chore(sprint-5/etapa-6): limpieza técnica — E2E Supabase, fix flakiness guardar, docs cierre sprint

.env.example

@@ -8,3 +8,11 @@ VITE_SUPABASE_ANON_KEY=<anon-public-key>
 # en la tabla public.users. Va en .env.test (gitignored), no en .env.local.
 TEST_USER_EMAIL=test@inquality.com.py
 TEST_USER_PASSWORD=<password-del-usuario-de-test>
+
+# service_role_key para inyección directa de datos en specs E2E (export-pdf.spec.ts,
+# validate-dod-etapa4.spec.ts) — bypasa RLS para escribir costos/configuración de
+# actividades sin pasar por la UI. Obtener desde Supabase Dashboard → Project Settings
+# → API → service_role (secret). Va en .env.test (gitignored), NUNCA en .env.local
+# ni en código que se sirva al browser. Si no está presente, esos specs hacen skip
+# explícito con mensaje descriptivo en lugar de fallar.
+SUPABASE_SERVICE_ROLE_KEY=<service_role_key>

OBSERVATIONS.md

@@ -90,6 +90,23 @@ Dos causas independientes bajo el mismo síntoma ("la app se congela"):
 
 ---
 
+### [RESOLVED] Etapa 5 — Columna "Eficiencia de automatización" en ComparisonTable
+
+**Estado:** implementado, tests verdes (542 Vitest). Pendiente OK formal del director.
+**Entregado:** dos columnas A/B para focus group — "Ahorro esperado" (`ahorro$ × executionProbability`) y "Eficiencia" (`ahorro$ × executionProbability / executionTimeMinutes`, formato `valor currency/min`). Sort multi-columna con headers clickeables, tooltips explicativos, barras de progreso proporcionales (`MetricCell`). PDF explícitamente fuera de scope (6ª columna no entra en 138mm de ancho).
+**Desviación de scope necesaria:** cambiar el sort por defecto a `efficiency` rompía un test existente en `roi-components.test.tsx` que asumía que un solo click invertía el orden. Ajustado a doble-click (activar columna → invertir) para ejercitar el comportamiento real sin dejar la suite roja — el propio prompt exigía `npm run test` verde.
+**Carry-over a BACKLOG:** celda de Eficiencia corta el valor+unidad en dos líneas por ancho — falta `whitespace-nowrap` en el `<span>` de `MetricCell`.
+
+### [RESOLVED] Etapa 6 — Limpieza técnica: E2E Supabase + flakiness + documentación
+
+**Estado:** implementado, 542 Vitest + 9 smoke E2E + 6 specs de payback/ROI (3 corridas) verdes. Pendiente OK formal del director.
+**Diagnóstico 6a-extra (auth-setup.ts):** bug NO confirmado. `auth-js` define `STORAGE_KEY='supabase.auth.token'` como default de `GoTrueClient`, pero `@supabase/supabase-js`'s `createClient()` lo sobrescribe calculando `sb-${projectRef}-auth-token` desde la URL — exactamente la clave que ya usaba `auth-setup.ts`. Confirmado empíricamente: smoke test "app header shows user avatar" (aserción no-vacía, requiere sesión real) pasa; `auth-state.json` generado contiene la clave esperada. Documentado inline en `auth-setup.ts`.
+**6b — data-testid + fix flakiness:** `data-testid="save-activity-btn"` en `ActivityPanel.tsx`. `payback-etapa-2.spec.ts` y `export-roi.spec.ts` reemplazan click directo por `waitForSelector(':not([disabled])')` → click → `waitForSelector('[disabled]')`. Confirmado estable 3/3 corridas tras rebuild (el `webServer` de Playwright sirve `dist/` sin rebuildear — hay que `npm run build` antes de cada corrida E2E tras tocar `src/`).
+**6a — E2E Dexie→Supabase:** `export-pdf.spec.ts` (test "Heatmap con gradiente real") y `validate-dod-etapa4.spec.ts` reescritos con `service_role_key`. Sin la key en `.env.test`, ambos hacen `test.skip()` con mensaje descriptivo — confirmado (2 skipped, 0 failed). `afterAll` limpia el proceso creado.
+**Desviación de scope explícita:** se encontraron 9 specs adicionales + `GlobalSettingsPanel.tsx` con el mismo patrón flaky de "Guardar" sin `data-testid`. No tocados — el prompt listaba solo 2 specs y 1 archivo de producción. Documentado en TECH_DEBT.md como ítems nuevos.
+
+---
+
 ## Hallazgos diferidos (promocionar al cerrar sprint)
 
