@danieltmn/openbridge 0.3.0 → 0.4.0

package/CHANGELOG.md

@@ -4,6 +4,26 @@ Todos los cambios relevantes de OpenBridge. Formato basado en
 [Keep a Changelog](https://keepachangelog.com/es-ES/1.1.0/) y
 [Versionado Semantico](https://semver.org/lang/es/).
 
+## [0.4.0] - 2026-09-14
+
+### Agregado
+
+- **Multiusuario** con roles `admin`/`user`: login con usuario + contrasena,
+  sesion ligada al usuario y a la version de contrasena, rate limit por
+  IP+usuario, y comando CLI `users`
+  (`list`/`add`/`remove`/`passwd`/`role`/`disable`/`enable`); `passwd --user`.
+- Gate server-side: `session_delete` y los comandos mutantes del puente
+  (procesos, tuneles, revertir) solo para `admin`; la web oculta esos controles.
+- **Autor** en cada mensaje (auditoria) y muestra del usuario en el sidebar.
+- **Content-Security-Policy** y `Secure` de cookie solo desde loopback
+  (`trust proxy` explicito).
+
+### Cambiado
+
+- La sesion se invalida al cambiar la contrasena (`pv`); los usuarios
+  deshabilitados no pueden entrar.
+- `app.json` migra el `username`/`password` legado a `users[]`.
+
 ## [0.3.0] - 2026-09-13
 
 ### Cambios

package/README.md

@@ -44,9 +44,9 @@ openbridge server
 ```
 
 Al arrancar (queda en segundo plano) imprime el **estado con la URL pública**
-(`https://….tunnelmole.net/chat.php`): abríla desde el celular y logueate con el
-usuario (`admin`) y la contraseña que elegiste en `init`. Para correrlo en
-primer plano usá `openbridge server --stream`; para detenerlo, `openbridge stop`.
+(`https://….tunnelmole.net/chat.php`): abríla desde el celular y logueate con tu
+usuario y contraseña. Para correrlo en primer plano usá
+`openbridge server --stream`; para detenerlo, `openbridge stop`.
 
 ### Opciones de `init`
 
@@ -55,7 +55,8 @@ primer plano usá `openbridge server --stream`; para detenerlo, `openbridge stop
 --name "PC 1"        nombre visible de esta computadora
 --id pc1             identificador corto (default: derivado del nombre)
 --port 8799          puerto local
---password <clave>   contraseña de acceso
+--password <clave>   contraseña del admin inicial
+--user <nombre>      nombre del admin inicial (default: admin)
 --tunnel <prov>      tunnelmole | ngrok | cloudflare | none
 --domain <host>      dominio fijo del túnel (ngrok)
 --yes                sin preguntas (usa defaults)
@@ -63,12 +64,25 @@ primer plano usá `openbridge server --stream`; para detenerlo, `openbridge stop
 --dir <ruta>         casa portable (default: directorio actual)
 ```
 
+## Actualizar
+
+```bash
+npm i -g @danieltmn/openbridge@latest     # o: npx @danieltmn/openbridge@latest …
+```
+
+La configuración y los datos en `.openbridge/` se **migran solos**: el layout
+viejo (archivos sueltos) pasa a `.openbridge/`, y el `username`/`password` de una
+instalación de un solo usuario se convierte en el **primer admin** de `users[]`
+(con la misma contraseña). Por el cambio de formato de sesión, **hay que volver a
+iniciar sesión** una vez; los chats, carpetas, túnel y push se conservan.
+
 ## Comandos
 
 | Comando | Qué hace |
 |---|---|
 | `openbridge init` | Configura la casa (workspace, contraseña, túnel, puerto) |
-| `openbridge passwd` | Cambia la contraseña de acceso (detiene el server si corre) |
+| `openbridge passwd` | Cambia la contraseña de acceso (`--user <nombre>`; detiene el server si corre) |
+| `openbridge users` | Usuarios y roles: `list`, `add`, `remove`, `passwd`, `role`, `disable`, `enable` |
 | `openbridge server` | Arranca app + puente + túnel en **segundo plano** y muestra el estado (`--stream` = primer plano) |
 | `openbridge stop` | Detiene el server y su árbol de procesos |
 | `openbridge status` | Estado, URL, puente en línea y chats |
@@ -89,7 +103,7 @@ Todo vive dentro de **`.openbridge/`** en el directorio donde corrés `init`
 ```
 .openbridge/
   config.json    config del puente (apiUrl, token, workspace, bridgeId…)
-  app.json       config de la app (usuario, contraseña, VAPID, puerto, túnel)
+  app.json       config de la app (usuarios, token, VAPID, puerto, túnel)
   folders.json   lista blanca de carpetas que se ven desde el celular
   data/          sesiones, mensajes, catálogo, registro de puentes, push
   logs/          server.log y bridge.log
@@ -99,47 +113,108 @@ Movés la carpeta a donde quieras y sigue funcionando (es portable). Si venías
 de una versión anterior con los archivos sueltos, se **migran solos** a
 `.openbridge/` la primera vez que corras un comando.
 
-## Varias computadoras
+## Varias computadoras (hub + remotas)
+
+La PC **hub** corre la app y el túnel; las demás PCs corren solo el **puente** y
+apuntan al hub. En el sidebar de la web elegís qué PC usar y ves sus proyectos y
+chats.
+
+Ejemplo concreto:
+
+1. En el **hub** (tiene la app y la URL pública):
+   ```bash
+   openbridge init
+   openbridge server        # muestra estado, URL y QR
+   openbridge status        # volvés a ver la URL cuando quieras
+   ```
+2. Copiá el **token del puente** del hub: `.openbridge/app.json` → `bridgeToken`.
+3. En la **PC 2** (remota):
+   ```bash
+   openbridge init --tunnel none        # no necesita túnel propio
+   openbridge bridge --api https://tu-url-publica/api.php \
+     --token <bridgeToken> --id pc2 --name "PC 2"
+   ```
+4. Abrí la URL del hub desde el celular: en el sidebar aparecen **PC 1** y
+   **PC 2** para alternar.
+
+El puente remoto solo necesita salida a internet hacia el hub; no abre puertos ni
+túnel propio. Para que arranque solo en cada PC: `openbridge autostart install`.
 
-El hub (la PC con la app) puede atender **varias PCs** a la vez:
-
-- En la PC "hub": `openbridge init` + `openbridge server` (queda la app + túnel).
-- En otra PC: `openbridge init` y luego `openbridge bridge --api <url-del-hub>
-  --token <token> --id pc2 --name "PC 2"` (sin editar `config.json` a mano).
+## Túnel y URL estable
 
-En el sidebar de la web elegís qué PC usar y ves sus proyectos y chats.
