TiFactura · Cambios desde qa-20260810

Auditoría del camino del dinero (emisión CAE/CAEA, reconciliación, locking, multi-comercio) con 4 jueces adversarios por dominio en 3 tandas (32 jueces, 109 hallazgos). Cada bug confirmado fue mutation-testeado (código viejo + test nuevo debe fallar) antes de arreglarse. 11 CRÍTICAS cerradas. Informe completo reproducible en docs/audit-moneypath-4-jueces-20260819.html.

CRÍTICA Ticket TRABADO sin CAE — #96 (issue #95)

Un ticket que reservaba número pero fallaba la emisión sin que ARCA emitiera quedaba trabado para siempre: el reintento solo consultaba, nunca re-emitía. Ahora rama-3 compara N contra el último autorizado de ARCA: si N nunca se emitió → RE-EMITE sobre la misma fila, con anti-doble bajo lock pesimista (independiente de RCSI). Validado por 4 jueces (2 rondas) + mutation test contra SQL Server real.

fix Hardening cliente AFIP (tanda 1) — #100 · #101

• Un CAE aprobado nunca se marca R por un fallo posterior del gateway (cálculo del barcode).
• No se persiste un cae placeholder ('0') de un comprobante rechazado.
• El TA sobrevive a un fallo de persistencia (#99); CAEA informativo con allowlist 'A' (#98); invariante flush=AUTO documentada (#97).

CRÍTICA ×5 Multi-comercio: scope por ente — #102

5 CRÍTICAS con una sola causa: el multi-comercio se scopeó por ente en la emisión V2 y en el UNIQUE de DB, pero 3 lookups quedaron sin ente (dedup CAEA, match CAE↔CAEA de reconciliación, TA del job de re-informe). Dos comercios con el mismo (pv,tipo,nro) se cruzaban: CAEA de B nunca informada / NC falsa contra el CAE de A. Cerrado y mutation-checked.

fix CAEA + V1 (tandas 2) — #103 · #105

• #103 — lock en registrarCaea (TOCTOU doble insert) + reparación local de filas ya autorizadas + no abortar el resto del lote ante el primer error.
• #105 — V1 anti-doble CAEA+CAE fail-closed (COMPROBANTE_YA_CAEA). V1 en retiro (#104): no se agrega lógica nueva.

CRÍTICA Tanda 3: jobs + endpoints + saveTrx — #106 · #107

• #106 — los 3 jobs Quartz (CaeaGestion, ComprobantesEmitidos, PvSinMovimiento) ya no abortan la corrida de TODOS los entes si uno falla: try/catch por ente.
• #107 🔴 — TrxWS.saveTrx (notificación CAEA SOAP) ahora pasa por EnteResolver y falla cerrado en multi-comercio (antes persistía sin ente). + 5 fixes de borde: CUIT con guiones, ente deshabilitado, tipoComprobante faltante, fuga de FQCN al POS, TrafficMdc.clear() primero en el finally.

tests Tanda de tests money-path — #108 · #109

21 tests nuevos, cada uno atado a un riesgo nombrado por la auditoría y mutation-checkeado: 12 bugs nuevos confirmados y arreglados, 3 refutados fijados como contrato, 3 clases realdb contra SQL Server (concurrencia + locking que H2 no reproduce). Cierra el hueco #1 de la auditoría (“casi todo se testeaba en 1 hilo”). El informe (#109) quedó reproducible desde docs/audit/.

feat Consola /bootui — #91 · #94

Consola de diagnóstico embebida (threads, memoria, jobs, health) montada en /bootui, con tres candados: off-by-default, loopback-only (solo desde el propio server) y read-only. Corre sobre SB 4.0.7 sin upgrade y con el actuator cerrado. Subida a BootUI 1.14 (panel Live Activity). Docs con capturas reales (#92, #93).

feat Ajustes de contingencia — #87 · #88

• #87 — endpoint pull read-only (/api/ajustes-contingencia) que devuelve la tripla CAE+NC+CAEA para el Libro de IVA del cliente, con API key dedicada (X-Api-Key).
• #88 — panel en el cockpit que muestra esa misma tripla de comprobantes de contingencia emitidos.

build Jar deployable sin config embebida — #90

El jar deployable ya no lleva application*.yml adentro (se excluyen del empaquetado). La config viaja externa, al lado del jar (--spring.config.location=file:./application.yml), evitando que un yml de repo pise la config real de PROD.

Nota: los números de PR no son consecutivos porque algunos (issues #95, #97, #98, #99, #104) son tickets referenciados, no PRs de merge; #86 entró antes de la base pero se documentó en #89.