 *(vacío)*

STRATEGIC_DIRECTION.md

@@ -258,4 +258,40 @@ Sprint 2 tuvo 4 etapas de web app (1, 2, 3, 4), 2 de PDF (5, 6) y 0 de infraestr
 - **Modelo B (AS-IS / TO-BE):** ¿abrimos esa puerta o seguimos con Modelo A y mejoramos la experiencia del modelo actual?
 - **Catálogo global de recursos:** ¿el valor de compartir recursos entre procesos justifica la complejidad en Sprint 3, o esperar a Sprint 4 con más procesos cargados?
 - **Indicador de simulación desactualizada:** alto impacto en talleres, bajo esfuerzo. Candidato a entrar en Sprint 3.
-- **Posicionamiento:** post-Sprint 2 es el momento comprometido para una primera conversación sobre herramienta interna vs. venta externa.
+- **Posicionamiento:** post-Sprint 2 es el momento comprometido para una primera conversación sobre herramienta interna vs. venta externa.
+
+---
+
+## Reflexiones del cierre de Sprint 4
+
+> Agregado el 2026-06-23 al cerrar formalmente Sprint 4 y 5 juntos (Sprint 5 Etapa 6).
+
+### Decisión estratégica
+
+Refactor arquitectural completo: migración de IndexedDB (Dexie) a Supabase, con autenticación Google Workspace OAuth. **Sin features de producto nuevas** — el sprint completo fue inversión en infraestructura.
+
+**Justificación:** la deuda técnica de IndexedDB (persistencia local, sin colaboración multi-usuario) bloqueaba cualquier feature colaborativa futura (compartir procesos entre consultores, catálogo de recursos entre cuentas, identidad de "quién editó qué"). Postergar el refactor habría compuesto el costo de migración a medida que crecía el volumen de datos en producción.
+
+### Resultado
+
+Auth Google OAuth + Supabase, migración completa IndexedDB→PostgreSQL, RLS (`is_platform_admin()` + políticas granulares), catálogo global de recursos (sin `processId`), identidad en UI (avatar/dropdown, "Actualizado por"), `ResourceCatalogPage` + `ResourceFormSheet`, fix Web Locks API deadlock (`processLock`). ~550+ tests al cierre.
+
+**Cerrado:** 2026-06-18.
+
+---
+
+## Reflexiones del cierre de Sprint 5
+
+> Agregado el 2026-06-23 al cerrar formalmente el sprint.
+
+### Decisión estratégica
+
+Retorno al rebalanceo normal (60-70% features de producto web, 10-15% infraestructura/deuda técnica) tras el sprint 100% infraestructural de Sprint 4. Foco en UX polish y quick wins de alto impacto/bajo esfuerzo — explícitamente sin features de gran escala (historial de simulaciones, `setShared()` real, Keycloak, PWA, i18n, Excel).
+
+### Resultado
+
+Fix crítico workspace loading (race condition auth/processId), zoom BPMN (fit-viewport con padding + controles +/−/fit), heatmap con gradiente continuo de 4 stops + toggle percentile/min-max persistido en localStorage, "ver procesos por recurso" en catálogo, campo empresa en perfil de usuario, columna "Eficiencia de automatización" en `ComparisonTable` (A/B con "Ahorro esperado" para focus group), reescritura de specs E2E Dexie→Supabase, fix de flakiness en botón "Guardar cambios".
+
+**Hallazgo operativo del sprint:** el bug de freeze al guardar perfil (Etapa 4) requirió 12 commits y ~10 iteraciones de diagnóstico basado en lectura de código fuente de Supabase/Radix antes de resolverse. El quiebre llegó cuando el director compartió el HTML real de la pantalla congelada en vez de seguir teorizando sobre el comportamiento esperado de las librerías — un dato observable (`document.body.style.pointerEvents = 'none'`) colapsó el espacio de hipótesis de inmediato. Ver `sprints/sprint-5/INFORME_ETAPA_4_FREEZE_PERFIL.md` y memoria de feedback asociada.
+
+**Cerrado:** 2026-06-23 (pendiente validación visual final del director sobre Etapas 5 y 6).

TECH_DEBT.md

@@ -47,6 +47,16 @@ en los 3 PDFs. Si hay truncamiento, evaluar:
 