+Proveedores (`--tunnel` o `openbridge tunnel <prov>`): `tunnelmole` (gratis, sin
+cuenta), `ngrok` (cuenta + authtoken; admite **dominio fijo**) y `cloudflare`
+(quick tunnel). Ver/cambiar sin reconfigurar todo:
 
-## Túnel y URL estable
+```bash
+openbridge tunnel                                   # estado actual
+openbridge tunnel ngrok --domain mi-pc.ngrok.app    # URL fija (recomendado)
+openbridge stop && openbridge server                # reiniciar para aplicar
+```
 
-Proveedores soportados (`--tunnel`): `tunnelmole` (gratis, sin cuenta),
-`ngrok` (cuenta + authtoken; admite dominio fijo con `--domain` en
-`app.json`) y `cloudflare` (quick tunnel de `cloudflared`). Con URL
-**aleatoria**, la suscripción push no persiste entre reinicios (el push está
-atado al origen). Para PWA/push estables conviene ngrok con dominio fijo o
-Cloudflare con dominio propio.
+Con URL **aleatoria** la PWA y el push no persisten entre reinicios (están atados
+al origen). Para una URL estable usá ngrok con dominio fijo (o un named tunnel de
+Cloudflare). Escaneá el QR de `openbridge status`/`openbridge qr` para abrirla en
+el celular.
 
 ## Avisos push
 
-Las claves VAPID se generan solas en `init`. Con URL de túnel **aleatoria**, la
-suscripción push no persiste entre reinicios (el push está atado al origen). Para
-una URL fija hace falta un proveedor con dominio estable (ngrok/Cloudflare).
+Las claves VAPID se generan solas en `init`. Con URL de túnel aleatoria la
+suscripción no persiste entre reinicios (el push está atado al origen); la app la
+vuelve a registrar cuando la abrís en la URL nueva. Para que sea estable, usá una
+URL fija (ngrok con `--domain`).
 
 ## Seguridad
 
-- La app escucha solo en `127.0.0.1`; el túnel la expone.
-- Login con contraseña (scrypt) + CSRF y rate limit (5 intentos); token del
-  puente autogenerado.
+- La app escucha **solo en `127.0.0.1`**; el túnel la expone a internet.
+- Login con **usuario y contraseña** (scrypt), cookie firmada `HttpOnly` +
+  `SameSite=Lax`, **CSRF** y **rate limit** (5 intentos / 15 min por IP+usuario);
+  token del puente autogenerado.
+- La cookie usa `Secure` cuando el pedido llega por HTTPS **desde loopback** (el
+  túnel); no se confía en `X-Forwarded-Proto` de otros orígenes.
+- Respuestas con `Content-Security-Policy` (orígenes externos, frames y objetos
+  bloqueados), `X-Content-Type-Options: nosniff`, `X-Frame-Options: DENY` y
+  `Referrer-Policy: no-referrer`.
 - El túnel es **público mientras corre**: detenelo (`openbridge stop`) cuando no
-  lo uses.
+  lo uses y mantené la contraseña fuerte.
+
+## Usuarios y roles
+
+Cada persona entra con **usuario y contraseña**. Hay dos roles:
+
+- **admin**: todo (crear/borrar chats, revertir cambios, procesos, túneles y
+  administrar usuarios).
+- **user**: chat, archivos, cambios y búsqueda; no puede borrar chats, revertir
+  cambios ni correr procesos/túneles.
+
+Se administran desde la PC con la CLI (los cambios requieren reiniciar el server):
+
+```bash
+openbridge users list
+openbridge users add ana --role user --password <clave>
+openbridge users passwd ana
+openbridge users role ana admin
+openbridge users disable ana      # enable para reactivar
+openbridge users remove ana
+openbridge passwd --user admin    # cambia la clave de un usuario
+```
+
+`init --user <nombre>` crea el admin inicial. La contraseña se guarda con scrypt,
+y cambiar una clave **invalida las sesiones abiertas** de ese usuario. El último
+admin no se puede borrar, degradar ni deshabilitar. Cada mensaje guarda **quién
+lo envió** (se ve en el chat).
 
 ## Estado
 
 Proyecto en desarrollo. Ya funciona: `init`, `server` (segundo plano; `--stream`
-en primer plano), `stop`, `status`, `logs` (`--follow`), `bridge` (con flags),
-`passwd`, `import`, `reset`, `autostart`, `doctor`, login con rate limit, API
-completa, SSE, catálogo por PC, Web Push y túnel (TunnelMole/ngrok/cloudflare).
-Tests en `npm test`. Pendiente: re-suscripción push al cambiar la URL y más
-cobertura end-to-end.
+en primer plano), `stop`, `status`, `qr`, `tunnel`, `logs` (`--follow`), `bridge`
+(con flags), `passwd`, `users`, `import`, `reset`, `autostart`, `doctor`; login
+**multiusuario** con roles `admin`/`user` y rate limit; API completa y SSE;
+catálogo por PC; Web Push; túnel (TunnelMole/ngrok/cloudflare); y en la web: chat
+con streaming, adjuntar imagen, dictado por voz, plantillas de prompts,
+tokens/contexto y **costo** por sesión, vista de archivos, vista de **cambios**
+(git status/diff) con **revertir**, búsqueda global, sesiones de opencode y
+**autor** en cada mensaje. Tests en `npm test` (28).
 
 ## Licencia
 

package/docs/ARCHITECTURE.md

@@ -19,18 +19,20 @@ el estado); `--stream` lo deja en primer plano.
