API del DeCA

1Qué hace y qué no

Mandas los datos del transporte. Nosotros componemos el DeCA en PDF, le estampamos el código QR, le incrustamos los datos estructurados eFTI, lo firmamos digitalmente si tu suscripción tiene firma, lo archivamos en tu Digitaldocu y avisamos al conductor.

Te devolvemos su número de expedición y su identificador. A partir de ahí el documento vive en tu Digitaldocu como cualquier otro.

2Cargador o transportista

Un DeCA nombra siempre a las dos partes, así que la API pide los datos de las dos vengas de donde vengas. Lo que cambia es cuáles son tuyos:

3Tu clave

Se crea desde el panel, en Claves para tu programa. Se enseña una sola vez: guárdala en cuanto la veas, porque ni nosotros podemos volver a mostrarla. Si se pierde, se revoca y se crea otra.

Authorization: Bearer deca_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

La clave identifica tu suscripción por sí sola: no hay que mandar ningún otro dato para decir quién eres. Solo sirve para lo que hay en este documento — no da acceso al resto de tus documentos de Digitaldocu.

Hay otras dos, cada una para una sola cosa: la de aviso de buzón (deca_aviso_, punto 11) y la de auditoría para tu SIEM (deca_audit_, punto 12). Ninguna de las dos sirve para emitir.

4Crear una expedición

Obligatorios

Son los que exige la norma (Orden FOM/2861/2012, art. 6). Si falta alguno no se emite nada y te decimos cuáles. Los de tu propia empresa puedes omitirlos si los has guardado en el panel (ver el punto 2).

Opcionales

Si tu suscripción es de residuos

Si tu suscripción tiene el perfil de residuos, el DeCA lleva además el bloque del Documento de Identificación (DI) del traslado, y por la API es obligatorio: si falta algo, no se emite nada y te devolvemos campos_incompletos con lo que falta en faltan. El nº de DI lo ponemos nosotros, con el contador de tu NIMA, y te lo devolvemos en numDi.

201 Created

{ "ok": true,
  "documentId": 123456,
  "expedicion": "DECA-20261001-A1B2C3",
  "numDi": "280006692420260000123",
  "avisos": [] }

No emitas dos veces lo mismo

Manda tu propia referencia en la cabecera Idempotency-Key —tu número de expedición sirve—. Si repites la llamada porque se te cayó la red y no viste la respuesta, te devolvemos el mismo documento en vez de emitir otro.

curl -X POST https://deca.digitaldocu.es/api/deca/v1/expediciones \
  -H "Authorization: Bearer $DECA_KEY" \
  -H "Idempotency-Key: ALB-2026-000123" \
  -H "Content-Type: application/json" \
  -d '{
    "cargador": "INDUSTRIAS EJEMPLO, S.L.",
    "cargador_nif": "B00000000",
    "cargador_domicilio": "Calle Ejemplo 1, Valencia",
    "transportista": "TRANSPORTES EJEMPLO, S.L.",
    "transportista_nif": "B11111119",
    "origen": "Valencia",
    "destino": "Madrid",
    "fecha": "2026-08-25",
    "mercancia": "Palés de mercancía general",
    "peso": "17,00 Tn",
    "matricula": "1234BCD",
    "conductor": "Juan Ejemplo",
    "movil": "600000000",
    "email_chofer": "juan.ejemplo@example.com",
    "destinatario": "DISTRIBUCIONES EJEMPLO, S.A."
  }'

201 Created

{ "ok": true,
  "documentId": 123456,
  "expedicion": "DECA-20260825-A1B2C3",
  "avisos": [] }

En avisos llegan las dudas que no impiden emitir: un NIF que no pasa la letra de control, una matrícula sin forma de matrícula española, un peso de más de 60 t, una fecha que no llegó como aaaa-mm-dd o un email_chofer que no es una dirección válida. El DeCA ya está emitido; conviene enseñárselas a quien lo mandó.