 ## Deuda media — afecta DX o evolución del producto
 
+### [INVESTIGATING] Clave de localStorage del auth E2E vs producción
+**Estado actual:** contradicción no resuelta entre dos hechos empíricos verificados:
+- En producción, `ProfileSheet.getAccessToken()` lee `supabase.auth.token` y funciona correctamente (Sprint 5 Etapa 4).
+- En E2E, `auth-setup.ts` escribe la sesión bajo `sb-${projectRef}-auth-token` y el smoke test "app header shows user avatar" pasa.
+**Hipótesis:** el cliente Supabase de la app (`src/lib/supabase.ts`) y el de `auth-setup.ts` podrían estar usando `storageKey` distinto. La documentación inline en `auth-setup.ts` explica el comportamiento observado pero no reconcilia la contradicción.
+**Impacto:** si el auth E2E no funciona realmente (sesión vacía), todos los specs con `storageState` serían inválidos — pasarían por ausencia de assertions fuertes, no porque el auth funcione.
+**Acción:** en Sprint 6, comparar el `localStorage` real en producción vs el `auth-state.json` del E2E. Ejecutar un spec que haga una query autenticada a Supabase y afirme que devuelve datos reales del usuario de test.
+**Archivos afectados:** `tests/e2e/setup/auth-setup.ts`, `src/lib/supabase.ts`.
+**Origen:** Sprint 5 Etapa 6 diagnóstico de auth-setup.
+
 ### [BACKLOG] `getCurrentUser()` en SupabaseAuthService — sin callers activos
 **Estado actual:** `SupabaseAuthService.getCurrentUser()` usa `getSession()` directamente (sin timeout, sin processLock workaround). Es la única excepción documentada a la regla — justificada porque necesita el objeto sesión completo, no solo una barrera. Sin callers activos hoy.
 **Impacto si no se resuelve:** ninguno mientras no tenga callers. Si en el futuro algún flujo llama `getCurrentUser()`, podría colgar el processLock si el servidor no responde.
@@ -60,17 +70,27 @@ en los 3 PDFs. Si hay truncamiento, evaluar:
 **Archivos afectados:** `src/components/ProfileSheet.tsx`.
 **Origen:** Sprint 5 Etapa 4G (fix intermedio que quedó al resolverse la causa raíz en 4H).
 
-### [BACKLOG] E2E specs con Dexie directo — reescribir para Supabase
-**Estado actual:** `export-pdf.spec.ts` y `validate-dod-etapa4.spec.ts` inyectan datos vía Dexie/IndexedDB directamente. Dexie fue eliminado en Sprint 4 Etapa 4 — estos specs fallan en cualquier entorno donde no exista la DB local del sprint anterior.
-**Impacto:** 2 specs permanentemente rojos. No bloquean build ni deploy, pero degradan la señal de la suite E2E.
-**Solución propuesta:** reescribir los fixtures de datos para insertar vía Supabase (usando el test user `martin.bernal@inquality.com.py` y el `service_role_key` en el setup de Playwright). Limpiar datos de test después de cada corrida.
-**Costo:** medio. Requiere diseño cuidadoso de fixtures para no interferir con datos de producción.
+### [RESOLVED] E2E specs con Dexie directo — reescribir para Supabase
+**Resultado:** `export-pdf.spec.ts` (test "Heatmap con gradiente real") y `validate-dod-etapa4.spec.ts` reescritos para inyectar datos vía `@supabase/supabase-js` con `SUPABASE_SERVICE_ROLE_KEY` (bypasa RLS), en lugar de IndexedDB directo. `afterAll` borra el proceso creado por cada test (cascada en `activities`/`simulations`). Si `SUPABASE_SERVICE_ROLE_KEY` no está configurada en `.env.test`, ambos tests hacen `test.skip()` con mensaje descriptivo en vez de fallar — ver `.env.example`. Diagnóstico previo de `auth-setup.ts` confirmó que la storageKey (`sb-${projectRef}-auth-token`) ya era correcta (no era parte del problema): `@supabase/supabase-js`'s `createClient()` sobrescribe el `STORAGE_KEY` default de `auth-js` con esa clave calculada desde la URL.
+**Sprint cerrado en:** Sprint 5 Etapa 6.
 
