ${props.join(',')}::${escapeData(prefix === null ? `${where}: ${f.message}` : f.message)}`);
+    }
+  }
+  return out;
+}
+
+// El resumen del job: los PRs de esta corrida, lo que quedó sin PR y los avisos de solo detección.
+// opened: [{ title, url, draft }] (url null en modo prueba); reportOnly y notices: grupos { pack, findings }.
+export function stepSummary({ opened = [], reportOnly = [], notices = [] }) {
+  const lines = ['## Parche', ''];
+  if (opened.length) {
+    lines.push('### PRs', '');
+    for (const o of opened) {
+      const draft = o.draft ? ' · borrador' : '';
+      lines.push(o.url ? `- [${o.title}](${o.url})${draft}` : `- ${o.title}${draft} · modo prueba: no se abrió`);
+    }
+    lines.push('');
+  }
+  const section = (title, intro, groups) => {
+    if (!groups.length) return;
+    lines.push(`### ${title}`, '', intro, '');
+    for (const { pack, findings } of groups) {
+      lines.push(`**${pack.title}** · ${pack.provider}`, '');
+      for (const f of findings) lines.push(`- ${LABEL[f.status]} · \`${f.file}${f.line ? `:${f.line}` : ''}\` · ${f.message}`);
+      lines.push('');
+    }
+  };
+  section('Sin PR', 'Parche no abre un PR cuando el arreglo depende de un dato de tu negocio o cuando no hay código para cambiar. Esto es lo que encontró y lo que falta.', reportOnly);
+  section('Avisos', 'Cambios con fecha que afectan a tu código. Parche no los cambia solo: cambiar de modelo, por ejemplo, cambia cómo responde tu producto.', notices);
+  if (!opened.length && !reportOnly.length && !notices.length) {
+    lines.push('Ninguno de los packs verificados tiene cambios que te afecten hoy.', '');
+  }
+  lines.push('El inventario completo de las APIs del repo: `npx parche-cli scan .`');
+  return `${lines.join('\n')}\n`;
+}

package/src/ast.js

@@ -23,11 +23,12 @@ export function eolOf(source) {
   return crlf > lf ? '\r\n' : '\n';
 }
 
-// Aplica inserciones de texto { offset, text } de atrás para adelante, así no se corren los offsets.
+// Aplica ediciones de texto { offset, text, remove } de atrás para adelante, así no se corren los offsets.
+// Sin `remove` es una inserción; con `remove`, `text` reemplaza esa cantidad de caracteres desde `offset`.
 export function applyEdits(source, edits) {
   let out = source;
   for (const e of [...edits].sort((a, b) => b.offset - a.offset)) {
-    out = out.slice(0, e.offset) + e.text + out.slice(e.offset);
+    out = out.slice(0, e.offset) + e.text + out.slice(e.offset + (e.remove || 0));
   }
   return out;
 }

package/src/codemods/arca-rules.js

@@ -79,6 +79,25 @@ export function partialLeftMessage(pending) {
   return `Tiene el arreglo parcial de Parche (solo DocTipo 99 → 5). ${pending.message}`;
 }
 
