Συμμόρφωση των υλοποιήσεων Verifactu ανοιχτού κώδικα

Το ισπανικό καθεστώς Verifactu (RD 1007/2023, Orden HAC/1177/2024) απαιτεί από το λογισμικό τιμολόγησης να παράγει εγγραφές XML αλυσιδωμένες μέσω hash. Αναζητήσαμε συστηματικά στο GitHub μέσω των API αναζήτησης κώδικα και αποθετηρίων του (1.008 αποθετήρια, 29.491 αρχεία XML), ταξινομήσαμε κάθε αρχείο που περιείχε δείκτη εγγραφής Verifactu πριν το ελέγξουμε με το linter και ελέγξαμε το σύνολο των αρχείων με το verifactu-lint 0.4.0, το οποίο συντηρούν οι συγγραφείς. Μόνο 63 αποθετήρια τρίτων δημοσιεύουν τέτοια XML, και το μεγαλύτερο μέρος τους δεν φέρεται ως έγκυρη εγγραφή: 81 από τα 191 μοναδικά αρχεία είναι πρότυπα, κυρίως αντίγραφα των δειγμάτων της ίδιας της τεκμηρίωσης της AEAT, των οποίων τα πεδία hash γράφουν κυριολεκτικά Huella ή AAAA. Από τα 35 αρχεία που φέρονται ως έγκυρες εγγραφές, τα 10 (28,6%, 95% ΔΕ 16,3–45,1) περιέχουν τουλάχιστον ένα ERROR· 6 από τα 19 αποθετήρια (31,6%, 95% ΔΕ 15,4–54,0) δημοσιεύουν τουλάχιστον ένα τέτοιο αρχείο. Το συχνότερο ελάττωμα, σε 5 από τα 19 αποθετήρια, είναι μια δηλωμένη τιμή hash που δεν αντιστοιχεί σε εκείνη που υπολογίζεται από τα πεδία της εγγραφής. Και τα 22 ευρήματα ERROR εξετάστηκαν ένα προς ένα από τον πράκτορα της μελέτης, ο οποίος βασίζεται σε LLM, με τις τιμές hash να υπολογίζονται εκ νέου από ανεξάρτητη υλοποίηση: δεν βρέθηκε κανένα ψευδώς θετικό (0/22· τα ευρήματα δεν είναι ανεξάρτητα, και για τις 12 διακριτές καταστάσεις αποθετηρίου–κανόνα το άνω όριο 95% είναι 24,3%). Τα 34 από τα 35 αρχεία περιέχουν μία μόνο εγγραφή, επομένως τα δημόσια παραδείγματα XML δεν μπορούν να χρησιμεύσουν ως αναφορά για την αλυσίδα hash, και εκτός του αποθετηρίου του ίδιου του οργάνου μέτρησης κανείς δεν δημοσιεύει σκόπιμα άκυρη εγγραφή.