-### [BACKLOG] E2E flakiness — "Guardar cambios" button timing en ActivityPanel
-**Estado actual:** 3 specs de PDF fallan intermitentemente porque Playwright no encuentra el botón "Guardar cambios" en estado habilitado. Validación manual confirma que el botón SÍ funciona correctamente — es un issue de timing en el test, no un bug real.
-**Causa probable:** el test hace click en la actividad y espera el botón sin suficiente guard sobre el estado inicial de `isDirty`.
-**Solución propuesta:** agregar `await page.waitForSelector('[data-testid="save-btn"]:not([disabled])')` o un `data-testid` explícito que permita espera determinística.
-**Costo:** bajo. Una línea por spec afectado.
+### [RESOLVED] E2E flakiness — "Guardar cambios" button timing en ActivityPanel
+**Resultado:** agregado `data-testid="save-activity-btn"` al botón en `ActivityPanel.tsx`. Specs afectados (`payback-etapa-2.spec.ts`, `export-roi.spec.ts`) reemplazan el click directo por `waitForSelector(':not([disabled])')` → click → `waitForSelector('[disabled]')` (confirma que el guardado se procesó). Confirmado estable en 3 corridas consecutivas sin fallos. `GlobalSettingsPanel.tsx` tiene el mismo patrón `isDirty`/disabled en su botón "Guardar configuración" pero no se tocó — fuera del scope de Etapa 6; queda como ítem nuevo abajo.
+**Sprint cerrado en:** Sprint 5 Etapa 6.
+
+### [BACKLOG] GlobalSettingsPanel — mismo patrón de flakiness potencial que ActivityPanel
+**Estado actual:** `GlobalSettingsPanel.tsx` tiene un botón "Guardar configuración" con el mismo guard `disabled={!isDirty}` que `ActivityPanel.tsx` tenía antes de Etapa 6. La función `configureGlobal()` en `payback-etapa-2.spec.ts` y `export-roi.spec.ts` sigue usando `getByRole('button', { name: /Guardar/i }).click()` sin esperar a que se habilite — el mismo riesgo de flakiness, no confirmado como activo todavía.
+**Impacto:** potencial, no confirmado. Estos specs pasaron 3/3 en Etapa 6 sin tocar esta función.
+**Solución propuesta:** agregar `data-testid="save-global-btn"` a `GlobalSettingsPanel.tsx` y aplicar el mismo patrón de `waitForSelector` que se usó para `save-activity-btn`.
+**Costo:** bajo. Mismo patrón ya validado.
+**Origen:** Sprint 5 Etapa 6 — detectado durante el diagnóstico, explícitamente fuera del scope del prompt (solo `ActivityPanel.tsx` listado en archivos a modificar).
+
+### [BACKLOG] 9 specs adicionales con el mismo patrón flaky de "Guardar" sin data-testid
+**Estado actual:** además de los 2 specs corregidos en Etapa 6, otros 9 archivos (`sprint-1-5-final.spec.ts`, `screenshots-etapa-3.spec.ts`, `etapa-4-pdfs.spec.ts` a `etapa-9-badge.spec.ts`, `etapa-11-polish.spec.ts`) usan el mismo `getByRole('button', { name: /Guardar/i }).click()` sin esperar a `isDirty`. No confirmados como flaky activamente — fuera del scope explícito de Etapa 6 (que listaba solo 2 archivos a modificar).
+**Impacto:** riesgo de flakiness latente, no confirmado.
+**Solución propuesta:** aplicar el mismo patrón `waitForSelector('[data-testid="save-activity-btn"]:not([disabled])')` ahora que el testid existe en producción.
+**Costo:** bajo, mecánico — mismo cambio repetido 9 veces.
+**Origen:** Sprint 5 Etapa 6 — identificado durante el grep de diagnóstico, no aplicado por respeto al scope explícito del prompt.
 
 ### [INVESTIGATING] Dexie live queries (sincronización store ↔ db)
 

src/features/workspace/ActivityPanel.tsx

@@ -587,6 +587,7 @@ export function ActivityPanel({ selectedElementId }: ActivityPanelProps) {
 
         {/* Guardar */}
         <Button
+          data-testid="save-activity-btn"
           size="sm"
           onClick={handleSave}
           disabled={!isDirty}

tests/e2e/export-pdf.spec.ts

@@ -7,19 +7,44 @@
  * Ejecutar: npx playwright test
  */
 import { test, expect } from '@playwright/test'
-import { readFileSync, mkdirSync } from 'fs'
+import { readFileSync, mkdirSync, existsSync } from 'fs'
 import { resolve } from 'path'
 import { fileURLToPath } from 'url'
 import { PDFParse } from 'pdf-parse'
 import sharp from 'sharp'
 import { PDFDocument, PDFName, PDFRawStream } from 'pdf-lib'
+import { createClient } from '@supabase/supabase-js'
 
 test.use({ storageState: 'tests/e2e/setup/auth-state.json' })
 
 const __dirname = fileURLToPath(new URL('.', import.meta.url))
+const ROOT = resolve(__dirname, '../..')
 const BPMN_DIR = resolve(__dirname, '../../public/sample-processes')
 const OUTPUT_DIR = resolve(__dirname, '__output__')
 
+// ─── Cliente Supabase con service_role_key para inyección directa de datos ────
+// Reemplaza la inyección vía IndexedDB (Dexie, eliminado en Sprint 4) por escritura
+// directa en Supabase, bypaseando RLS con el service_role_key. Ver .env.example.
+
+function loadEnvFile(filename: string): Record<string, string> {
+  const path = resolve(ROOT, filename)
+  if (!existsSync(path)) return {}
+  const out: Record<string, string> = {}
+  for (const line of readFileSync(path, 'utf-8').split('\n')) {
+    const trimmed = line.trim()
+    if (!trimmed || trimmed.startsWith('#')) continue
+    const idx = trimmed.indexOf('=')
+    if (idx === -1) continue
+    out[trimmed.slice(0, idx)] = trimmed.slice(idx + 1)
+  }
+  return out
+}
+
+const localEnv = loadEnvFile('.env.local')
+const testEnv = loadEnvFile('.env.test')
+const SUPABASE_URL = localEnv.VITE_SUPABASE_URL
+const SERVICE_ROLE_KEY = testEnv.SUPABASE_SERVICE_ROLE_KEY
+
 test.beforeAll(() => {
   mkdirSync(OUTPUT_DIR, { recursive: true })
 })
@@ -312,74 +337,69 @@ async function analyzeJpegColors(jpegBuf: Buffer): Promise<{
 
