Conformità delle implementazioni open source di Verifactu

Il regime spagnolo Verifactu (RD 1007/2023, Orden HAC/1177/2024) impone ai software di fatturazione di emettere record XML concatenati tramite hash. Abbiamo cercato sistematicamente su GitHub attraverso le sue API di ricerca di codice e di repository (1.008 repository, 29.491 file XML), classificato ogni file contenente un marcatore di record Verifactu prima di sottoporlo al linter e verificato il corpus con verifactu-lint 0.4.0, mantenuto dagli autori. Solo 63 repository di terzi pubblicano XML di questo tipo, e la maggior parte non pretende di essere un record valido: 81 dei 191 file unici sono modelli, per lo più copie degli esempi della documentazione della stessa AEAT, i cui campi hash riportano letteralmente Huella o AAAA. Dei 35 file che si presentano effettivamente come record validi, 10 (28,6%, IC 95% 16,3–45,1) contengono almeno un ERROR; 6 repository su 19 (31,6%, IC 95% 15,4–54,0) ne pubblicano almeno uno. Il difetto più frequente, in 5 dei 19 repository, è un hash dichiarato che non corrisponde a quello calcolato dai campi del record. Tutte le 22 segnalazioni di livello ERROR sono state esaminate una per una dall'agente dello studio, basato su un LLM, con gli hash ricalcolati da un'implementazione indipendente: non è stato trovato alcun falso positivo (0/22; le segnalazioni non sono indipendenti e, sulle 12 situazioni distinte repository–regola, il limite superiore al 95% è del 24,3%). 34 dei 35 file contengono un solo record, quindi gli esempi XML pubblici non possono servire da riferimento per la catena di hash, e al di fuori del repository dello strumento stesso nessuno pubblica un record deliberatamente non valido.