Si repites con la misma Idempotency-Key y los mismos datos:

{ "ok": true, "repetida": true,
  "documentId": 123456,
  "expedicion": "DECA-20260825-A1B2C3" }

409 Conflict

{ "code": "datos_distintos",
  "documentId": 123456,
  "expedicion": "DECA-20260825-A1B2C3",
  "error": "Esta Idempotency-Key ya emitió un DeCA con otros datos…" }

5Adjuntar tu albarán

Para colgar del DeCA el documento de origen: tu albarán, tu CMR, el tique de báscula. Queda enlazado al DeCA y no se lo enseñamos al destinatario salvo que alguien lo comparta a mano desde el panel — suele llevar datos del cargador que el receptor no tiene por qué ver.

curl -X POST \
  "https://deca.digitaldocu.es/api/deca/v1/expediciones/DECA-20260825-A1B2C3/adjuntos" \
  -H "Authorization: Bearer $DECA_KEY" \
  -F "tipo=albaran" \
  -F "file=@albaran-000123.pdf"

Valores de tipo: albaran, cmr, foto_carga, ticket_bascula, packing_list, otros.

Formatos: PDF, JPG o PNG, reconocidos por la extensión del nombre del fichero. Otro formato devuelve 400, igual que un tipo que no esté en la lista.

6Consultar el estado

{ "ok": true,
  "expedicion": "DECA-20260825-A1B2C3",
  "documentId": 123456,
  "estado": "En tránsito",
  "entregado": false,
  "fechaFirma": null,
  "matricula": "1234BCD",
  "conductor": "Juan Ejemplo",
  "origen": "Valencia",
  "destino": "Madrid",
  "enlace": "https://backend.digitaldocu.com/api/Documents/Share/…" }

fechaFirma es la hora de la firma de la entrega, en formato dd/mm/aaaa hh:mm y hora española; null mientras no se ha entregado.

El enlace es el mismo al que apunta el QR del documento, y es fijo: pedirlo otra vez no lo renueva. Está abierto hasta 30 días desde la emisión o desde la fecha del transporte, si es posterior; si tu empresa ha pactado con nosotros un plazo más corto (de 8 días como mínimo), ese en lugar de los 30, salvo que el documento no tenga fecha del transporte. Una vez firmada la entrega, el plazo pasa a ser de siete días naturales desde la firma, que es el del apartado Tercero.5 de la Resolución de 5 de junio de 2026 (en un DeCA con varias entregas, los siete días cuentan desde que se cierra la última). Pasado eso deja de servir el PDF.

7Corregir un DeCA en ruta

La norma permite modificar el DeCA una vez iniciada la marcha, pero obliga a dejar constancia. Por eso esto no reescribe nada: crea una versión nueva, con su motivo y su fecha, y la anterior se conserva. Es el mismo botón «Nueva versión» del panel, puesto al alcance de tu programa.

curl -X POST \
  "https://deca.digitaldocu.es/api/deca/v1/expediciones/DECA-20260825-A1B2C3/versiones" \
  -H "Authorization: Bearer $DECA_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "changes": { "matricula": "5678JKL", "conductor": "Ana Ejemplo", "bultos": "14" },
    "motivo": "Cambio de vehiculo por averia"
  }'

Campos admitidos en changes:

cargador, cargador_nif, cargador_domicilio, transportista, transportista_nif, conductor, movil, origen, destino, fecha, destinatario (o cliente), mercancia, peso, bultos, matricula, remolque, albaran.

observaciones y autorizacion no se corrigen por aquí.

Manda siempre motivo (hasta 200 caracteres). Queda en el historial de versiones y se imprime en el PDF, junto a los datos que dejan de ser válidos. Si no lo mandas, el documento dirá «Motivo: no consignado».