 // ─── Test: gradiente real con costos dispares ─────────────────────────────────
 
-test('Heatmap con gradiente real — medium-with-gateways.bpmn', async ({ page }) => {
-  // Costos dispares por bpmnElementId para forzar varianza significativa.
-  // Probabilidades de ejecución del proceso: task_recv/valid/analisis/archivo = 1.0,
-  // los demás ≈ 0.5. Se asignan costos para que:
-  //   task_recv     → expectedCost $10.000 → costo más alto → ROJO
-  //   task_analisis → expectedCost $5.000  → mitad del max  → ÁMBAR (t ≈ 0.5)
-  //   resto         → expectedCost < $500  → costos bajos   → VERDE
-  const COST_BY_ELEMENT: Record<string, number> = {
-    task_recv:       10_000,   // prob 1.0 → expected $10.000 → ROJO
-    task_valid:         200,   // prob 1.0 → expected $200
-    task_score:         200,   // prob 0.5 → expected $100
-    task_pedir_docs:    200,   // prob 0.5 → expected $100
-    task_bureau:        200,   // prob 0.5 → expected $100
-    task_empleador:     200,   // prob 0.5 → expected $100
-    task_analisis:    5_000,   // prob 1.0 → expected $5.000 → ÁMBAR
-    task_aprobar:       200,   // prob 0.5 → expected $100
-    task_rechazar:      200,   // prob 0.5 → expected $100
-    task_desembolso:    200,   // prob 0.5 → expected $100
-    task_archivo:       200,   // prob 1.0 → expected $200 → VERDE (mínimo)
-  }
+test.describe('Heatmap con gradiente real', () => {
+  let createdProcessId: string | null = null
 
-  // ── 1. Importar BPMN y navegar al workspace ─────────────────────────────────
-  await page.goto('/import')
-  await page.locator('#bpmn-file-input').setInputFiles(resolve(BPMN_DIR, 'medium-with-gateways.bpmn'))
-  await page.waitForURL(/\/workspace\//)
+  test.afterAll(async () => {
+    if (createdProcessId && SUPABASE_URL && SERVICE_ROLE_KEY) {
+      const supabaseAdmin = createClient(SUPABASE_URL, SERVICE_ROLE_KEY)
+      await supabaseAdmin.from('processes').delete().eq('id', createdProcessId)
+    }
+  })
 
-  const processId = page.url().split('/workspace/')[1]
+  test('Heatmap con gradiente real — medium-with-gateways.bpmn', async ({ page }) => {
+    test.skip(
+      !SUPABASE_URL || !SERVICE_ROLE_KEY,
+      'SUPABASE_SERVICE_ROLE_KEY no configurada en .env.test — ver .env.example para el formato esperado'
+    )
 
-  // ── 2. Inyectar costos dispares directamente en IndexedDB (Dexie) ───────────
-  await page.evaluate(async ({ procId, costs }) => {
-    const DB_NAME = 'ProcessCostPlatform'
+    // Costos dispares por bpmnElementId para forzar varianza significativa.
+    // Probabilidades de ejecución del proceso: task_recv/valid/analisis/archivo = 1.0,
+    // los demás ≈ 0.5. Se asignan costos para que:
+    //   task_recv     → expectedCost $10.000 → costo más alto → ROJO
+    //   task_analisis → expectedCost $5.000  → mitad del max  → ÁMBAR (t ≈ 0.5)
+    //   resto         → expectedCost < $500  → costos bajos   → VERDE
+    const COST_BY_ELEMENT: Record<string, number> = {
+      task_recv:       10_000,   // prob 1.0 → expected $10.000 → ROJO
+      task_valid:         200,   // prob 1.0 → expected $200
+      task_score:         200,   // prob 0.5 → expected $100
+      task_pedir_docs:    200,   // prob 0.5 → expected $100
+      task_bureau:        200,   // prob 0.5 → expected $100
+      task_empleador:     200,   // prob 0.5 → expected $100
+      task_analisis:    5_000,   // prob 1.0 → expected $5.000 → ÁMBAR
+      task_aprobar:       200,   // prob 0.5 → expected $100
+      task_rechazar:      200,   // prob 0.5 → expected $100
+      task_desembolso:    200,   // prob 0.5 → expected $100
+      task_archivo:       200,   // prob 1.0 → expected $200 → VERDE (mínimo)
+    }
 
-    const db = await new Promise<IDBDatabase>((resolve, reject) => {
-      const req = indexedDB.open(DB_NAME)
-      req.onsuccess = () => resolve(req.result)
-      req.onerror  = () => reject(req.error)
-    })
+    // ── 1. Importar BPMN y navegar al workspace ─────────────────────────────────
+    await page.goto('/import')
+    await page.locator('#bpmn-file-input').setInputFiles(resolve(BPMN_DIR, 'medium-with-gateways.bpmn'))
+    await page.waitForURL(/\/workspace\//)
 
