106501 La descarga por token no procede (404 opaco, a propósito)

Qué ha pasado

El endpoint público de descarga responde SIEMPRE 404 —sin distinguir causa— ante un token con formato inválido, desconocido, revocado, caducado o en estado no descargable. El 404 uniforme es anti-enumeración: quien prueba tokens no aprende nada. La causa real sólo va a la métrica download_token_rejected_total.

Cómo se soluciona

Si un destinatario legítimo no puede descargar, casi siempre es un token caducado (el TTL es corto por diseño, THR-012): re-entregar el informe genera un token nuevo. La causa exacta se mira en la métrica, no en la respuesta.

Qué hacer mientras tanto

El PDF viaja además adjunto en el propio aviso, así que un token caducado no deja al destinatario sin el informe.

Dónde se lanza

api/public.py — _reject() (5 sitios — formato, desconocido, revocado, caducado, estado)

El número viaja en la respuesta o en el registro: sí.