{ "ok": true,
  "commentary": "Cambio de vehiculo por averia",
  "fecha": "25/08/2026 10:15",
  "applied": ["Matricula: 5678JKL", "Conductor: Ana Ejemplo", "Bultos: 14"],
  "signed": true,
  "sealed": false }

fecha va en formato dd/mm/aaaa hh:mm y en hora UTC, no en hora española. applied dice qué ha quedado cambiado: compáralo con lo que mandaste. Si la respuesta trae kwErrors, esos cambios no han quedado guardados. signed y sealed dicen si la versión nueva salió firmada o sellada, y signError por qué no, si no.

Una expedición ya firmada por el destinatario devuelve 409 ya_entregado: está cerrada y no admite más versiones. Un DeCA con varias entregas no se corrige por la API: devuelve 409 multientrega_sin_version (se corrige desde el panel, con «Nueva versión»).

8Que te avisemos nosotros

En vez de preguntar cada poco por cada expedición, dinos una dirección y te llamamos nosotros cuando pasa algo. Se configura en el panel, en Avisar a tu sistema.

POST https://erp.tuempresa.com/webhooks/deca
X-DeCA-Evento: deca_modificado

{ "evento": "deca_modificado",
  "documentId": 123456,
  "expedicion": "DECA-20260825-A1B2C3",
  "version": 2,
  "motivo": "Cambio de vehículo por avería en origen",
  "cambios": [
    { "campo": "dca_matricula", "nombre": "Matricula",
      "antes": "1234ABC", "ahora": "4916MDH" }
  ],
  "enlace": "https://…" }

Los cambios vienen con el valor anterior y el nuevo a propósito: es lo que te deja conciliar sin volver a preguntarnos nada. Solo aparecen los campos que ya tenían valor: uno que estaba vacío y se rellena al corregir no sale en cambios.

POST https://erp.tuempresa.com/webhooks/deca
X-DeCA-Evento: deca_emitido

{ "evento": "deca_emitido",
  "documentId": 123456,
  "tenant": "…",
  "expedicion": "DECA-20260825-A1B2C3",
  "via": "api",
  "enlace": "https://…",
  "enviado_at": "2026-08-25T10:15:03.412Z" }

POST https://erp.tuempresa.com/webhooks/deca
X-DeCA-Evento: entrega_firmada
X-DeCA-Firma:  sha256=a1b2c3…

{ "evento": "entrega_firmada",
  "documentId": 123456,
  "expedicion": "DECA-20260825-A1B2C3",
  "matricula": "1234BCD",
  "firmado_iso": "2026-08-25T14:32:00+02:00",
  "firmado_at": "25/08/2026 12:32",
  "firmante": "Ana Ejemplo",
  "firmante_nif": "00000000T",
  "incidencias": "Sin Incidencias",
  "observaciones": null,
  "via": "enlace" }

Usa firmado_iso: la hora de la firma en ISO 8601, en hora española y con su desfase, así que tu sistema la lee sin ambigüedad. firmado_at es el mismo instante en el formato dd/mm/aaaa hh:mm y en hora UTC; se mantiene para las integraciones que ya lo leen.

via dice por dónde se firmó: "enlace" (SMS o QR), "app" o "inspeccion". incidencias es siempre "Sin Incidencias" o "Con Incidencias", salvo en un DeCA con varias entregas (la nota siguiente).

Todos los avisos llevan además tenant —el identificador de tu suscripción— y enviado_at, en ISO 8601 y UTC. Ojo: enviado_at es la hora del primer intento, también en los reenvíos.

Comprueba que el aviso es nuestro

La cabecera X-DeCA-Firma es el HMAC-SHA256 del cuerpo, con el secreto que verás en el panel al configurar la dirección. Compáralo antes de fiarte del mensaje:

# Python
import hmac, hashlib
esperado = "sha256=" + hmac.new(
    SECRETO.encode(), cuerpo_en_bruto, hashlib.sha256
).hexdigest()
if not hmac.compare_digest(esperado, cabecera_firma):
    return 401

• Contesta con un 2xx en menos de 8 segundos. Cualquier otra cosa —o no contestar a tiempo— la tomamos por fallo.
• Hacemos 5 intentos: el primero en el momento, y los siguientes unos 5 minutos, 30 minutos, 2 horas y 12 horas después del anterior. Después, se da por perdido.
• Entregamos cada aviso al menos una vez. Si tu sistema tarda en contestar, puede recibir el mismo dos veces: descarta los repetidos por evento + documentId (y version en deca_modificado).
• La dirección tiene que ser https y con nombre de dominio. No admitimos direcciones IP ni nombres de red interna.