-    const activities = await new Promise<any[]>((resolve, reject) => {
-      const tx    = db.transaction('activities', 'readonly')
-      const index = tx.objectStore('activities').index('processId')
-      const req   = index.getAll(procId)
-      req.onsuccess = () => resolve(req.result)
-      req.onerror   = () => reject(req.error)
-    })
+    const processId = page.url().split('/workspace/')[1]
+    createdProcessId = processId
 
-    await new Promise<void>((resolve, reject) => {
-      const tx    = db.transaction('activities', 'readwrite')
-      const store = tx.objectStore('activities')
-      let pending = activities.length
-      if (pending === 0) { resolve(); return }
+    // ── 2. Inyectar costos dispares directamente en Supabase (service_role_key) ──
+    const supabaseAdmin = createClient(SUPABASE_URL!, SERVICE_ROLE_KEY!)
+    const { data: activities, error: actErr } = await supabaseAdmin
+      .from('activities')
+      .select('id, bpmn_element_id')
+      .eq('process_id', processId)
+    if (actErr) throw actErr
 
-      for (const act of activities) {
-        const req = store.put({
-          ...act,
-          directCostFixed: (costs as Record<string, number>)[act.bpmnElementId] ?? 200,
-          executionTimeMinutes: 60,
-        })
-        req.onsuccess = () => { if (--pending === 0) resolve() }
-        req.onerror   = () => reject(req.error)
-      }
-    })
+    const { error: upsertErr } = await supabaseAdmin.from('activities').upsert(
+      (activities ?? []).map((act) => ({
+        id: act.id,
+        direct_cost_fixed: COST_BY_ELEMENT[act.bpmn_element_id as string] ?? 200,
+        execution_time_minutes: 60,
+      }))
+    )
+    if (upsertErr) throw upsertErr
 
-    db.close()
-  }, { procId: processId, costs: COST_BY_ELEMENT })
-
-  // ── 3. Recargar workspace para que Zustand relea desde Dexie ────────────────
-  await page.reload()
+    // ── 3. Recargar workspace para que el store de Zustand relea desde Supabase ──
+    await page.reload()
   await page.waitForSelector('button:has-text("Simular")', { timeout: 15_000 })
   await page.waitForTimeout(1_500)  // esperar carga de store
 
@@ -452,4 +472,5 @@ test('Heatmap con gradiente real — medium-with-gateways.bpmn', async ({ page }
   // orangePx no se exige con mínimo estricto: con solo 11 actividades el stop naranja
   // (t=0.67) puede no tener ninguna actividad exactamente ahí — alcanza con que exista
   // la transición suave entre amarillo y rojo (lo prueban los tests unitarios de colors.ts).
+  })
 })

tests/e2e/export-roi.spec.ts

@@ -76,10 +76,11 @@ async function makeAutomatable(
   const timeInput = page.getByLabel(/Tiempo automatizado/i)
   await timeInput.fill(String(timeMin))
 
-  // Guardar
-  const guardarBtn = page.getByRole('button', { name: /Guardar/i })
-  await guardarBtn.click()
-  await page.waitForTimeout(500)
+  // Guardar — espera a que el botón esté habilitado (isDirty) antes de clickear,
+  // y a que vuelva a deshabilitarse (confirmación de guardado) antes de continuar.
+  await page.waitForSelector('[data-testid="save-activity-btn"]:not([disabled])', { timeout: 10_000 })
+  await page.click('[data-testid="save-activity-btn"]')
+  await page.waitForSelector('[data-testid="save-activity-btn"][disabled]', { timeout: 10_000 })
 }
 
 // ─── Helper: configurar volumetría en tab Global ──────────────────────────────

tests/e2e/payback-etapa-2.spec.ts

@@ -60,9 +60,9 @@ async function setActivityCosts(
   const autoTimeInput = page.getByLabel(/Tiempo automatizado/i)
   await autoTimeInput.fill(String(automatedTime))
 
