Conformiteit van opensource-implementaties van Verifactu

Het Spaanse Verifactu-stelsel (RD 1007/2023, Orden HAC/1177/2024) verplicht factureringssoftware om XML-records te genereren die met hashes aan elkaar zijn geketend. We hebben GitHub systematisch doorzocht via de zoek-API's voor code en repository's (1.008 repository's, 29.491 XML-bestanden), elk bestand met een Verifactu-recordmarkering geclassificeerd voordat we het lintten, en het corpus geaudit met verifactu-lint 0.4.0, dat door de auteurs wordt onderhouden. Slechts 63 repository's van derden publiceren zulke XML, en het meeste daarvan beweert niet een geldig record te zijn: 81 van de 191 unieke bestanden zijn sjablonen, meestal kopieën van de voorbeelden uit de eigen documentatie van de AEAT, waarvan de hashvelden letterlijk Huella of AAAA luiden. Van de 35 bestanden die wel voorgeven geldige records te zijn, bevatten er 10 (28,6%, 95%-BI 16,3–45,1) ten minste één ERROR-bevinding; 6 van de 19 repository's (31,6%, 95%-BI 15,4–54,0) publiceren ten minste één zo'n bestand. Het meest voorkomende gebrek, in 5 van de 19 repository's, is een opgegeven hash die niet overeenkomt met de hash die uit de velden van het record wordt berekend. Alle 22 ERROR-bevindingen zijn een voor een beoordeeld door de op een LLM gebaseerde studieagent, waarbij de hashes opnieuw werden berekend met een onafhankelijke implementatie: er werd geen vals-positieve bevinding gevonden (0/22; de bevindingen zijn niet onafhankelijk, en over de 12 verschillende situaties van repository en regel is de bovengrens van 95% 24,3%). 34 van de 35 bestanden bevatten één enkel record, dus openbare XML-voorbeelden kunnen niet dienen als referentie voor de hashketen, en buiten de eigen repository van het instrument publiceert niemand een opzettelijk ongeldig record.