[donchelo]

Alcance

@ai4u/platform 0.8.0 (seguridad + robustez, Ola 2 del plan). Afecta a todos los consumidores de platform y a todos los tenants; no hardcodea ningún tenant. Solo código del kernel: no se publica, no se crea tag, no se toca ningún otro repo ni secretos. Un PR, un commit por grupo (más docs y un ajuste de test de mc-sso).

Hallazgo -> commit -> test

Grupo	Hallazgos auditoría	Commit	Tests
P1 errores	#1	4b0f133	tests/errors-500-opaco.test.ts
P2 auth	#2, #3	ebfc292	tests/auth-scope.test.ts
P3 logger + request id	#4, #6, #7, #8, #10	14dea1b	tests/logger-hardening.test.ts
P4 niveles	#5	8c49885	tests/http-log-levels.test.ts
P5 client-errors	#9	aa3574a	tests/client-errors-hardening.test.ts
P6 higiene	#12 (parcial), #11 (NO, ver abajo)	d084926	tests/platform-version.test.ts
docs	-	6e01ac7	-
A1 estado de identidad en globalThis (revisión)	-	7501b73	tests/auth-multicopy.test.ts
A2/M2 client-errors neutraliza path/service	-	635e5c7	tests/client-errors-hardening.test.ts
M1/B5 sin details en 5xx no operacional	-	ee7cf9d	tests/errors-500-opaco.test.ts
M5 4xx no operacional sigue en error	-	6d96b9a	tests/http-log-levels.test.ts
M3/M4/B1/M6 logger (buffers, sanitize seguro, tokens, breaker)	-	ed8e51d, f1d6652 (B1 fail-closed)	tests/logger-hardening2.test.ts
docs revisión (B4, M6, 401/403)	-	último commit docs	-
ajuste test mc-sso	-	2837c87	packages/mc-sso/tests/handler.test.ts (solo el test de interop)

Qué cambia de contrato visible (detalle en CHANGELOG 0.8.0)

• Un 500 no operacional responde {error:"Error interno", code, requestId} en vez de err.message. 4xx y AppError operacionales conservan mensaje. Consumidores que muestren error de un 500 al usuario deben revisarse (auditoría previa pendiente del plan).
• Un 4xx lanzado y operacional se loguea warn (antes error): los 401/403 lanzados dejan de verse en ERROR. AppError con isOperational:false sigue en error.
• x-request-id entrante inválido se regenera; service/path raros de client-errors se neutralizan (no se pierde el reporte); el rate limit de client-errors usa x-vercel-forwarded-for/x-real-ip primero.
• Identity expone serviceId. engines.node >=22. Cada línea de log lleva platformVersion.
• El endurecimiento de auth es opt-in (readIdentity(req, {serviceId, allowedTenants, acceptLegacy}), configureIdentity). Sin opciones el comportamiento es el de 0.7.0; no se deriva nada de SERVICE_ID. Un WARN por proceso cuando se lee una sesión sin serviceId configurado.

Qué NO se hizo

• @vercel/oidc sigue en ^3.8.9: la 4.0.5 mantiene la API (tsc y tests pasan) pero arrastra @vercel/cli-config con zod fijado a 4.1.11, así que npm audit --omit=dev sigue en 3 high. No cierra el hallazgo.
• Sin peerDependencies de next/react: el código no los importa (grep).
• devDependencies sin tocar: npm install -D vitest@5 da ERESOLVE en el monorepo.
• isModuleAllowed y requireModule por defecto siguen con null/[] = todo (decisión pendiente de Mariano, documentada). Solo se agregó el modo estricto opt-in.
• Hallazgos docs(platform,contracts): README con kernel como fuente y estado real de 0.7.0 #13-ci: concurrency y timeout-minutes en ci.yml #18 (docs obsoletas, SSH en lock, SENSITIVE_KEY, etc.) fuera de alcance.
• Tags, publicación y espejo: pendiente (PASO HUMANO scripts/release.sh platform 0.8.0 tras merge).

Evidencia

Rojo (antes del fix) -> verde, por grupo (salida real):

• P1: Tests 2 failed | 4 passed (6) (cuerpo del 500 contenía connect ECONNREFUSED 10.0.0.5:5432 ...; AppError 502 no operacional devolvía su mensaje) -> verde.
• P2: Tests 9 failed | 1 passed (10) (configureIdentity is not a function, cookie de otra app/tenant aceptada, sin WARN, isModuleAllowedStrict inexistente) -> verde.
• P3 logger: Tests 8 failed | 1 passed (9) (Bearer/token/correo en claro, TypeError: Converting circular structure, tenant pisado, fetch sin señal, ingest colgado = timeout de 10 s del test, flush concurrente no esperaba, lote perdido, sin retención) -> verde.
• P3 request id: 2 failed | 1 passed (5000 caracteres reflejados) -> verde.
• P4: Tests 5 failed | 3 passed (8) (4xx lanzado no llegaba a warn) -> verde.
• P5: Tests 10 failed | 2 passed (12) (51 de 51 chunks leídos antes de cortar; XFF falsificable; Map sin tope; service/path libres) -> verde.
• P6: el test fallaba por ../src/version inexistente -> verde.

Revisión independiente (segunda ronda): rojo -> verde por grupo: A1 2 fallidos de 2; A2/M2 8 fallidos de 18; M1/B5 2 fallidos de 9; M5 1 fallido de 9; M3/M4/B1/M6 5 fallidos de 6 (más 1 ajuste: el spread de extras también va en try/catch).

Final, igual que el CI, en el worktree: npm ci && npm run type-check && npm test && npm run build -> type-check sin errores TS; tests: platform 214 (eran 161; +53 nuevos), config 53, contracts 57, mc-sso 51, total 395 verdes, 0 fallos; git diff --quiet -- 'packages/*/dist' limpio (dist regenerado con npm run build y commiteado en cada grupo).

Verificación NO realizada: ningún consumidor real (no se probó contra una app desplegada); la compatibilidad de las 30 apps con el cuerpo "Error interno" no está auditada aquí.

🤖 Generated with Claude Code

https://claude.ai/code/session_015nTgTv7S3gQwaoNFw5fZeG