Conformidade das implementacións de código aberto de Verifactu

O réxime Verifactu español (RD 1007/2023, Orden HAC/1177/2024) obriga o software de facturación a emitir rexistros XML encadeados mediante hash. Buscamos sistematicamente en GitHub a través das súas API de busca de código e de repositorios (1008 repositorios, 29.491 ficheiros XML), clasificamos cada ficheiro que contiña un marcador de rexistro Verifactu antes de pasarlle o linter e auditamos o corpus con verifactu-lint 0.4.0, mantido polos autores. Só 63 repositorios de terceiros publican XML deste tipo, e a maior parte non pretende ser un rexistro válido: 81 de 191 ficheiros únicos son modelos, na súa maioría copias dos propios exemplos da documentación da AEAT, cuxos campos de hash din literalmente Huella ou AAAA. Dos 35 ficheiros que si se presentan como rexistros válidos, 10 (28,6 %, IC 95 % 16,3–45,1) conteñen polo menos un ERROR; 6 de 19 repositorios (31,6 %, IC 95 % 15,4–54,0) publican polo menos un. O defecto máis frecuente, en 5 dos 19 repositorios, é un hash declarado que non coincide co calculado a partir dos campos do rexistro. O axente do estudo, baseado nun LLM, revisou un por un os 22 achados de tipo ERROR, cos hash recalculados por unha implementación independente: non se atopou ningún falso positivo (0/22; os achados non son independentes e, sobre as 12 situacións distintas repositorio–regra, a cota superior ao 95 % é do 24,3 %). 34 dos 35 ficheiros conteñen un único rexistro, polo que os exemplos XML públicos non poden servir de referencia para a cadea de hash, e fóra do propio repositorio do instrumento ninguén publica un rexistro deliberadamente inválido.