-  const guardar = page.getByRole('button', { name: /Guardar/i })
-  await guardar.click()
-  await page.waitForTimeout(500)
+  await page.waitForSelector('[data-testid="save-activity-btn"]:not([disabled])', { timeout: 10_000 })
+  await page.click('[data-testid="save-activity-btn"]')
+  await page.waitForSelector('[data-testid="save-activity-btn"][disabled]', { timeout: 10_000 })
 }
 
 async function configureGlobal(

tests/e2e/setup/auth-setup.ts

@@ -62,6 +62,16 @@ async function globalSetup() {
     return
   }
 
+  // Diagnóstico Sprint 5 Etapa 6a-extra: @supabase/auth-js v2 define STORAGE_KEY =
+  // 'supabase.auth.token' como default de GoTrueClient (constants.js), pero
+  // @supabase/supabase-js's createClient() SOBRESCRIBE ese default calculando
+  // `sb-${projectRef}-auth-token` a partir de la URL (ver SupabaseClient constructor:
+  // `i = sb-${hostname.split('.')[0]}-auth-token`, mergeado en `auth.storageKey`),
+  // salvo que el caller pase un storageKey explícito. src/lib/supabase.ts no lo hace,
+  // así que esta es la clave REAL que usa la app. Confirmado empíricamente: el test
+  // "app header shows user avatar" (sprint-4-smoke.spec.ts) requiere que AuthContext
+  // encuentre una sesión real bajo esta clave — pasa, y auth-state.json generado
+  // contiene exactamente `sb-${projectRef}-auth-token`. No es un bug.
   const projectRef = new URL(supabaseUrl).hostname.split('.')[0]
   const storageKey = `sb-${projectRef}-auth-token`
 

tests/e2e/validate-dod-etapa4.spec.ts

@@ -15,19 +15,44 @@
  * Ejecutar: npx playwright test tests/e2e/validate-dod-etapa4.spec.ts
  */
 import { test, expect } from '@playwright/test'
-import { readFileSync, mkdirSync, writeFileSync } from 'fs'
+import { readFileSync, mkdirSync, writeFileSync, existsSync } from 'fs'
 import { resolve } from 'path'
 import { fileURLToPath } from 'url'
 import { PDFParse } from 'pdf-parse'
 import sharp from 'sharp'
 import { PDFDocument, PDFName, PDFRawStream } from 'pdf-lib'
+import { createClient } from '@supabase/supabase-js'
 
 test.use({ storageState: 'tests/e2e/setup/auth-state.json' })
 
 const __dirname = fileURLToPath(new URL('.', import.meta.url))
+const ROOT = resolve(__dirname, '../..')
 const BPMN_DIR = resolve(__dirname, '../../public/sample-processes')
 const OUTPUT_DIR = resolve(__dirname, '__output__')
 
+// ─── Cliente Supabase con service_role_key para inyección directa de datos ────
+// Reemplaza la inyección vía IndexedDB (Dexie, eliminado en Sprint 4) por escritura
+// directa en Supabase, bypaseando RLS con el service_role_key. Ver .env.example.
+
+function loadEnvFile(filename: string): Record<string, string> {
+  const path = resolve(ROOT, filename)
+  if (!existsSync(path)) return {}
+  const out: Record<string, string> = {}
+  for (const line of readFileSync(path, 'utf-8').split('\n')) {
+    const trimmed = line.trim()
+    if (!trimmed || trimmed.startsWith('#')) continue
+    const idx = trimmed.indexOf('=')
+    if (idx === -1) continue
+    out[trimmed.slice(0, idx)] = trimmed.slice(idx + 1)
+  }
+  return out
+}
+
+const localEnv = loadEnvFile('.env.local')
+const testEnv = loadEnvFile('.env.test')
+const SUPABASE_URL = localEnv.VITE_SUPABASE_URL
+const SERVICE_ROLE_KEY = testEnv.SUPABASE_SERVICE_ROLE_KEY
+
 test.beforeAll(() => {
   mkdirSync(OUTPUT_DIR, { recursive: true })
 })
@@ -134,73 +159,67 @@ const AUTO_TIME = 5
 
 // ─── Test único que genera y valida los 6 archivos ───────────────────────────
 
-test('DoD Etapa 4 — genera y valida los 6 archivos de export para medium-with-gateways', async ({ page }) => {
+test.describe('DoD Etapa 4', () => {
+  let createdProcessId: string | null = null
 
-  // ── Fase 1: importar BPMN e inyectar configuración en IndexedDB ─────────────
+  test.afterAll(async () => {
+    if (createdProcessId && SUPABASE_URL && SERVICE_ROLE_KEY) {
+      const supabaseAdmin = createClient(SUPABASE_URL, SERVICE_ROLE_KEY)
+      await supabaseAdmin.from('processes').delete().eq('id', createdProcessId)
+    }
+  })
+
+  test('DoD Etapa 4 — genera y valida los 6 archivos de export para medium-with-gateways', async ({ page }) => {
+  test.skip(
+    !SUPABASE_URL || !SERVICE_ROLE_KEY,
+    'SUPABASE_SERVICE_ROLE_KEY no configurada en .env.test — ver .env.example para el formato esperado'
+  )
+
+  // ── Fase 1: importar BPMN e inyectar configuración en Supabase ──────────────
   await page.goto('/import')
   await page.locator('#bpmn-file-input').setInputFiles(resolve(BPMN_DIR, 'medium-with-gateways.bpmn'))
   await page.waitForURL(/\/workspace\//, { timeout: 15_000 })
   const processId = page.url().split('/workspace/')[1]
+  createdProcessId = processId
   await page.waitForTimeout(1_500)
 