+// Clave casi igual al campo (frente B, punto 13): `CondicionIVAReceptor` sin Id, `CondicionIvaReceptorId`,
+// `condicionIVAReceptorId`. Ese elemento no existe en el WSDL de WSFEv1, así que el dato nunca viaja y el repo
+// parece migrado (pablocla/erpia lo tenía en cuatro archivos). Solo se toca dentro del detalle de un comprobante
+// (dos o más claves de WSFEv1), para no renombrar modelos o DTOs propios que se llamen parecido.
+const FIELD = 'CondicionIVAReceptorId';
+export const NEAR_HINT = /condicion_?iva_?receptor/i;
+const DETAIL_KEYS = new Set(['Concepto', 'DocTipo', 'DocNro', 'CbteDesde', 'CbteHasta', 'CbteFch', 'ImpTotal', 'ImpNeto', 'ImpIVA', 'MonId', 'MonCotiz']);
+export const isNearMissKey = (key) => typeof key === 'string' && key !== FIELD && /^condicion_?iva_?receptor(?:_?id)?$/i.test(key);
+export const isVoucherDetail = (keys) => keys.filter((k) => DETAIL_KEYS.has(k)).length >= 2;
+
+export function nearMissMessage(key, pack) {
+  return `\`${key}\` no es un campo de WSFEv1: ARCA espera \`${FIELD}\`, así que hoy el dato no llega y desde el ${dmy(pack.deadline)} ARCA rechaza el CAE. `
+    + 'Lo renombré sin tocar el valor: revisá que sea un código de FEParamGetCondicionIvaReceptor.';
+}
+
+export function nearMissBothMessage(key) {
+  return `El comprobante tiene \`${key}\` y también \`${FIELD}\`. \`${key}\` no es un campo de WSFEv1: se puede borrar. Revisá que \`${FIELD}\` lleve el valor correcto.`;
+}
+
 // "El repo ya usa CondicionIVAReceptorId en otro lado": prefijo para bajar a "revisar" lo que no se pudo leer
 // (en repos ya migrados, el objeto suele salir de un builder que sí pone el campo).
 export function alreadyMigratedPrefix(context) {
@@ -92,7 +111,7 @@ export function libraryCaveat(context, ecosystem) {
   const lib = (context?.arcaLibs || []).find((l) => l.ecosystem === ecosystem && l.travels !== 'si');
   if (lib) {
     return `Ojo: con ${lib.name} ${lib.version} el pedido se arma con un WSDL de 2021 que no tiene este campo`
-      + `${lib.travels === 'no' ? '' : ' (en JS falta confirmarlo)'}: para que llegue a ARCA hay que actualizar la librería a 1.x.`;
+      + `${lib.travels === 'no' ? '' : ' (en JS falta confirmarlo)'}: para que llegue a ARCA hay que ${lib.fix || 'actualizar la librería a 1.x'}.`;
   }
   const wsdl = context?.staleWsdl?.[0];
   if (wsdl) return `Ojo: el repo tiene un WSDL de WSFEv1 sin este campo (\`${wsdl}\`): si el cliente SOAP lo usa, el campo no viaja hasta actualizarlo.`;

package/src/codemods/arca-wsfe-condicion-iva-php.js

@@ -8,8 +8,10 @@ import { parsePhp, walkPhp, phpLiteral, phpKey } from '../php.js';
 import {
   PACK, decideCondition, validCodesText, missingMessage, appliedMessage, soapDetection, ARCA_HINT, libraryCaveat, alreadyMigratedPrefix,
   canApplyAtRuntime, PARTIAL_COMMENT, partialAppliedMessage, partialPending, partialLeftMessage,
+  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage,
 } from './arca-rules.js';
 import { emptyContext } from '../context.js';
+import { isTestFile } from '../paths.js';
 
