Conformidad de las implementaciones de código abierto de Verifactu

El régimen Verifactu español (RD 1007/2023, Orden HAC/1177/2024) obliga al software de facturación a emitir registros XML encadenados mediante huellas (hash). Buscamos sistemáticamente en GitHub a través de sus API de búsqueda de código y de repositorios (1008 repositorios, 29.491 ficheros XML), clasificamos cada fichero que contenía un marcador de registro Verifactu antes de pasarle el linter y auditamos el corpus con verifactu-lint 0.4.0, mantenido por los autores. Solo 63 repositorios de terceros publican XML de este tipo, y la mayor parte no pretende ser un registro válido: 81 de 191 ficheros únicos son plantillas, en su mayoría copias de los propios ejemplos de la documentación de la AEAT, cuyos campos de huella dicen literalmente Huella o AAAA. De los 35 ficheros que sí se presentan como registros válidos, 10 (28,6 %, IC 95 % 16,3–45,1) contienen al menos un ERROR; 6 de 19 repositorios (31,6 %, IC 95 % 15,4–54,0) publican al menos uno. El defecto más frecuente, en 5 de los 19 repositorios, es una huella declarada que no coincide con la calculada a partir de los campos del registro. El agente del estudio, basado en un LLM, revisó uno por uno los 22 hallazgos de tipo ERROR, con las huellas recalculadas por una implementación independiente: no se encontró ningún falso positivo (0/22; los hallazgos no son independientes y, sobre las 12 situaciones distintas repositorio–regla, la cota superior al 95 % es del 24,3 %). 34 de los 35 ficheros contienen un único registro, así que los ejemplos XML públicos no pueden servir de referencia para la cadena de huellas, y fuera del propio repositorio del instrumento nadie publica un registro deliberadamente inválido.