 | Ruta | Responsabilidad |
 |---|---|
 | `bin/openbridge.js` | Entrada CLI + guard de Node. |
-| `src/cli.js` | Comandos (`init`, `passwd`, `server`, `stop`, `status`, `logs`, `bridge`, `import`, `reset`, `autostart`, `doctor`). |
+| `src/cli.js` | Comandos (`init`, `passwd`, `users`, `server`, `stop`, `status`, `qr`, `tunnel`, `logs`, `bridge`, `import`, `reset`, `autostart`, `doctor`). |
 | `src/paths.js` | Casa portable: ubicacion de `config.json`, `app.json`, `data/`, `logs/`. |
-| `src/config.js` | Lectura/escritura de config, hash scrypt, VAPID. |
-| `src/auth.js` | Cookie de sesion firmada, CSRF, remember-me, rate limit, token del puente. |
+| `src/config.js` | Lectura/escritura de config, hash scrypt, **usuarios/roles**, VAPID. |
+| `src/auth.js` | Cookie de sesion firmada, CSRF, remember-me, **roles**, rate limit, token del puente. |
 | `src/log.js` | Log a consola + `logs/server.log`. |
 | `src/push.js` | Web Push (VAPID + `web-push`). |
+| `src/qr.js` | Generador QR propio (terminal/SVG), sin dependencias. |
 | `src/tunnel/` | Proveedores de tunel enchufables. |
-| `src/web/server.js` | Servidor HTTP, estaticos, seguridad. |
-| `src/web/routes.js` | Router de paginas y API (`?action=...`), compatible con `app.js`/`bridge.js`. |
+| `src/web/server.js` | Servidor HTTP, estaticos, cabeceras de seguridad (CSP). |
+| `src/web/routes.js` | Router de paginas y API (`?action=...`), gate de roles, compatible con `app.js`/`bridge.js`. |
 | `src/web/assets/` | Frontend (`app.js`, temas, iconos, service worker, manifest). |
 | `src/store/` | Store JSON con mutex por archivo y escritura atomica. |
-| `src/bridge/bridge.js` | Puente: sincroniza catalogo, hace poll y ejecuta opencode. |
+| `src/bridge/bridge.js` | Puente: sincroniza catalogo, hace poll y ejecuta opencode; comandos fs/proc/tunel/git. |
+| `scripts/release.mjs` | Release local (fuera del paquete npm): version, changelog, tag, push y publish. |
 
 ## Casa portable
 
@@ -53,7 +55,8 @@ OpenBridge. La CLI pasa la **base** (`--dir`/cwd) al puente via
 
 ## Flujo de un mensaje
 
-1. El celular envia `?action=send` (con CSRF) -> `src/web/routes.js`.
+1. El celular envia `?action=send` (con CSRF) -> `src/web/routes.js`; el mensaje
+   se guarda con el **autor** de la sesion.
 2. El mensaje queda `pending` en `data/messages-<id>.json`.
 3. El puente hace `poll`, reclama el mensaje y corre
    `opencode run --model <m> [--session <id>]`.
@@ -66,12 +69,50 @@ El hub corre la app; cada PC corre `openbridge bridge` apuntando al hub
 (`apiUrl` + `apiToken` + `bridgeId`). El catalogo se guarda por PC
 (`data/catalog-<id>.json`) y el sidebar permite elegir que PC usar.
 
+## Usuarios y roles
+
+`app.json` guarda `users[]` (`id`, `name`, `role`, `password` scrypt, `pv`,
+`disabled`). El modelo viejo de un `username`/`password` se migra solo a
+`users[0]` (admin).
+
+- La sesion (cookie firmada) guarda el `id` del usuario y su `pv`; el **rol se lee
+  siempre del server** en cada request. Cambiar la contrasena sube `pv` e invalida
+  las sesiones abiertas; un usuario `disabled` no entra.
+- Roles: `admin` (todo) y `user` (chat/lectura). El gate es **server-side** en
+  `routes.js`; la UI solo oculta los controles.
+- Rate limit de login por IP+usuario y error generico (no filtra si el usuario
+  existe; corre scrypt igual contra un hash dummy).
+- Cada mensaje guarda `author` (quien lo envio); la respuesta hereda el autor del
+  pedido.
+
+## Comandos del puente
+
+La web encola comandos (`?action=run_oc`) que el puente reclama por el poll y
+resuelve (los resultados vuelven por `command_done`/`fs_result`). Sirve tanto en
+local como en remoto:
+
+- Lectura: `models`, `session_list`, `session_info`, `opencode_version`,
+  `fs_list`, `fs_read`, `proc_list`, `proc_log`, `tunnel_list`, `git_status`,
+  `git_diff`.
+- Mutantes (solo `admin`): `proc_start`, `proc_stop`, `tunnel_start`,
+  `tunnel_stop`, `git_checkout`.
+
+Las rutas se validan contra el workspace (`procResolveFolder`/`resolveInWorkspace`)
+y los argumentos con una whitelist (`OC_ALLOWED`).
+
 ## Decisiones
 
 - **Stateless sessions**: la cookie se firma con HMAC; no hay store de sesiones.
+  El `id`+`pv` del usuario van en el payload y el rol se resuelve en cada request.
+- **Multiusuario con roles**: `admin`/`user`, gate server-side; el ultimo admin no
+  se puede borrar, degradar ni deshabilitar.
 - **Escritura atomica + mutex**: `tmp` + `rename` y una cola por archivo evitan
   corrupciones con polls concurrentes.
 - **Sin dependencias de framework**: HTTP nativo de Node; la unica dependencia
-  es `web-push`.
+  es `web-push`. El QR se genera con codigo propio (`src/qr.js`).
+- **Cabeceras de seguridad**: CSP restrictiva; permite scripts/estilos inline
+  porque los templates los usan.
+- **Cola de comandos del puente**: un solo canal (poll) para fs, procesos,
+  tuneles y git, valido igual en local y remoto.
 - **Proveedores de tunel detras de una interfaz**: `startTunnel(port, provider)`
   devuelve `{ url, provider, pid, stop }`.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@danieltmn/openbridge",
-  "version": "0.3.0",
+  "version": "0.4.0",
   "description": "Tu opencode en el celular, sin hosting: corre la app, el puente y un tunel publico desde tu PC.",
   "type": "commonjs",
   "author": "tamnora",

package/src/auth.js

@@ -38,8 +38,16 @@ function parseCookies(header) {
     return out;
 }
 
+// Detras del tunel el server recibe los pedidos desde loopback (el tunel corre
+// en la misma maquina y reenvia a 127.0.0.1). Solo en ese caso confiamos en
+// X-Forwarded-Proto: un cliente que llegara directo por la red no puede forzar
+// el flag Secure de la cookie. Sin info de socket (tests), se confia.
