Konformita open-source implementací Verifactu

Španělský režim Verifactu (RD 1007/2023, Orden HAC/1177/2024) vyžaduje, aby fakturační software vytvářel XML záznamy zřetězené pomocí hashů. Systematicky jsme prohledali GitHub prostřednictvím jeho API pro vyhledávání kódu a repozitářů (1 008 repozitářů, 29 491 souborů XML), každý soubor obsahující značku záznamu Verifactu jsme klasifikovali před jeho lintováním a korpus jsme auditovali nástrojem verifactu-lint 0.4.0, který udržují autoři. Takové XML zveřejňuje jen 63 repozitářů třetích stran a většina z něj se za platný záznam nevydává: 81 ze 191 unikátních souborů jsou šablony, většinou kopie ukázek z vlastní dokumentace AEAT, jejichž pole hashe doslova obsahují Huella nebo AAAA. Z 35 souborů, které se za platné záznamy skutečně vydávají, jich 10 (28,6 %; 95% IS 16,3–45,1) obsahuje alespoň jeden ERROR; 6 z 19 repozitářů (31,6 %; 95% IS 15,4–54,0) zveřejňuje alespoň jeden takový soubor. Nejčastější vadou, v 5 z 19 repozitářů, je deklarovaný hash, který neodpovídá hashi vypočtenému z polí záznamu. Všech 22 zjištění ERROR jednotlivě přezkoumal agent studie založený na LLM, přičemž hashe přepočítala nezávislá implementace: nebyl nalezen žádný falešně pozitivní výsledek (0/22; zjištění nejsou nezávislá a pro 12 odlišných situací repozitář–pravidlo je horní 95% mez 24,3 %). 34 z 35 souborů obsahuje jediný záznam, takže veřejné příklady XML nemohou sloužit jako reference pro řetězec hashů, a mimo vlastní repozitář nástroje nikdo nezveřejňuje záměrně neplatný záznam.