 // En PHP los nombres de método no distinguen mayúsculas: createVoucher también es válido.
 // El inventario usa el nombre oficial, así un mismo método no aparece dos veces.
@@ -112,7 +114,7 @@ function resolveData(arg, scope, call, scopes) {
 export default function transform({ source, file, pack, context = emptyContext() }) {
   const findings = [];
   const usages = [];
-  if (!ARCA_HINT.test(source)) return { output: null, findings, usages }; // prefiltro (ver el codemod de JS)
+  if (!ARCA_HINT.test(source) && !NEAR_HINT.test(source)) return { output: null, findings, usages }; // prefiltro (ver el codemod de JS)
   const caveat = libraryCaveat(context, 'composer');
   const migrated = alreadyMigratedPrefix(context);
   let ast;
@@ -129,6 +131,28 @@ export default function transform({ source, file, pack, context = emptyContext()
   const { scopes, calls } = collect(ast);
   const edits = [];
   const edited = new Set(); // el mismo $data en dos llamadas: se inserta una sola vez (ver el codemod de JS)
+
+  // Punto 13 del frente B: 'CondicionIVAReceptor' => $x (sin Id) se renombra, como en JS. Solo cambia el texto
+  // entre las comillas de la clave; el array queda marcado para que la llamada no reciba un campo nuevo.
+  let renamed = false;
+  if (!isTestFile(file)) {
+    walkPhp(ast, (node) => {
+      if (node.kind !== 'array') return;
+      const entries = node.items.filter((it) => it && it.kind === 'entry');
+      const near = entries.find((e) => isNearMissKey(phpKey(e)));
+      if (!near || !isVoucherDetail(entries.map(phpKey))) return;
+      edited.add(node);
+      if (entries.some((e) => phpKey(e) === FIELD)) {
+        findings.push(finding(PACK, file, near, 'needs-review', nearMissBothMessage(phpKey(near))));
+        return;
+      }
+      const { start, end } = near.key.loc;
+      edits.push({ offset: start.offset + 1, remove: end.offset - start.offset - 2, text: FIELD });
+      renamed = true;
+      findings.push(finding(PACK, file, near, 'needs-review', nearMissMessage(phpKey(near), pack) + (caveat ? ` ${caveat}` : '')));
+    });
+  }
+
   for (const { node: call, scope, method } of calls) {
     usages.push({ provider: 'arca', op: `ElectronicBilling->${method}`, line: call.loc.start.line });
     const data = resolveData(call.arguments[0], scope, call, scopes);
@@ -136,7 +160,7 @@ export default function transform({ source, file, pack, context = emptyContext()
     const entries = data.arr ? data.arr.items.filter((it) => it && it.kind === 'entry') : null;
     if (!entries || entries.some((e) => e.unpack || e.byRef)) {
       const msg = data.hint || `No pude leer los datos del comprobante (${data.reason || 'el array usa ...$otro o referencias'}). Agregá ${FIELD} a mano, ${HINT_TAIL}`;
-      findings.push(finding(PACK, file, call, migrated ? 'needs-review' : 'needs-input', (migrated || '') + msg));
+      findings.push(finding(PACK, file, call, migrated ? 'needs-review' : 'needs-input', (migrated || '') + msg + (caveat ? ` ${caveat}` : '')));
       continue;
     }
     const byKey = (k) => entries.find((e) => phpKey(e) === k);
@@ -175,7 +199,7 @@ export default function transform({ source, file, pack, context = emptyContext()
     findings.push(finding(PACK, file, call, status, appliedMessage(d.status) + (caveat ? ` ${caveat}` : '')));
   }
 
-  const soap = soapDetection(source, file, context);
+  const soap = renamed ? null : soapDetection(source, file, context); // ya manda el campo (ver el codemod de JS)
   if (soap) { findings.push(soap.finding); usages.push(soap.usage); }
 
   return { output: edits.length ? applyEdits(source, edits) : null, findings, usages };

package/src/codemods/arca-wsfe-condicion-iva.js

@@ -2,13 +2,15 @@
 // Agrega CondicionIVAReceptorId a cada pedido de CAE hecho con afip.js cuando se puede inferir
 // sin datos del negocio, y marca el resto para que una persona complete el dato.
 import {
-  jFor, detectQuote, eolOf, offsetAt, applyEdits, getProp, isQuotedKey, isPlainProp, literalValue, resolveBinding, finding,
+  jFor, detectQuote, eolOf, offsetAt, applyEdits, getProp, isQuotedKey, isPlainProp, keyName, literalValue, resolveBinding, finding,
 } from '../ast.js';
 import {
   PACK, decideCondition, validCodesText, missingMessage, appliedMessage, soapDetection, ARCA_HINT, libraryCaveat, alreadyMigratedPrefix,
   canApplyAtRuntime, PARTIAL_COMMENT, partialAppliedMessage, partialPending, partialLeftMessage,
+  NEAR_HINT, isNearMissKey, isVoucherDetail, nearMissMessage, nearMissBothMessage,
 } from './arca-rules.js';
 import { emptyContext } from '../context.js';
+import { isTestFile } from '../paths.js';
 