 function isSecure(req) {
-    const proto = req.headers['x-forwarded-proto'];
+    if (req.socket && req.socket.encrypted) return true;
+    const remote = req.socket && req.socket.remoteAddress;
+    const loopback = !remote || remote === '127.0.0.1' || remote === '::1' || remote === '::ffff:127.0.0.1';
+    if (!loopback) return false;
+    const proto = String(req.headers['x-forwarded-proto'] || '').split(',')[0].trim().toLowerCase();
     return proto === 'https';
 }
 
@@ -51,10 +59,10 @@ function serializeCookie(name, value, req, maxAge) {
 }
 
 // ---------------------------------------------------------------------------
-// Sesion
+// Sesion (ligada al id del usuario; el rol se lee siempre del server)
 // ---------------------------------------------------------------------------
-function makeSession(app, username, csrf, exp) {
-    const payload = b64url(JSON.stringify({ u: username, c: csrf, e: exp }));
+function makeSession(app, user, csrf, exp) {
+    const payload = b64url(JSON.stringify({ u: user.id, pv: parseInt(user.pv, 10) || 1, c: csrf, e: exp }));
     return payload + '.' + sign(payload, app.csrfSecret);
 }
 function readSession(app, req) {
@@ -68,8 +76,11 @@ function readSession(app, req) {
     if (!safeEqual(sign(payload, app.csrfSecret), sig)) return null;
     let data;
     try { data = JSON.parse(Buffer.from(payload, 'base64url').toString('utf8')); } catch (e) { return null; }
-    if (!data || data.u !== app.username || typeof data.e !== 'number' || data.e < Math.floor(Date.now() / 1000)) return null;
-    return data;
+    if (!data || typeof data.e !== 'number' || data.e < Math.floor(Date.now() / 1000)) return null;
+    const user = config.userById(app, data.u);
+    if (!user || user.disabled) return null;
+    if ((parseInt(user.pv, 10) || 1) !== (parseInt(data.pv, 10) || 1)) return null;
+    return { id: user.id, name: user.name, role: user.role, u: user.id, c: data.c, e: data.e };
 }
 function currentCsrf(app, req) {
     const s = readSession(app, req);
@@ -80,6 +91,14 @@ function requireLogin(app, req, res) {
     if (!s) { json(res, 401, { ok: false, error: 'No autorizado' }); return null; }
     return s;
 }
+// Exige que el usuario tenga uno de los roles indicados.
+function requireRole(app, req, res, roles) {
+    const s = readSession(app, req);
+    if (!s) { json(res, 401, { ok: false, error: 'No autorizado' }); return null; }
+    const allowed = Array.isArray(roles) ? roles : [roles];
+    if (!allowed.includes(s.role)) { json(res, 403, { ok: false, error: 'Permiso insuficiente' }); return null; }
+    return s;
+}
 function requireCsrf(app, req, res) {
     const s = readSession(app, req);
     const given = String(req.headers['x-csrf'] || '').trim();
@@ -90,13 +109,13 @@ function requireCsrf(app, req, res) {
     return s;
 }
 
-function startSession(app, req, res, username) {
+function startSession(app, req, res, user) {
     const csrf = crypto.randomBytes(16).toString('hex');
     const exp = Math.floor(Date.now() / 1000) + REMEMBER_DAYS * 86400;
-    const token = makeSession(app, username, csrf, exp);
+    const token = makeSession(app, user, csrf, exp);
     res.setHeader('Set-Cookie', [
         serializeCookie(SESSION_COOKIE, token, req, REMEMBER_DAYS * 86400),
-        serializeCookie(REMEMBER_COOKIE, makeRemember(app, username), req, REMEMBER_DAYS * 86400),
+        serializeCookie(REMEMBER_COOKIE, makeRemember(app, user), req, REMEMBER_DAYS * 86400),
     ]);
     return csrf;
 }
@@ -107,9 +126,9 @@ function endSession(req, res) {
     ]);
 }
 
-function makeRemember(app, username) {
+function makeRemember(app, user) {
     const exp = Math.floor(Date.now() / 1000) + REMEMBER_DAYS * 86400;
-    const payload = username + '|' + exp;
+    const payload = user.id + '|' + exp + '|' + (parseInt(user.pv, 10) || 1);
     return b64url(payload) + '.' + sign(payload, app.csrfSecret);
 }
 // Re-autentica desde la cookie remember si la sesion se perdio.
@@ -125,10 +144,12 @@ function rememberAutoLogin(app, req, res) {
     let plain;
     try { plain = Buffer.from(payload, 'base64url').toString('utf8'); } catch (e) { return false; }
     const parts = plain.split('|');
-    if (parts.length !== 2) return false;
-    const [user, exp] = parts;
-    if (user !== app.username || !/^\d+$/.test(exp) || parseInt(exp, 10) < Math.floor(Date.now() / 1000)) return false;
+    if (parts.length !== 3) return false;
+    const [uid, exp, pv] = parts;
+    if (!/^\d+$/.test(exp) || parseInt(exp, 10) < Math.floor(Date.now() / 1000)) return false;
     if (!safeEqual(sign(payload, app.csrfSecret), sig)) return false;
+    const user = config.userById(app, uid);
+    if (!user || user.disabled || (parseInt(user.pv, 10) || 1) !== (parseInt(pv, 10) || 1)) return false;
     startSession(app, req, res, user);
     return true;
 }
@@ -141,10 +162,10 @@ const LOGIN_WINDOW_MS = 15 * 60 * 1000;
 const LOGIN_LOCK_MS = 15 * 60 * 1000;
 const loginAttempts = new Map();
 
-function clientKey(req) {
+function clientKey(req, user) {
     const xff = String(req.headers['x-forwarded-for'] || '').split(',')[0].trim();
     const ip = xff || (req.socket && req.socket.remoteAddress) || 'desconocido';
-    return String(ip);
+    return String(ip) + '|' + String(user || '').trim().toLowerCase();
 }
 function pruneLoginAttempts(now) {
     for (const [key, st] of loginAttempts) {
@@ -152,25 +173,25 @@ function pruneLoginAttempts(now) {
     }
 }
 // Segundos restantes de bloqueo (0 = puede intentar).