9Errores

Cuando faltan datos te decimos exactamente cuáles, para que puedas programar contra ello:

400 Bad Request

{ "error": "faltan datos obligatorios del DeCA",
  "code": "campos_incompletos",
  "faltan": ["cargador_nif", "origen", "peso"],
  "avisos": [
    { "campo": "cargador_nif",
      "nivel": "falta",
      "motivo": "obligatorio: no viene en la petición" }
  ] }

Las respuestas en JSON van en UTF-8 (Content-Type: application/json; charset=utf-8), con las tildes y la ñ tal cual: petición, no petici\u00f3n.

10Límites

Lo que pase de esos topes se recorta sin avisar.

11Aviso de buzón

Para programas que no llaman a la API, sino que dejan el PDF del albarán o del ticket en una carpeta que Digitaldocu sube a tu buzón. El piloto automático revisa ese buzón cada cinco minutos. Con el aviso, tu programa nos dice que acaba de dejar un PDF y revisamos tu buzón en ese momento.

No es otra forma de emitir: el PDF entra por el buzón como siempre y sale DeCA solo si el piloto automático lo lee sin dudas. Lo que no, se queda en el buzón para que lo revise una persona, igual que sin aviso. Tu suscripción tiene que tener encendido el piloto automático (Ajustes → Generar DeCAs solo).

El piloto automático no lee los buzones que en Digitaldocu están marcados como de facturas o con proceso automático, salvo que sea el buzón que tu suscripción tiene configurado para DeCA: esos documentos ya los trata Digitaldocu. Si tu carpeta sube a uno de ellos, el aviso responde 202 igual, pero el PDF no se procesa: haz que suba a otro buzón.

La clave

Una clave de la API (punto 3), que crea el administrador de tu empresa en Ajustes. Va en la cabecera Authorization, nunca en la dirección. Guárdala como cualquier clave de la API: además de avisar, sirve para emitir. Las claves que empiezan por deca_aviso_, que dábamos antes y solo sirven para avisar, siguen valiendo mientras no se revoquen.

Si tu Digitaldocu nos avisa ya de cada documento nuevo (el webhook «Documentos · NewDocument», que damos de alta nosotros), no hace falta llamar: el aviso llega solo.

La llamada

Deja el PDF en la carpeta, espera unos 10 segundos para que Digitaldocu lo suba al buzón y llama. El cuerpo es opcional. Si mandas el nombre del fichero, ese PDF va el primero de la revisión y, si todavía no está en el buzón, volvemos a buscarlo a los 10, 30, 60 y 120 segundos. Sin nombre, revisamos el buzón una vez.

curl -X POST https://deca.digitaldocu.es/api/deca/v1/aviso \
  -H "Authorization: Bearer deca_live_xxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{"fichero": "T-000123.pdf"}'

Respondemos al momento, antes de procesar nada. El trabajo sigue por nuestra parte:

202 Accepted

{ "ok": true, "aviso": "recibido", "fichero": "T-000123.pdf" }

Manda solo el nombre del fichero. Si mandas la ruta completa, nos quedamos con lo que va detrás de la última barra, pero en el JSON las barras van dobladas: {"fichero": "C:\\Tickets\\T-000123.pdf"}. Con las barras sin doblar el JSON no es válido (400), o peor: \t y \n se leen como un tabulador y un salto de línea, y el nombre ya no es el del fichero.