 const VOUCHER_METHODS = new Set(['createVoucher', 'createNextVoucher']);
 const WRAPPERS = new Set(['TSAsExpression', 'TSNonNullExpression', 'TSTypeAssertion', 'TSSatisfiesExpression', 'ParenthesizedExpression']);
@@ -18,7 +20,10 @@ const unwrap = (n) => {
   while (n && WRAPPERS.has(n.type)) n = n.expression;
   return n;
 };
-const isEBMember = (n) => !!(n && n.type === 'MemberExpression' && !n.computed && n.property.type === 'Identifier' && n.property.name === 'ElectronicBilling');
+// afip.ElectronicBilling (afip.js) o arca.electronicBillingService (@arcasdk/core): las dos reciben el mismo
+// comprobante, con las claves de WSFEv1 (tipos de @arcasdk/core 2.0.2, leídos en su paquete de npm el 24/10/2026).
+const BILLING_MEMBERS = new Set(['ElectronicBilling', 'electronicBillingService']);
+const isEBMember = (n) => !!(n && n.type === 'MemberExpression' && !n.computed && n.property.type === 'Identifier' && BILLING_MEMBERS.has(n.property.name));
 
 // ¿`node` es `<algo>.ElectronicBilling`? También con casts de TS y con un alias en el mismo scope
 // (`const eb = afip.ElectronicBilling; eb.createVoucher(...)`): los dos aparecieron en repos reales.
@@ -32,6 +37,13 @@ function isElectronicBilling(node, p) {
   return false;
 }
 
+// Para el inventario: `ElectronicBilling` o `electronicBillingService`, también si la llamada pasa por un alias.
+function billingName(node, p) {
+  let n = unwrap(node);
+  if (n && n.type === 'Identifier') n = unwrap(resolveBinding(p, n.name)?.node.init);
+  return isEBMember(n) ? n.property.name : 'ElectronicBilling';
+}
+
 function voucherCallee(p) {
   const callee = unwrap(p.node.callee);
   if (!callee || callee.type !== 'MemberExpression' || callee.computed || callee.property.type !== 'Identifier') return null;
@@ -119,7 +131,8 @@ const suggestionFor = (d, pack) => `'CondicionIVAReceptorId': <condición del cl
 export default function transform({ source, file, pack, context = emptyContext() }) {
   const findings = [];
   const usages = [];
-  if (!ARCA_HINT.test(source)) return { output: null, findings, usages };
+  const arcaFile = ARCA_HINT.test(source);
+  if (!arcaFile && !NEAR_HINT.test(source)) return { output: null, findings, usages };
   const caveat = libraryCaveat(context, 'npm');
   const migrated = alreadyMigratedPrefix(context);
   const j = jFor(file);
@@ -128,8 +141,10 @@ export default function transform({ source, file, pack, context = emptyContext()
     root = j(source);
   } catch (err) {
     // Antes se descartaba en silencio: un archivo de ARCA que no parsea es justo el que hay que mirar.
-    findings.push({ pack: PACK, file, line: err.loc?.line || null, status: 'needs-input',
-      message: `No pude analizar este archivo (${err.message.split('\n')[0]}). Revisá a mano las llamadas a ElectronicBilling.` });
+    if (arcaFile) {
+      findings.push({ pack: PACK, file, line: err.loc?.line || null, status: 'needs-input',
+        message: `No pude analizar este archivo (${err.message.split('\n')[0]}). Revisá a mano las llamadas a ElectronicBilling.` });
+    }
     return { output: null, findings, usages };
   }
   let changed = false;
@@ -138,9 +153,31 @@ export default function transform({ source, file, pack, context = emptyContext()
   // texto y el árbol no se entera, sin esto se insertaba dos veces → clave duplicada y TypeScript no compila.
   const edited = new Set();
 