-function loginLockRemaining(req) {
+function loginLockRemaining(req, user) {
     const now = Date.now();
     pruneLoginAttempts(now);
-    const st = loginAttempts.get(clientKey(req));
+    const st = loginAttempts.get(clientKey(req, user));
     if (!st || !st.lockUntil) return 0;
     const left = st.lockUntil - now;
     return left > 0 ? Math.ceil(left / 1000) : 0;
 }
-function loginRecordFailure(req) {
+function loginRecordFailure(req, user) {
     const now = Date.now();
-    const key = clientKey(req);
+    const key = clientKey(req, user);
     let st = loginAttempts.get(key);
     if (!st || (!st.lockUntil && now - st.first > LOGIN_WINDOW_MS)) st = { count: 0, first: now, lockUntil: 0 };
     st.count++;
     if (st.count >= LOGIN_MAX_ATTEMPTS) st.lockUntil = now + LOGIN_LOCK_MS;
     loginAttempts.set(key, st);
 }
-function loginClear(req) {
-    loginAttempts.delete(clientKey(req));
+function loginClear(req, user) {
+    loginAttempts.delete(clientKey(req, user));
 }
 
 // ---------------------------------------------------------------------------
@@ -197,7 +218,7 @@ function json(res, code, data) {
 module.exports = {
     SESSION_COOKIE, REMEMBER_COOKIE,
     parseCookies, serializeCookie, isSecure,
-    makeSession, readSession, currentCsrf, requireLogin, requireCsrf,
+    makeSession, readSession, currentCsrf, requireLogin, requireRole, requireCsrf,
     startSession, endSession, rememberAutoLogin,
     loginLockRemaining, loginRecordFailure, loginClear,
     checkBridgeToken, safeEqual, json,

package/src/cli.js

@@ -183,6 +183,12 @@ async function cmdInit(argv) {
         console.log('Usa --force para reconfigurar (se pisan config.json/app.json).');
         return 0;
     }
+    if (paths.exists() && flags.force) {
+        const prev = config.readApp();
+        if ((prev.users || []).length > 1) {
+            console.log('aviso: --force deja un unico usuario admin; se pierden los demas usuarios.');
+        }
+    }
 
     if (stopRunningServer()) {
         console.log('Habia un server corriendo; lo detuve para reconfigurar (reinicialo con `openbridge server`).');
@@ -235,12 +241,12 @@ async function cmdInit(argv) {
         bridgeId: id,
         bridgeName: name,
     };
+    const adminName = flags.user || 'admin';
     const appCfg = {
         ...config.DEFAULT_APP,
         port,
         host: '127.0.0.1',
-        username: flags.user || 'admin',
-        password: config.hashPassword(password),
+        users: [config.makeUser(adminName, password, 'admin')],
         csrfSecret,
         bridgeToken,
         vapid,
@@ -259,7 +265,7 @@ async function cmdInit(argv) {
     console.log('  workspace : ' + workspace);
     console.log('  puente    : ' + id + ' (' + name + ')');
     console.log('  URL local : http://127.0.0.1:' + port + '/chat.php');
-    console.log('  usuario   : ' + appCfg.username);
+    console.log('  usuario   : ' + adminName);
     console.log('  contrasena: ' + password + (generated ? '  (generada)' : ''));
     console.log('  tunel     : ' + provider);
     console.log('  carpetas  : ' + folders.length + ' en folders.json');
@@ -693,23 +699,114 @@ async function cmdPasswd(argv) {
         return 1;
     }
     const app = config.readApp();
+    const name = String(flags.user || (app.users[0] && app.users[0].name) || 'admin');
+    const user = config.findUser(app, name);
+    if (!user) {
+        console.error('Usuario no encontrado: ' + name);
+        return 1;
+    }
     const interactive = !flags.yes && process.stdin.isTTY;
     let password = flags.password || '';
-    if (!password && interactive) password = await askHidden('Nueva contrasena (enter = generar): ');
+    if (!password && interactive) password = await askHidden('Nueva contrasena para "' + name + '" (enter = generar): ');
     let generated = false;
     if (!password) {
         password = config.randomToken(12);
         generated = true;
     }
     if (stopRunningServer()) console.log('Habia un server corriendo; lo detuve para aplicar el cambio.');
-    app.password = config.hashPassword(password);
+    user.password = config.hashPassword(password);
+    user.pv = (parseInt(user.pv, 10) || 1) + 1; // invalida las sesiones abiertas
     config.writeApp(app);
-    console.log('Contrasena actualizada para "' + app.username + '".');
+    console.log('Contrasena actualizada para "' + user.name + '".');
     console.log('  contrasena: ' + password + (generated ? '  (generada)' : ''));
     console.log('  volve a arrancar: openbridge server');
     return 0;
 }
 
+// ---------------------------------------------------------------------------
+// users: administracion de usuarios y roles (solo desde la CLI local)
+// ---------------------------------------------------------------------------
+async function cmdUsers(argv) {
+    const { flags, _ } = parseArgs(argv);
+    if (!paths.exists()) {
+        console.error('No hay configuracion en ' + paths.home() + '. Corre primero: openbridge init');
+        return 1;
+    }
+    const app = config.readApp();
+    const sub = String(_[0] || 'list').toLowerCase();
+    const name = _[1] || flags.name;
+
+    const persist = (msg) => {
+        if (stopRunningServer()) console.log('Habia un server corriendo; lo detuve para aplicar el cambio.');
+        config.writeApp(app);
+        console.log(msg);
+        console.log('  volve a arrancar: openbridge server');
+    };
+
+    if (sub === 'list' || sub === 'ls') {
+        const users = app.users || [];
+        if (!users.length) { console.log('(sin usuarios)'); return 0; }
+        for (const u of users) {
+            console.log((u.disabled ? 'x' : 'o') + '  ' + u.name.padEnd(16) + '[' + u.role + ']');
+        }
+        return 0;
+    }
+
+    if (sub === 'add') {
+        if (!config.userValidName(name)) { console.error('Nombre invalido (letras, numeros, . _ -; 1-32).'); return 1; }
+        if (config.findUser(app, name)) { console.error('Ya existe el usuario "' + name + '".'); return 1; }
+        let password = flags.password || '';
+        if (!password && process.stdin.isTTY) password = await askHidden('Contrasena para "' + name + '" (enter = generar): ');
+        let generated = false;
+        if (!password) { password = config.randomToken(12); generated = true; }
+        const role = config.USER_ROLES.includes(flags.role) ? flags.role : 'user';
+        app.users.push(config.makeUser(name, password, role));
+        persist('Usuario "' + name + '" agregado [' + role + '].');
+        console.log('  contrasena: ' + password + (generated ? '  (generada)' : ''));
+        return 0;
+    }
+
+    if (sub === 'remove' || sub === 'del' || sub === 'rm') {
+        const user = config.findUser(app, name);
+        if (!user) { console.error('Usuario no encontrado: ' + name); return 1; }
+        if (user.role === 'admin' && config.adminCount(app) <= 1) { console.error('No podes borrar al ultimo admin.'); return 1; }
+        app.users = app.users.filter((u) => u.id !== user.id);
+        persist('Usuario "' + user.name + '" borrado.');
+        return 0;
+    }
+
+    if (sub === 'passwd' || sub === 'password') {
+        if (!name) { console.error('Uso: openbridge users passwd <nombre> [--password <clave>]'); return 1; }
+        const extra = ['--user', name];
+        if (flags.password) extra.push('--password', String(flags.password));
+        return cmdPasswd(extra);
+    }
+