Desde Visual Basic 6

Con MSXML2.ServerXMLHTTP.6.0 (viene con Windows) y tiempos de espera cortos, para que el programa no se quede esperando si no hay red. Lo que no sea un 202 se apunta en un fichero junto al programa: en un .exe compilado, Debug.Print no escribe nada, y sin ese fichero un 409 o una clave revocada pasarían semanas sin que nadie lo viera.

Private Const URL_AVISO As String = "https://deca.digitaldocu.es/api/deca/v1/aviso"
Private Const CLAVE_AVISO As String = "deca_live_xxxxxxxxxxxxxxxx"

' Llamar DESPUÉS de dejar el PDF en la carpeta y de esperar unos 10 segundos.
Public Sub AvisarBuzonDeCA(ByVal rutaPdf As String)
    Dim http As Object
    Dim nombre As String
    On Error GoTo Fallo
    nombre = Mid$(rutaPdf, InStrRev(rutaPdf, "\") + 1)
    nombre = Replace(Replace(nombre, "\", "\\"), """", "\""")
    Set http = CreateObject("MSXML2.ServerXMLHTTP.6.0")
    ' Resolver, conectar, enviar y recibir, en milisegundos.
    http.setTimeouts 3000, 3000, 5000, 8000
    http.Open "POST", URL_AVISO, False
    http.setRequestHeader "Authorization", "Bearer " & CLAVE_AVISO
    http.setRequestHeader "Content-Type", "application/json"
    http.send "{""fichero"": """ & nombre & """}"
    If http.Status <> 202 Then
        ' Se apunta y se sigue: no se reintenta.
        ApuntarAviso http.Status & " " & http.responseText
    End If
    Set http = Nothing
    Exit Sub
Fallo:
    ' Sin red, sin respuesta a tiempo o sin TLS 1.2: el programa sigue.
    ApuntarAviso "no enviado (" & Hex$(Err.Number) & "): " & Err.Description
    Set http = Nothing
End Sub

' Una línea por fallo en aviso_deca.log, junto al programa. Nunca corta nada.
Private Sub ApuntarAviso(ByVal texto As String)
    Dim f As Integer
    On Error Resume Next
    f = FreeFile
    Open App.Path & "\aviso_deca.log" For Append As #f
    Print #f, Format$(Now, "yyyy-mm-dd hh:nn:ss") & "  " & texto
    Close #f
End Sub

Si prefieres WinHttp.WinHttpRequest.5.1, la llamada es la misma: SetTimeouts, Open, SetRequestHeader y Send.

TLS 1.2. El servidor solo acepta TLS 1.2 o superior. Windows 8, 10 y 11 lo traen puesto. En Windows 7, las dos librerías de arriba no lo usan hasta instalar la actualización KB3140245 y crear el valor DefaultSecureProtocols = 0xA00 (DWORD) en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp y, como VB6 es de 32 bits, también en HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp. Sin eso, cada aviso falla con el error 80072F7D (se ve en aviso_deca.log). En Windows XP no funciona.

Para comprobar que llega: en nuestro panel se ve la fecha del último aviso de cada clave. Si pasan los tickets y sigue en «todavía sin usar», mira aviso_deca.log.

Respuestas

La API (puntos 4 a 7) rechaza la clave de aviso con 403 clave_solo_aviso. El aviso rechaza la de auditoría con 403 clave_solo_auditoria.

Cuánto tarda

No es instantáneo. Una vez el PDF está en el buzón, leerlo, generar el DeCA, sellarlo y avisar al conductor lleva del orden de medio minuto con un papel que ya sabemos leer, y algo más la primera vez que llega un modelo de papel nuevo. A eso se suma lo que tarde Digitaldocu en subir el PDF de la carpeta al buzón. Cada revisión coge como mucho 5 papeles; el que nos avisas va el primero.

Si llegan varios avisos seguidos, no hace falta esperar entre uno y otro: los atendemos en la revisión que esté en marcha o en la siguiente.