+  // Punto 13 del frente B: la clave casi bien escrita se renombra; el nombre correcto lo fija el WSDL.
+  // Va antes que las llamadas, así el comprobante renombrado no recibe además un CondicionIVAReceptorId nuevo.
+  let renamed = false;
+  if (!isTestFile(file)) {
+    root.find(j.ObjectExpression).forEach((p) => {
+      const obj = p.node;
+      const props = obj.properties.filter(isPlainProp);
+      const near = props.find((pr) => isNearMissKey(keyName(pr)));
+      if (!near || !isVoucherDetail(props.map(keyName))) return;
+      edited.add(obj);
+      if (getProp(obj, 'CondicionIVAReceptorId')) {
+        findings.push(finding(PACK, file, near, 'needs-review', nearMissBothMessage(keyName(near))));
+        return;
+      }
+      edits.push(renameKey(source, near));
+      renamed = true;
+      changed = true;
+      findings.push(finding(PACK, file, near, 'needs-review', nearMissMessage(keyName(near), pack) + (caveat ? ` ${caveat}` : '')));
+    });
+  }
+
   root.find(j.CallExpression).filter((p) => voucherCallee(p) !== null).forEach((p) => {
     const call = p.node;
-    usages.push({ provider: 'arca', op: `ElectronicBilling.${voucherCallee(p).property.name}`, line: call.loc?.start.line });
+    const callee = voucherCallee(p);
+    usages.push({ provider: 'arca', op: `${billingName(callee.object, p)}.${callee.property.name}`, line: call.loc?.start.line });
     const arg = call.arguments[0];
     let obj = null;
     let binding = null;
@@ -151,7 +188,9 @@ export default function transform({ source, file, pack, context = emptyContext()
     }
     if (!obj || otherSpread(obj)) {
       // Si el repo ya usa el campo en otro lado, lo más probable es que el builder ya lo ponga: "revisar".
-      findings.push(finding(PACK, file, call, migrated ? 'needs-review' : 'needs-input', (migrated || '') + unreadableMessage(j, root, p, arg, obj)));
+      // El aviso de librería vieja también va acá (frente B, punto 14: en los repos de jretondo los datos llegan de afuera).
+      findings.push(finding(PACK, file, call, migrated ? 'needs-review' : 'needs-input',
+        (migrated || '') + unreadableMessage(j, root, p, arg, obj) + (caveat ? ` ${caveat}` : '')));
       return;
     }
     if (getProp(obj, 'CondicionIVAReceptorId') || edited.has(obj)) return; // ya está migrado (o ya lo editamos)
@@ -196,12 +235,23 @@ export default function transform({ source, file, pack, context = emptyContext()
     findings.push(finding(PACK, file, call, status, appliedMessage(d.status) + (caveat ? ` ${caveat}` : '')));
   });
 
-  const soap = soapDetection(source, file, context);
+  // Con la clave renombrada el archivo ya manda el campo: el aviso de SOAP sin CondicionIVAReceptorId sobra.
+  const soap = renamed ? null : soapDetection(source, file, context);
   if (soap) { findings.push(soap.finding); usages.push(soap.usage); }
 
   return { output: changed ? applyEdits(source, edits) : null, findings, usages };
 }
 
+// `CondicionIVAReceptor: x` → `CondicionIVAReceptorId: x`, con las mismas comillas y sin tocar el valor.
+// Si era abreviada (`{ CondicionIVAReceptor }`), queda `CondicionIVAReceptorId: CondicionIVAReceptor`.
+function renameKey(source, prop) {
+  const start = offsetAt(source, prop.key.loc.start);
+  const end = offsetAt(source, prop.key.loc.end);
+  if (prop.shorthand) return { offset: start, remove: end - start, text: `CondicionIVAReceptorId: ${keyName(prop)}` };
+  const q = isQuotedKey(prop) ? source[start] : '';
+  return { offset: start, remove: end - start, text: `${q}CondicionIVAReceptorId${q}` };
+}
+
 // Cuando no se puede leer el comprobante, decir DÓNDE hay que agregar el dato: la función que lo arma
 // (y de qué módulo viene) o que llega como parámetro. Lo encontrado en repos reales: payload = buildVoucherPayload(...).
 function unreadableMessage(j, root, p, arg, obj) {

