Conformitatea implementărilor open source ale Verifactu

Regimul spaniol Verifactu (RD 1007/2023, Orden HAC/1177/2024) obligă software-ul de facturare să emită înregistrări XML înlănțuite prin hash. Am căutat sistematic în GitHub prin API-urile sale de căutare de cod și de depozite (1.008 depozite, 29.491 de fișiere XML), am clasificat fiecare fișier care conținea un marcaj de înregistrare Verifactu înainte de a-l trece prin linter și am auditat corpusul cu verifactu-lint 0.4.0, întreținut de autori. Doar 63 de depozite terțe publică astfel de XML, iar cea mai mare parte nu pretinde a fi o înregistrare validă: 81 din 191 de fișiere unice sunt șabloane, în mare parte copii ale exemplelor din documentația AEAT însăși, ale căror câmpuri de hash conțin literal Huella sau AAAA. Dintre cele 35 de fișiere care chiar se prezintă drept înregistrări valide, 10 (28,6 %, IÎ 95 % 16,3–45,1) conțin cel puțin un ERROR; 6 din 19 depozite (31,6 %, IÎ 95 % 15,4–54,0) publică cel puțin unul. Cel mai frecvent defect, în 5 din cele 19 depozite, este un hash declarat care nu corespunde celui calculat din câmpurile înregistrării. Toate cele 22 de constatări ERROR au fost revizuite una câte una de agentul studiului, bazat pe un LLM, cu hash-urile recalculate de o implementare independentă: nu s-a găsit niciun fals pozitiv (0/22; constatările nu sunt independente, iar pe cele 12 situații distincte depozit–regulă limita superioară la 95 % este de 24,3 %). 34 din cele 35 de fișiere conțin o singură înregistrare, așa că exemplele XML publice nu pot servi drept referință pentru lanțul de hash-uri, iar în afara depozitului instrumentului însuși nimeni nu publică o înregistrare invalidă în mod deliberat.