12Registro de actividad para tu SIEM

Para que tu sistema de seguridad (Splunk, Sentinel, Elastic, Wazuh…) se lleve solo el registro de actividad de tu suscripción: quién entra, desde qué IP y qué hace. Es el mismo registro que ves en la pestaña Actividad y que exportas en CSV, en líneas JSON con los campos del Elastic Common Schema (ECS 8.11) y las huellas que encadenan cada evento con el anterior.

La clave

La crea y la revoca el administrador de tu suscripción, en la pestaña Actividad → Clave para tu SIEM. Solo se puede crear con la pestaña activada, y como mucho hay dos activas: la que usas y la que la sustituye cuando la cambias. Se enseña una sola vez. Empieza por deca_audit_.

Solo sirve para leer este registro. Con ella no se puede emitir, consultar ni corregir nada, ni avisar: el resto de la API la rechaza con 403 clave_solo_auditoria. Y al revés: una clave de la API (deca_live_) o de aviso (deca_aviso_) no lee el registro. La suscripción la dice la clave; no hay que mandar ningún otro dato.

Va en la cabecera, Authorization: Bearer deca_audit_… o X-DeCA-Api-Key: deca_audit_…. Nunca en la dirección: una clave puesta en la URL no se lee, y acabaría en los registros de cualquier proxy intermedio.

La llamada

Cualquier otro parámetro se ignora. Solo GET.

curl -sS -D cabeceras.txt \
  -H "Authorization: Bearer deca_audit_xxxxxxxxxxxxxxxx" \
  "https://deca.digitaldocu.es/api/deca/v1/actividad?desde=0&limite=500"

La respuesta

200 con Content-Type: application/x-ndjson; charset=utf-8: un objeto JSON por línea, cada una terminada en salto de línea, en orden de número de evento. Puede venir vacía: no es un error, es que no hay nada nuevo.

{"@timestamp":"2026-09-28T07:14:03.512907Z","ecs":{"version":"8.11.0"},
 "event":{"kind":"event","dataset":"deca.actividad","module":"deca","id":"48213",
  "sequence":48213,"action":"doc.descarga","outcome":"success","provider":"proxy",
  "category":["file"],"type":["access"]},
 "message":"…","organization":{"id":"transportes-ejemplo"},
 "user":{"id":"…","email":"…"},"source":{"ip":"203.0.113.24"},
 "deca":{"at_local":"…","actor_id":"…","ip":"203.0.113.24","ip_fiable":true,
  "ref":null,"detalle":{},
  "cadena":{"v":1,"id":48213,"at":"2026-09-28T07:14:03.512907Z",
   "tenant":"transportes-ejemplo","atribucion":"sesion","tipo":"doc.descarga",
   "resultado":"ok","http":200,"origen":"proxy","actor_tipo":"usuario",
   "document_id":91234,"h_pii":"9f…","hash_prev":"3c…","hash":"a7…"}}}

(En la respuesta real, cada evento va en una sola línea; aquí está partido para que se lea.) source.ip solo va cuando la IP está verificada; la IP tal cual está siempre en deca.ip, con deca.ip_fiable. Los apuntes de nuestro personal salen enmascarados, igual que en la pestaña. deca.detalle cambia de forma según el tipo de evento: en Elasticsearch, mapéalo como flattened.

Cabeceras de la respuesta:

Todas las respuestas llevan Cache-Control: no-store.

Cómo leerlo

Guarda X-DeCA-Siguiente y úsalo como desde en la llamada siguiente. Mientras X-DeCA-Mas sea 1, sigue pidiendo; con 0, vuelve dentro de unos minutos (cada 5 es un buen ritmo). Si una llamada falla, repítela con el mismo desde: te devolvemos lo mismo más lo nuevo, sin huecos ni repetidos. Los números de evento no son consecutivos (la numeración es común a toda la plataforma): lo que prueba que no falta nada es la cadena, no el número.