package/src/context.js

@@ -59,8 +59,13 @@ export const openRange = (range) => /^\s*(?:>=?|\*|x|latest)/i.test(range || '')
 //   afip.js / afip.php ≥ 1.0: mandan JSON a la API de Afip SDK → sí.
 //   0.x: arman el SOAP con un WSDL de 2021 incluido en la librería, sin el campo → no (PHP) o sin confirmar (JS).
 //   fertandil87/afip.php: actualizó su WSDL (lo incluye) → sí.  eesnaola/afip.php: WSDL de 2021 → igual que 0.x.
+//   ts-afip-ws: fork de afip.js 0.x (frente B, punto 14: los repos de jretondo). Su última versión, la 1.3.2 de 2023,
+//   trae wsfe.wsdl y wsfe-production.wsdl sin el campo (leído en el paquete de npm el 24/10/2026) → sin confirmar.
 const ARCA_LIBS = {
-  npm: { '@afipsdk/afip.js': (v) => (major(v) >= 1 ? 'si' : 'sin-confirmar') },
+  npm: {
+    '@afipsdk/afip.js': (v) => (major(v) >= 1 ? 'si' : 'sin-confirmar'),
+    'ts-afip-ws': () => 'sin-confirmar',
+  },
   composer: {
     'afipsdk/afip.php': (v) => (major(v) >= 1 ? 'si' : 'no'),
     'ivanalemunioz/afip.php': (v) => (major(v) >= 1 ? 'si' : 'no'),
@@ -69,13 +74,18 @@ const ARCA_LIBS = {
   },
 };
 const major = (v) => Number(String(v).split('.')[0]);
+// Qué hacer para que el campo viaje, cuando no es "actualizar la librería a 1.x" (los forks no tienen 1.x).
+const FIXES = {
+  'ts-afip-ws': 'pasar a @afipsdk/afip.js 1.x o actualizar el WSDL que trae la librería',
+  'eesnaola/afip.php': 'pasar a afipsdk/afip.php 1.x o actualizar el WSDL que trae la librería',
+};
 
 export function arcaLibraries(versions) {
   const out = [];
   for (const [eco, libs] of Object.entries(ARCA_LIBS)) {
     for (const [name, rule] of Object.entries(libs)) {
       const v = versions[eco]?.[name];
-      if (v) out.push({ ecosystem: eco, name, version: v.version, source: v.source, travels: rule(v.version) });
+      if (v) out.push({ ecosystem: eco, name, version: v.version, source: v.source, travels: rule(v.version), ...(FIXES[name] ? { fix: FIXES[name] } : {}) });
     }
   }
   return out;

package/src/inventory/index.js

@@ -126,6 +126,14 @@ export function buildInventory({ repo, manifests, fileScans, packs }) {
 }
 
 // Nombre corto para mostrar una API en el reporte y en la CLI.
+// Qué decir de un SDK sin operaciones: en JS/TS se buscaron los usos y no aparecieron; en PHP y Python los usos todavía
+// no se buscan (solo se lee el manifiesto), y "sin usos encontrados" sonaba a que no se usa (sesión del 23/10).
+const NOT_SCANNED = { composer: ['composer.json', 'PHP'], pypi: ['requirements.txt', 'Python'] };
+export function noUsesLabel(api) {
+  const ns = api.kind === 'sdk' && NOT_SCANNED[api.ecosystem];
+  return ns ? `declarada en ${ns[0]}; los usos en ${ns[1]} todavía no se analizan` : 'declarada, sin usos encontrados';
+}
+
 export function apiLabel(api) {
   if (api.kind === 'sdk') return api.provider ? `${api.provider} · ${api.package}` : api.package;
   if (api.kind === 'http') return api.provider ? `${api.provider} · ${api.host}` : api.host;

package/src/report.js

@@ -1,5 +1,5 @@
 // Reporte del scan y cuerpo del PR, en castellano.
-import { apiLabel } from './inventory/index.js';
+import { apiLabel, noUsesLabel } from './inventory/index.js';
 
