Conformitat de les implementacions de codi obert de Verifactu

El règim Verifactu espanyol (RD 1007/2023, Orden HAC/1177/2024) obliga el programari de facturació a emetre registres XML encadenats per hash. Vam cercar sistemàticament a GitHub mitjançant les seves API de cerca de codi i de repositoris (1.008 repositoris, 29.491 fitxers XML), vam classificar cada fitxer que contenia un marcador de registre Verifactu abans de passar-hi el linter i vam auditar el corpus amb verifactu-lint 0.4.0, mantingut pels autors. Només 63 repositoris de tercers publiquen XML d'aquest tipus, i la major part no pretén ser un registre vàlid: 81 de 191 fitxers únics són plantilles, majoritàriament còpies dels exemples de la documentació de la mateixa AEAT, els camps de hash dels quals diuen literalment Huella o AAAA. Dels 35 fitxers que sí que es presenten com a registres vàlids, 10 (28,6 %, IC 95 % 16,3–45,1) contenen almenys un ERROR; 6 de 19 repositoris (31,6 %, IC 95 % 15,4–54,0) en publiquen almenys un. El defecte més freqüent, en 5 dels 19 repositoris, és un hash declarat que no coincideix amb el calculat a partir dels camps del registre. L'agent de l'estudi, basat en un LLM, va revisar una per una les 22 troballes de tipus ERROR, amb els hash recalculats per una implementació independent: no es va trobar cap fals positiu (0/22; les troballes no són independents i, sobre les 12 situacions diferents repositori–regla, la cota superior al 95 % és del 24,3 %). 34 dels 35 fitxers contenen un sol registre, de manera que els exemples XML públics no poden servir de referència per a la cadena de hash, i fora del repositori del mateix instrument ningú no publica un registre deliberadament invàlid.