Solo desde que se activó la pestaña. El registro se sirve desde la primera vez que se activó la pestaña Actividad de tu suscripción, igual que en la pestaña y en el CSV; lo anterior no se te exporta. Esa fecha no cambia aunque la pestaña se desactive y se vuelva a activar. Si se desactiva, la lectura contesta 403 no_visible desde la llamada siguiente, aunque la clave siga activa.

Empezar desde hoy, sin descargar lo que ya haya: haz una primera llamada con desde=9223372036854775806. Vuelve sin eventos, pero con la cabeza: usa X-DeCA-Cabeza-Id como tu desde y X-DeCA-Cabeza-Hash como la huella anterior que esperas. Así también el primer evento que recibas se puede comprobar. (Si todavía no hay ningún evento, no viene cabeza: empieza desde 0.)

Comprueba la cadena

Cada evento guarda la huella del anterior (hash_prev) y la suya (hash), en deca.cadena. Con eso tu SIEM comprueba dos cosas: que no falta ningún evento entre dos que tiene, y que ninguno ha cambiado después de copiarlo. Usa siempre los campos de deca.cadena, no los de ECS: un pipeline puede reformatear @timestamp, y la huella se calcula sobre el texto exacto de deca.cadena.at (UTC, seis decimales y Z).

# Python
import hashlib, json

CAMPOS = ("v", "id", "at", "tenant", "atribucion", "tipo",
          "resultado", "http", "origen", "actor_tipo", "document_id")

def ns(x):
    # null → "-,"; si no, "<octetos UTF-8>:<texto>,"
    if x is None:
        return "-,"
    s = str(x)          # los números, en decimal
    return f"{len(s.encode('utf-8'))}:{s},"

def comprobar(linea, huella_anterior):
    c = json.loads(linea)["deca"]["cadena"]
    if huella_anterior is not None and c["hash_prev"] != huella_anterior:
        raise ValueError(f"falta algo antes del evento {c['id']}")
    nucleo = "".join(ns(c[k]) for k in CAMPOS).encode("utf-8")
    prev = bytes.fromhex(c["hash_prev"]) if c["hash_prev"] else bytes(32)
    h = hashlib.sha256(prev + nucleo + bytes.fromhex(c["h_pii"])).hexdigest()
    if h != c["hash"]:
        raise ValueError(f"el evento {c['id']} no casa con su huella")
    return c["hash"]    # la huella anterior del evento siguiente

• El primer evento que recibes encadena con uno que no se te exporta (el anterior a la activación de la pestaña, o el último borrado por antigüedad): su hash_prev no lo puedes comprobar y es tu punto de partida. Por eso la primera llamada del ejemplo pasa huella_anterior = None, salvo que empieces desde hoy con la cabeza.
• Lo que no se puede comprobar: h_pii es la huella de la parte personal (usuario, correo, IP, navegador, referencia y detalle) calculada con una sal que no sale de la plataforma. Entra en la cadena tal cual, así que un h_pii cambiado se detecta; pero sin la sal no se puede comprobar que deca.ip o user.email sean los que se huellaron.
• Supresiones. Si concedes a alguien la supresión de sus datos, tachamos la parte personal de sus eventos sin cambiar su huella, y aparece un evento nuevo registro.supresion con el número del evento afectado. Tu copia no se toca sola: aplicar esa supresión en tu SIEM te corresponde a ti.
• Si tu cursor es menor que X-DeCA-Ancla-Id, lo que falta se borró por antigüedad (12 meses): no es una manipulación. El primer evento que recibas encadena con X-DeCA-Ancla-Hash. Esas cabeceras solo van cuando es así: si lo borrado es todo anterior a la activación de la pestaña, no van, y tu primer evento encadena con uno anterior a la activación que no se te exporta (el caso de arriba).

Errores

Siempre en JSON, {"ok": false, "code": "…", "error": "…"}, nunca como líneas NDJSON.

Límites