+    if (sub === 'role') {
+        const user = config.findUser(app, name);
+        if (!user) { console.error('Usuario no encontrado: ' + name); return 1; }
+        const role = String(_[2] || flags.role || '').toLowerCase();
+        if (!config.USER_ROLES.includes(role)) { console.error('Rol invalido (admin|user).'); return 1; }
+        if (user.role === 'admin' && role !== 'admin' && config.adminCount(app) <= 1) { console.error('No podes quitarle el admin al ultimo admin.'); return 1; }
+        user.role = role;
+        persist('Rol de "' + user.name + '" -> ' + role + '.');
+        return 0;
+    }
+
+    if (sub === 'disable' || sub === 'enable') {
+        const user = config.findUser(app, name);
+        if (!user) { console.error('Usuario no encontrado: ' + name); return 1; }
+        const disabled = sub === 'disable';
+        if (disabled && user.role === 'admin' && config.adminCount(app) <= 1) { console.error('No podes deshabilitar al ultimo admin.'); return 1; }
+        user.disabled = disabled;
+        persist('Usuario "' + user.name + '" ' + (disabled ? 'deshabilitado' : 'habilitado') + '.');
+        return 0;
+    }
+
+    console.error('Uso: openbridge users [list|add|remove|passwd|role|disable|enable] [nombre] [--role admin|user] [--password <clave>]');
+    return 1;
+}
+
 // ---------------------------------------------------------------------------
 // autostart
 // ---------------------------------------------------------------------------
@@ -826,7 +923,8 @@ function usage() {
     console.log('');
     console.log('  init      Configura la casa (workspace, contrasena, tunel)');
     console.log('  server    Arranca en segundo plano (muestra el estado al levantar)');
-    console.log('  passwd    Cambia la contrasena de acceso (--password <clave>)');
+    console.log('  passwd    Cambia la contrasena de acceso (--user <nombre> --password <clave>)');
+    console.log('  users     Usuarios y roles (list|add|remove|passwd|role|disable|enable)');
     console.log('  stop      Detiene el server en segundo plano');
     console.log('  status    Estado del server, puente y chats');
     console.log('  qr        Muestra la URL (publica o local) como QR para el celular');
@@ -858,6 +956,7 @@ async function main(argv) {
     switch (cmd) {
         case 'init': return cmdInit(args.slice(1));
         case 'passwd': case 'password': return cmdPasswd(args.slice(1));
+        case 'users': case 'user': return cmdUsers(args.slice(1));
         case 'server': case 'start': return cmdServer(args.slice(1));
         case 'stop': return cmdStop();
         case 'status': return cmdStatus();

package/src/config.js

@@ -27,14 +27,17 @@ const DEFAULT_APP = {
     port: 8799,
     host: '127.0.0.1',
     baseUrl: '',
-    username: 'admin',
-    password: null,          // { algo, salt, hash, keylen }
+    username: 'admin',       // legado (migra a users[0])
+    password: null,          // legado (migra a users[0])
+    users: [],               // [{ id, name, role, password, pv, created, disabled }]
     csrfSecret: '',
     bridgeToken: '',
     vapid: { publicKey: '', privateKey: '' },
     tunnel: { provider: 'tunnelmole', domain: '' },
 };
 
+const USER_ROLES = ['admin', 'user'];
+
 function readJsonFile(file, fallback) {
     try {
         const raw = fs.readFileSync(file, 'utf8');
@@ -62,10 +65,17 @@ function readApp() {
     const data = { ...DEFAULT_APP, ...readJsonFile(paths.appConfigPath(), DEFAULT_APP) };
     data.vapid = { ...DEFAULT_APP.vapid, ...(data.vapid || {}) };
     data.tunnel = { ...DEFAULT_APP.tunnel, ...(data.tunnel || {}) };
+    normalizeApp(data);
     return data;
 }
 function writeApp(cfg) {
-    writeJsonFile(paths.appConfigPath(), cfg);
+    const out = { ...cfg };
+    // Una vez migrado a `users`, no dejamos la contrasena legado suelta.
+    if (Array.isArray(out.users) && out.users.length) {
+        delete out.username;
+        delete out.password;
+    }
+    writeJsonFile(paths.appConfigPath(), out);
 }
 
 function randomToken(bytes = 32) {
@@ -93,6 +103,65 @@ function verifyPassword(password, stored) {
     return crypto.timingSafeEqual(calc, expected);
 }
 
+// ---------------------------------------------------------------------------
+// Usuarios (multiusuario con roles admin|user). El modelo viejo de un solo
+// `username`+`password` se migra solo a `users[0]`.
+// ---------------------------------------------------------------------------
+function userValidName(name) {
+    return typeof name === 'string' && /^[A-Za-z0-9._-]{1,32}$/.test(name);
+}
+function makeUser(name, password, role = 'user') {
+    return {
+        id: 'u_' + crypto.randomBytes(6).toString('hex'),
+        name: String(name),
+        role: USER_ROLES.includes(role) ? role : 'user',
+        password: hashPassword(password),
+        pv: 1,
+        created: new Date().toISOString(),
+        disabled: false,
+    };
+}
+// Devuelve la lista de usuarios, sintetizando el admin legado si hace falta.
+function userList(app) {
+    if (app && Array.isArray(app.users) && app.users.length) return app.users;
+    if (app && app.password && app.password.hash) {
+        return [{
+            id: 'u1',
+            name: (typeof app.username === 'string' && app.username) ? app.username : 'admin',
+            role: 'admin',
+            password: app.password,
+            pv: 1,
+            created: '',
+            disabled: false,
+        }];
+    }
+    return [];
+}
+function normalizeApp(app) {
+    if (!app || typeof app !== 'object') return app;
+    if (!Array.isArray(app.users)) app.users = [];
+    app.users = app.users.filter((u) => u && typeof u === 'object' && typeof u.name === 'string' && u.password);
+    if (!app.users.length) {
+        const migrated = userList(app);
+        if (migrated.length) app.users = migrated;
+    }
+    return app;
+}
+function findUser(app, name) {
+    const n = String(name || '').trim().toLowerCase();
+    if (n === '') return null;
+    return userList(app).find((u) => String(u.name).toLowerCase() === n) || null;
+}
+function userById(app, id) {
+    return userList(app).find((u) => u.id === id) || null;
+}
+function verifyUserPassword(user, password) {
+    return !!user && verifyPassword(password, user.password);
+}
+function adminCount(app) {
+    return userList(app).filter((u) => u.role === 'admin' && !u.disabled).length;
+}
+
 // Claves VAPID (P-256) en el formato que espera web-push (base64url).
 function genVapid() {
     const webpush = require('web-push');
@@ -101,8 +170,9 @@ function genVapid() {
 }
 
 module.exports = {
-    DEFAULT_BRIDGE, DEFAULT_APP,
+    DEFAULT_BRIDGE, DEFAULT_APP, USER_ROLES,
     readBridge, writeBridge, readApp, writeApp,
     randomToken, hashPassword, verifyPassword, genVapid,
+    userValidName, makeUser, userList, normalizeApp, findUser, userById, verifyUserPassword, adminCount,
     readJsonFile, writeJsonFile,
 };

package/src/web/assets/app.js

@@ -3,6 +3,8 @@
 var CFG = window.APP_CONFIG || {};
 var CSRF = CFG.csrf || '';
 var INITIAL_SESSION = typeof CFG.initialSession === 'number' ? CFG.initialSession : null;
+var IS_ADMIN = String(CFG.userRole || 'user') === 'admin';
+function isAdmin() { return IS_ADMIN; }
 
 var els = {
     body: document.body,
@@ -87,6 +89,12 @@ var els = {
     btnCancel: document.getElementById('btnCancel'),
 };
 
+// Marca visual del usuario actual (admin en color de acento).
