Conformidade das implementações de código aberto do Verifactu

O regime espanhol Verifactu (RD 1007/2023, Orden HAC/1177/2024) obriga o software de faturação a emitir registos XML encadeados por hash. Pesquisámos sistematicamente o GitHub através das suas API de pesquisa de código e de repositórios (1008 repositórios, 29 491 ficheiros XML), classificámos cada ficheiro que continha um marcador de registo Verifactu antes de o analisar com o linter e auditámos o corpus com o verifactu-lint 0.4.0, mantido pelos autores. Apenas 63 repositórios de terceiros publicam XML deste tipo, e a maior parte não pretende ser um registo válido: 81 de 191 ficheiros únicos são modelos, sobretudo cópias dos próprios exemplos da documentação da AEAT, cujos campos de hash dizem literalmente Huella ou AAAA. Dos 35 ficheiros que se apresentam de facto como registos válidos, 10 (28,6%, IC 95% 16,3–45,1) contêm pelo menos um ERROR; 6 de 19 repositórios (31,6%, IC 95% 15,4–54,0) publicam pelo menos um. O defeito mais frequente, em 5 dos 19 repositórios, é um hash declarado que não corresponde ao calculado a partir dos campos do registo. As 22 constatações ERROR foram revistas uma a uma pelo agente do estudo, baseado num LLM, com os hashes recalculados por uma implementação independente: não foi encontrado nenhum falso positivo (0/22; as constatações não são independentes e, nas 12 situações distintas repositório–regra, o limite superior a 95% é de 24,3%). 34 dos 35 ficheiros contêm um único registo, pelo que os exemplos XML públicos não podem servir de referência para a cadeia de hashes, e fora do próprio repositório do instrumento ninguém publica um registo deliberadamente inválido.