Nyílt forráskódú Verifactu-implementációk megfelelősége

A spanyol Verifactu-rendszer (RD 1007/2023, Orden HAC/1177/2024) előírja, hogy a számlázószoftverek hash-láncolt XML-rekordokat állítsanak elő. Szisztematikusan kerestünk a GitHubon annak kód- és tárolókereső API-jain keresztül (1008 tároló, 29 491 XML-fájl), minden Verifactu-rekordjelölőt tartalmazó fájlt a lintelés előtt osztályoztunk, majd a korpuszt a szerzők által karbantartott verifactu-lint 0.4.0 eszközzel vizsgáltuk. Csak 63 harmadik féltől származó tároló tesz közzé ilyen XML-t, és ennek nagy része nem állítja magáról, hogy érvényes rekord: a 191 egyedi fájlból 81 sablon, többnyire az AEAT saját dokumentációs mintáinak másolata, amelyek hash-mezőiben szó szerint Huella vagy AAAA áll. Abból a 35 fájlból, amely érvényes rekordként mutatja be magát, 10 (28,6%, 95%-os CI: 16,3–45,1) legalább egy ERROR szintű hibát tartalmaz; a 19 tárolóból 6 (31,6%, 95%-os CI: 15,4–54,0) legalább egy ilyen fájlt közzétesz. A leggyakoribb hiba, a 19 tárolóból 5-ben, hogy a deklarált hash nem egyezik a rekord mezőiből számított hash-sel. Mind a 22 ERROR-megállapítást egyenként átnézte a tanulmány LLM-alapú ügynöke, a hasheket egy független implementációval újraszámolva: hamis pozitív eredményt nem találtunk (0/22; a megállapítások nem függetlenek, és a 12 különböző tároló–szabály helyzetre a felső 95%-os korlát 24,3%). A 35 fájlból 34 egyetlen rekordot tartalmaz, így a nyilvános XML-példák nem szolgálhatnak referenciaként a hash-lánchoz, és a mérőeszköz saját tárolóján kívül senki sem tesz közzé szándékosan érvénytelen rekordot.