 const LABEL ={
   auto: '✅ automático',
@@ -62,7 +62,7 @@ export function scanReport({ inventory, findings, packs, changed, upgrades = nul
     const KIND = { sdk: 'SDK', http: 'HTTP directo', 'ai-model': 'Modelos de IA' };
     out.push('| Tipo | API | Rubro | Confianza | Operaciones (usos) | Pack |', '|---|---|---|---|---|---|');
     for (const api of inventory.apis) {
-      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || 'declarada, sin usos encontrados';
+      const ops = api.operations.map((o) => `\`${o.op}\` ×${o.count}`).join(', ') || noUsesLabel(api);
       out.push(`| ${KIND[api.kind]} | ${apiLabel(api)} | ${api.category || '—'} | ${api.confidence} | ${ops} | ${api.packs.length ? 'sí' : '—'} |`);
     }
     out.push('');
@@ -158,9 +158,15 @@ export function prBody({ pack, findings, changed, verification, ciApproval = fal
       out.push('- CI de este PR: lo abrió GitHub Actions con el `GITHUB_TOKEN`, así que GitHub deja sus workflows esperando aprobación. Alguien con permiso de escritura tiene que tocar **Approve workflows to run**. Para que corran solos, pasale a la Action un token de una GitHub App o un token personal (input `token`).');
     }
   }
-  out.push('', asIssue ? '### Checklist' : '### Checklist antes de mergear', '', ...pack.review_checklist_es.map((x) => `- [ ] ${x}`), '');
+  // Los ítems que dependen de un dato del negocio (por ejemplo, los clientes con CUIT) solo van si queda algo
+  // pendiente: en un PR que arregla todo, como uno de puros consumidores finales, no aplican (frente B, punto 12).
+  const checklist = [...pack.review_checklist_es, ...(pending.length ? pack.review_checklist_if_pending_es || [] : [])];
+  out.push('', asIssue ? '### Checklist' : '### Checklist antes de mergear', '', ...checklist.map((x) => `- [ ] ${x}`), '');
   out.push('### Fuentes', '', ...pack.sources.map((s) => `- [${s.title}](${s.url})`), '');
-  out.push(`<sub>Pack \`${pack.id}\` v${pack.version}, verificado el ${pack.last_verified}. Resumen: ${Object.entries(c).map(([k, v]) => `${LABEL[k]} ${v}`).join(' · ')}. ¿Este PR te sirvió? Mergealo, editalo o cerralo: Parche aprende de cada resultado. [¿Qué es Parche y por qué recibiste esto?](https://github.com/Pepo08/parche/blob/main/docs/por-que-recibi-este-pr.md)</sub>`, '');
+  const feedback = asIssue
+    ? '¿Te sirvió este aviso? Cerralo cuando lo resuelvas, o contestá si algo no aplica: Parche aprende de cada resultado.'
+    : '¿Este PR te sirvió? Mergealo, editalo o cerralo: Parche aprende de cada resultado.';
+  out.push(`<sub>Pack \`${pack.id}\` v${pack.version}, verificado el ${pack.last_verified}. Resumen: ${Object.entries(c).map(([k, v]) => `${LABEL[k]} ${v}`).join(' · ')}. ${feedback} [¿Qué es Parche y por qué recibiste esto?](https://github.com/Pepo08/parche/blob/main/docs/por-que-recibi-este-pr.md)</sub>`, '');
   return out.join('\n');
 }
 

package/templates/github-workflow.yml

@@ -25,8 +25,16 @@ jobs:
       - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
         with:
           node-version: 24
-      - name: Instalar dependencias del proyecto (para correr sus tests antes de cada PR)
+      # Las dependencias del proyecto, para correr sus tests antes de cada PR. Cada paso corre solo si el repo tiene
+      # ese archivo: en un repo PHP no hay package-lock.json y `npm ci` fallaría.
+      - name: Instalar dependencias de Node
+        if: hashFiles('package-lock.json') != ''
         run: npm ci
+      # Composer viene instalado en los runners de Ubuntu de GitHub. Si tu proyecto pide otra versión de PHP,
+      # agregá antes un paso que la instale.
+      - name: Instalar dependencias de PHP
+        if: hashFiles('composer.json') != ''
+        run: composer install --no-interaction --no-progress
       # v0 se mueve con cada release 0.x. Para fijar una versión, cambiá v0 por el commit de ese release
       # (https://github.com/Pepo08/parche/releases), por ejemplo: Pepo08/parche@<sha> # v0.6.7
       - uses: Pepo08/parche@v0