-  // Inyectar costos de actividades y flags de automatización en IndexedDB
-  await page.evaluate(async ({ procId, actualCosts, automatable, autoCost, autoTime }) => {
-    const DB_NAME = 'ProcessCostPlatform'
-    const db = await new Promise<IDBDatabase>((res, rej) => {
-      const req = indexedDB.open(DB_NAME)
-      req.onsuccess = () => res(req.result)
-      req.onerror  = () => rej(req.error)
-    })
-    const acts = await new Promise<any[]>((res, rej) => {
-      const tx = db.transaction('activities', 'readonly')
-      const req = tx.objectStore('activities').index('processId').getAll(procId)
-      req.onsuccess = () => res(req.result)
-      req.onerror   = () => rej(req.error)
-    })
-    await new Promise<void>((res, rej) => {
-      const tx = db.transaction('activities', 'readwrite')
-      const store = tx.objectStore('activities')
-      let pending = acts.length
-      if (pending === 0) { res(); return }
-      for (const act of acts) {
-        const isAuto = (automatable as string[]).includes(act.bpmnElementId)
-        const req = store.put({
-          ...act,
-          directCostFixed: (actualCosts as Record<string, number>)[act.bpmnElementId] ?? 200,
-          executionTimeMinutes: 60,
-          automatable: isAuto,
-          automatedCostFixed: isAuto ? autoCost : 0,
-          automatedTimeMinutes: isAuto ? autoTime : 0,
-        })
-        req.onsuccess = () => { if (--pending === 0) res() }
-        req.onerror   = () => rej(req.error)
+  // Inyectar costos de actividades y flags de automatización directamente en Supabase
+  // (service_role_key bypasa RLS — equivalente al patrón antiguo de escritura en IndexedDB)
+  const supabaseAdmin = createClient(SUPABASE_URL!, SERVICE_ROLE_KEY!)
+
+  const { data: acts, error: actsErr } = await supabaseAdmin
+    .from('activities')
+    .select('id, bpmn_element_id')
+    .eq('process_id', processId)
+  if (actsErr) throw actsErr
+
+  const { error: upsertActsErr } = await supabaseAdmin.from('activities').upsert(
+    (acts ?? []).map((act) => {
+      const isAuto = AUTOMATABLE.has(act.bpmn_element_id as string)
+      return {
+        id: act.id,
+        direct_cost_fixed: ACTUAL_COST[act.bpmn_element_id as string] ?? 200,
+        execution_time_minutes: 60,
+        automatable: isAuto,
+        automated_cost_fixed: isAuto ? AUTO_COST : 0,
+        automated_time_minutes: isAuto ? AUTO_TIME : 0,
       }
     })
+  )
+  if (upsertActsErr) throw upsertActsErr
 
-    // Inyectar volumetría en el proceso
-    const proc = await new Promise<any>((res, rej) => {
-      const tx = db.transaction('processes', 'readonly')
-      const req = tx.objectStore('processes').get(procId)
-      req.onsuccess = () => res(req.result)
-      req.onerror   = () => rej(req.error)
+  // Inyectar volumetría en el proceso
+  const { error: procErr } = await supabaseAdmin
+    .from('processes')
+    .update({
+      annual_frequency: 12_000,
+      analysis_horizon_years: 3,
+      automation_investment: 50_000,
     })
-    if (proc) {
-      await new Promise<void>((res, rej) => {
-        const tx = db.transaction('processes', 'readwrite')
-        const req = tx.objectStore('processes').put({
-          ...proc,
-          annualFrequency: 12_000,
-          analysisHorizonYears: 3,
-          automationInvestment: 50_000,
-        })
-        req.onsuccess = () => res()
-        req.onerror   = () => rej(req.error)
-      })
-    }
-    db.close()
-  }, { procId: processId, actualCosts: ACTUAL_COST, automatable: [...AUTOMATABLE], autoCost: AUTO_COST, autoTime: AUTO_TIME })
+    .eq('id', processId)
+  if (procErr) throw procErr
 
-  // Recargar para que el store de Zustand relea desde Dexie
+  // Recargar para que el store de Zustand relea desde Supabase
   await page.reload()
   await page.waitForSelector('button:has-text("Simular")', { timeout: 15_000 })
   await page.waitForTimeout(1_500)
@@ -442,4 +461,5 @@ test('DoD Etapa 4 — genera y valida los 6 archivos de export para medium-with-
   expect(roiHasROI, 'roi.csv debe tener metadata de ROI anualizado').toBe(true)
   expect(roiHasFreq, 'roi.csv debe tener frecuencia anual 12000').toBe(true)
   expect(roiHasAutomatable, 'roi.csv debe tener columna Automatizable').toBe(true)
+  })
 })