+(function () {
+    var ub = document.getElementById('userBadge');
+    if (ub) ub.classList.toggle('admin', IS_ADMIN);
+})();
+
 var ONLINE_MAX_AGE_MS = 60000;
 var PROC_TIMEOUT_MS = 45000;
 var POLL_BASE_MS = 4000;   // refresco pasivo (sin nada pendiente)
@@ -1264,7 +1272,7 @@ function renderHome(sessions) {
                     + '<div class="cmeta">' + busy + esc(s.model || 'sin modelo') + ' · ' + esc(s.agent || 'build') + '</div>'
                     + (s.preview ? '<div class="cpreview">' + prev + '</div>' : '')
                     + '</div>'
-                    + '<button type="button" class="kebab" aria-label="Opciones" title="Opciones">⋮</button>'
+                    + (isAdmin() ? '<button type="button" class="kebab" aria-label="Opciones" title="Opciones">⋮</button>' : '')
                     + '</div>';
             }
             html += '</div>';
@@ -1643,13 +1651,13 @@ function onMsgScroll() {
 // reemplaza solo ese nodo; lo demás no se toca.
 function msgSig(m) {
     return (m.status || '') + '|' + (m.text || '').length + '|' + (m.reasoning || '').length
-        + '|' + (m.canceled ? 1 : 0) + '|' + (m.agent || '') + '|' + (m.img ? m.img.length : 0);
+        + '|' + (m.canceled ? 1 : 0) + '|' + (m.agent || '') + '|' + (m.author || '') + '|' + (m.img ? m.img.length : 0);
 }
 
 function msgNodeHtml(m, chatQuery) {
     var cls = m.role === 'user' ? 'mine' : 'theirs';
     if (m.status === 'canceled') cls += ' canceled';
-    var who = m.role === 'user' ? '❯ vos' : '● Agente';
+    var who = m.role === 'user' ? '❯ ' + esc(m.author || 'vos') : '● Agente';
     if (m.agent === 'plan') cls += ' plan';
     var agentBadge = m.agent ? ' <span class="abadge ' + esc(m.agent) + '">' + esc(m.agent) + '</span>' : '';
     var stopBadge = m.canceled ? ' <span class="stopbadge">⏹ detenido</span>' : '';
@@ -3046,7 +3054,7 @@ async function loadChanges(folder) {
     }
     var list = '<div class="chg-files">';
     for (var i = 0; i < files.length; i++) {
-        var rev = files[i].status !== '??'
+        var rev = (isAdmin() && files[i].status !== '??')
             ? '<button type="button" class="chg-rev" data-path="' + esc(files[i].path) + '" title="Revertir este archivo" aria-label="Revertir este archivo">↩</button>'
             : '';
         list += '<div class="chg-row"><span class="chg-st ' + chgStatusClass(files[i].status) + '">' + esc(files[i].status) + '</span>'
@@ -3054,7 +3062,7 @@ async function loadChanges(folder) {
     }
     list += '</div>';
     var tracked = files.some(function (f) { return f.status !== '??'; });
-    var toolbar = tracked
+    var toolbar = (isAdmin() && tracked)
         ? '<div class="files-toolbar"><button type="button" class="linkbtn" id="chgRevert">↩ revertir cambios rastreados</button></div>'
         : '';
     els.viewChanges.innerHTML = changesHead(folder, status.branch) + toolbar + list + '<div class="placeholder">cargando diff…</div>';
@@ -3075,6 +3083,7 @@ async function loadChanges(folder) {
 // Sirve para un archivo puntual (boton de la fila) o para todos.
 if (els.viewChanges) {
     els.viewChanges.addEventListener('click', function (e) {
+        if (!isAdmin()) return;
         var folder = changesFolder();
         if (!folder) return;
         var one = e.target.closest('.chg-rev');
@@ -3397,21 +3406,26 @@ function renderPreviewView() {
     }
     els.viewPreview.innerHTML = '<div class="view-head"><h2>vista previa</h2>'
         + '<div class="view-sub">túneles del proyecto (TunnelMole, corren en tu PC)</div></div>'
-        + '<div class="tunnel-form">'
-        + '<input type="text" id="tunnelPort" inputmode="numeric" placeholder="puerto (ej: 8080)" value="' + esc(state.previewPort) + '" autocomplete="off">'
-        + '<button type="button" class="linkbtn" id="tunnelStart">abrir túnel</button>'
-        + '</div>'
+        + (isAdmin()
+            ? '<div class="tunnel-form">'
+                + '<input type="text" id="tunnelPort" inputmode="numeric" placeholder="puerto (ej: 8080)" value="' + esc(state.previewPort) + '" autocomplete="off">'
+                + '<button type="button" class="linkbtn" id="tunnelStart">abrir túnel</button>'
+                + '</div>'
+            : '')
         + '<div class="tnote-sec" style="margin:0 0 12px">los túneles son públicos en internet y viven mientras el puente esté corriendo · cerrálos al terminar</div>'
         + '<div id="tunnelList"></div>';
     var portInput = document.getElementById('tunnelPort');
-    portInput.addEventListener('input', function () {
-        state.previewPort = portInput.value.replace(/[^0-9]/g, '');
-        portInput.value = state.previewPort;
-    });
-    portInput.addEventListener('keydown', function (e) {
-        if (e.key === 'Enter') { e.preventDefault(); startTunnel(); }
-    });
-    document.getElementById('tunnelStart').addEventListener('click', startTunnel);
+    if (portInput) {
+        portInput.addEventListener('input', function () {
+            state.previewPort = portInput.value.replace(/[^0-9]/g, '');
+            portInput.value = state.previewPort;
+        });
+        portInput.addEventListener('keydown', function (e) {
+            if (e.key === 'Enter') { e.preventDefault(); startTunnel(); }
+        });
+        var tunStartBtn = document.getElementById('tunnelStart');
+        if (tunStartBtn) tunStartBtn.addEventListener('click', startTunnel);
+    }
     renderTunnels();
     refreshTunnels();
 }
@@ -3428,7 +3442,8 @@ function renderTunnels(busyMsg) {
             + '<div class="thead"><span class="dot"' + (ready ? '' : ' style="background:var(--muted)"') + '></span>'
             + '<b>puerto ' + esc(t.port) + '</b>'
             + '<span class="tnote">' + (ready ? 'activo' : 'levantando…') + '</span>'
-            + '<button type="button" class="linkbtn" data-tstop="' + esc(t.port) + '">cerrar túnel</button></div>'
+            + (isAdmin() ? '<button type="button" class="linkbtn" data-tstop="' + esc(t.port) + '">cerrar túnel</button>' : '')
+            + '</div>'
