Fiscalzen SEFAZ

🏗️ Contexto do Projeto (como o FiscalZen é estruturado)

• Monorepo com pnpm-workspace + Turborepo
• Código em TypeScript (ESM "type": "module")
• Backend: Fastify 4 (apps/api)
• Jobs: BullMQ (workers + scheduler)
• Persistência: Drizzle ORM + PostgreSQL
• Cache/queues: Redis
• Logging: Pino
• Pacote fiscal principal: @fiscalzen/sefaz-client (NF-e/CT-e/MDF-e)
• Parser fiscal: @fiscalzen/xml-parser (usado pelo sefaz-client e api)

✅ Regra: alterações de SEFAZ geralmente tocam packages/ (cliente) e/ou apps/api/ (orquestração + persistência).

🎯 Objetivo (o que esta skill resolve)

Aplicar mudanças relacionadas a SEFAZ mantendo consistência com a codebase:

• Preferir abstrações internas (@fiscalzen/sefaz-client) em vez de reimplementar SOAP/assinatura/certificado
• Validar certificado e permissões no backend antes de chamar SEFAZ
• Respeitar retry/backoff e throttling
• Persistir eventos e atualizar documentos do jeito do produto
• Garantir validação (unit/integration + homolog)

🧭 Onde mexer (mapa rápido)

Cliente SEFAZ (packages/sefaz-client)

• packages/sefaz-client/src/client.ts → política de timeout/retry/backoff, https.Agent, dispose(), logging
• packages/sefaz-client/src/soap-client.ts + src/soap/envelope.ts → SOAP + envelope
• packages/sefaz-client/src/services/* → implementações por domínio:
  • nfe-distdfe.ts (DistDFe NF-e)
  • cte-distdfe.ts, mdfe-distdfe.ts (DistDFe CT-e/MDF-e)
  • manifestacao.ts (eventos do destinatário)
  • event-query.ts (consulta eventos)
  • cte-events.ts (eventos CT-e)
• packages/sefaz-client/src/types.ts → contratos + erros tipados (SefazError, TimeoutError, CertificadoError, etc.)
• packages/sefaz-client/src/certificate.ts → A1 (PFX), cache/invalidação, validações
• packages/sefaz-client/src/signature.ts → digest/assinatura (helpers)

Produto (apps/api)

• apps/api/src/modules/manifestacao/service.ts → fluxo real de manifestação + persistência
• apps/api/src/modules/certificates/* → validação de certificados (gate antes de SEFAZ)
• apps/api/src/modules/documents/* → documento + status/manifestações
• apps/api/src/jobs/queues.ts → criação/agenda de jobs SEFAZ
• apps/api/src/modules/nsu/* + packages/database/src/schema/nsu-control.ts → controle de NSU/sync

✅ Regras obrigatórias (gates)

1) Sempre validar certificado antes de chamar SEFAZ (no produto)

Se a chamada vier do apps/api, não chame SEFAZ sem passar pelo gate:

• empresa existe
• company.certificate e company.certificatePassword existem
• certificado não expirou
• (se aplicável) tenantId correto (multi-tenant)

2) Não vazar segredo (PFX/senha)

• nunca logar senha do certificado
• nunca logar buffer do PFX
• ao logar erro, sanitize campos sensíveis

3) TLS estrito

• não desabilitar validação TLS (rejectUnauthorized)

4) Erros externos padronizados

No apps/api, problemas da SEFAZ devem virar erro de serviço externo (padrão do projeto), mantendo mensagem útil.

🔁 Retry/Backoff e Throttling (padrão FiscalZen)

Ponto único de política: packages/sefaz-client/src/client.ts

✅ Regra: se você precisar mudar retry/backoff/timeout, faça no client (não espalhe retry pelos services).

Throttling (ex.: cStat 656)

Recomendação de implementação consistente:

• tratar como erro recuperável
• aplicar retry com backoff exponencial + jitter
• evitar tempestade: preferir job/queue para processar em série por empresa/UF

📦 DistDFe (Golden Path) — como fazer no FiscalZen

Cenários típicos

• Consulta por último NSU (sync contínuo)
• Consulta por NSU específico
• Consulta por chave (pontual)

Padrão de implementação

1. Validar parâmetros (CNPJ, chave, nsu/ultNSU)
2. Montar request XML conforme tipo de consulta
3. Enviar via SoapClient / SefazClient (abstração interna)
4. Parsear retorno (cStat/xMotivo/ultNSU/maxNSU)
5. Extrair docZip e:
   • decodificar
   • detectar schema
   • derivar tipo/chave usando @fiscalzen/xml-parser
6. Retornar DistDFeResponse consistente
7. Se estiver no produto (apps/api): persistir e atualizar controle de NSU

Regras de robustez

• nsu e ultNSU sempre como string com 15 dígitos (padStart(15,'0'))
• docZip inválido não deve derrubar o lote inteiro (registrar erro e seguir)
• ao tratar throttling, preferir política central no client

🧾 Manifestação do Destinatário (Golden Path) — padrão do produto

Passo a passo (apps/api)

1. obter empresa com certificado (gate)
2. buscar documento por chave com tenantId
3. montar CertificadoA1 no formato do @fiscalzen/sefaz-client
4. usar env.SEFAZ_AMBIENTE
5. chamar o client do pacote
6. se sucesso=false: lançar ExternalServiceError('SEFAZ', xMotivo)
7. persistir em documentEvents + atualizar documents.manifestacao

Regras específicas

• eventos devem ser idempotentes na camada do produto (não duplicar o mesmo evento sem necessidade)
• manter rastreabilidade (documentId/chave/tipoEvento/protocolo/dataRegistro)

🧪 Validação (Fase V) — mínimo obrigatório

Unit / pacote (sefaz-client)

• validar validateParams (CNPJ/chave)
• validar montagem de request por ultNSU/nsu/chave
• validar parsing de resposta (cStat e campos)
• validar docZip: sucesso e falha isolada

Integration / produto (apps/api)

• empresa sem certificado → erro de validação
• certificado expirado → erro de validação
• documento inexistente → NotFound
• retorno sucesso=false da SEFAZ → ExternalServiceError
• persistência: criou event + atualizou documento

Homologação

• testar ao menos:
  • DistDFe por ultNSU
  • Manifestação (um evento)
  • cenário de throttling (se possível reproduzir)

🧰 Prompt templates (como invocar a skill)

Manifestação (produto)

“Aplique a skill fiscalzen-sefaz para ajustar o fluxo de manifestação em apps/api.
Preserve o gate de certificado + multi-tenant e mapeie falhas SEFAZ para erro externo padrão. Atualize persistência em documentEvents e documents.manifestacao.”

DistDFe (pacote)

“Aplique a skill fiscalzen-sefaz para modificar packages/sefaz-client/src/services/nfe-distdfe.ts.
Preserve validações, padStart(15) e parsing docZip com @fiscalzen/xml-parser. Se tratar 656, preferir política central no client.”