             + (t.https ? '<div class="turl"><a href="' + esc(t.https) + '" target="_blank" rel="noopener noreferrer">' + esc(t.https) + '</a>'
                 + '<button type="button" class="copybtn" data-tcopy="' + esc(t.https) + '" title="Copiar URL">⧉</button></div>' : '')
             + (t.http && t.http !== t.https ? '<div class="turl"><a href="' + esc(t.http) + '" target="_blank" rel="noopener noreferrer">' + esc(t.http) + '</a>'
@@ -3588,6 +3603,7 @@ function enterProcsView() {
 }
 
 function renderProcView(folder) {
+    var admin = isAdmin();
     els.viewProcs.innerHTML =
         '<div class="pp-head"><b>procesos</b><span class="pp-sub">' + esc(sessionProcLabel(folder)) + '</span>'
         + (state.currentId !== null ? '<button type="button" class="linkbtn pp-back" id="ppBack">← volver al chat</button>' : '')
@@ -3595,35 +3611,42 @@ function renderProcView(folder) {
         + '<div class="pp-status" id="procStatus"></div>'
         + '<div id="ppPortWarn"></div>'
         + '<pre id="procLog"><span class="pl-empty">sin salida todavía</span></pre>'
-        + '<div class="pp-tunnel">'
-        + '<div class="pp-tunhead">compartir por túnel (tunnelmole, corre en tu PC)</div>'
-        + '<div class="pp-tunform"><input type="text" id="ppTunPort" inputmode="numeric" placeholder="puerto (ej: 3000)" autocomplete="off">'
-        + '<button type="button" class="linkbtn" id="ppTunStart">abrir túnel</button></div>'
-        + '<div id="ppTunList"></div>'
-        + '</div>'
-        + '<div class="pp-chips" id="procChips"></div>'
-        + '<div class="pp-form"><input type="text" id="procCmdInput" placeholder="npm run dev · node server.js …" autocomplete="off">'
-        + '<button type="button" class="linkbtn" id="procStartBtn">iniciar</button></div>';
+        + (admin ? '<div class="pp-tunnel">'
+            + '<div class="pp-tunhead">compartir por túnel (tunnelmole, corre en tu PC)</div>'
+            + '<div class="pp-tunform"><input type="text" id="ppTunPort" inputmode="numeric" placeholder="puerto (ej: 3000)" autocomplete="off">'
+            + '<button type="button" class="linkbtn" id="ppTunStart">abrir túnel</button></div>'
+            + '<div id="ppTunList"></div>'
+            + '</div>' : '')
+        + (admin ? '<div class="pp-chips" id="procChips"></div>' : '')
+        + (admin ? '<div class="pp-form"><input type="text" id="procCmdInput" placeholder="npm run dev · node server.js …" autocomplete="off">'
+            + '<button type="button" class="linkbtn" id="procStartBtn">iniciar</button></div>' : '')
+        + (!admin ? '<div class="placeholder">solo un admin puede iniciar procesos o túneles.</div>' : '');
     var back = document.getElementById('ppBack');
     if (back) back.addEventListener('click', function () { showView('chat'); });
     var inp = document.getElementById('procCmdInput');
-    inp.value = procState.input || '';
-    inp.addEventListener('input', function () { procState.input = inp.value; });
-    inp.addEventListener('keydown', function (e) {
-        if (e.key === 'Enter') { e.preventDefault(); startSessionProc(); }
-    });
-    document.getElementById('procStartBtn').addEventListener('click', startSessionProc);
+    if (inp) {
+        inp.value = procState.input || '';
+        inp.addEventListener('input', function () { procState.input = inp.value; });
+        inp.addEventListener('keydown', function (e) {
+            if (e.key === 'Enter') { e.preventDefault(); startSessionProc(); }
+        });
+    }
+    var startBtn = document.getElementById('procStartBtn');
+    if (startBtn) startBtn.addEventListener('click', startSessionProc);
     var tunPort = document.getElementById('ppTunPort');
-    tunPort.value = procState.detectedPort || '';
-    tunPort.addEventListener('input', function () {
-        tunPort.value = tunPort.value.replace(/[^0-9]/g, '');
-        if (tunPort.value) state.previewPort = tunPort.value;
-    });
-    tunPort.addEventListener('keydown', function (e) {
-        if (e.key === 'Enter') { e.preventDefault(); panelStartTunnel(); }
-    });
-    document.getElementById('ppTunStart').addEventListener('click', panelStartTunnel);
-    buildProcChips();
+    if (tunPort) {
+        tunPort.value = procState.detectedPort || '';
+        tunPort.addEventListener('input', function () {
+            tunPort.value = tunPort.value.replace(/[^0-9]/g, '');
+            if (tunPort.value) state.previewPort = tunPort.value;
+        });
+        tunPort.addEventListener('keydown', function (e) {
+            if (e.key === 'Enter') { e.preventDefault(); panelStartTunnel(); }
+        });
+    }
+    var tunStart = document.getElementById('ppTunStart');
+    if (tunStart) tunStart.addEventListener('click', panelStartTunnel);
+    if (admin) buildProcChips();
     procLogBox = document.getElementById('procLog');
     renderProcStatus();
     renderPortWarn();
@@ -3908,7 +3931,8 @@ function renderProcTunnels(busyMsg) {
         var ready = !!(t.https || t.http);
         html += '<div class="tunnel"><div class="thead"><span class="dot"' + (ready ? '' : ' style="background:var(--muted)"') + '></span>'
             + '<b>puerto ' + esc(t.port) + '</b><span class="tnote">' + (ready ? 'activo' : 'levantando…') + '</span>'
-            + '<button type="button" class="linkbtn" data-ptstop="' + esc(t.port) + '">cerrar</button></div>'
+            + (isAdmin() ? '<button type="button" class="linkbtn" data-ptstop="' + esc(t.port) + '">cerrar</button>' : '')
+            + '</div>'
             + (t.https ? '<div class="turl"><a href="' + esc(t.https) + '" target="_blank" rel="noopener noreferrer">' + esc(t.https) + '</a>'
                 + '<button type="button" class="copybtn" data-ptcopy="' + esc(t.https) + '" title="Copiar URL">⧉</button></div>' : '')
             + (t.http && t.http !== t.https ? '<div class="turl"><a href="' + esc(t.http) + '" target="_blank" rel="noopener noreferrer">' + esc(t.http) + '</a>'

package/src/web/assets/manifest.webmanifest

@@ -1,6 +1,8 @@
 {
   "name": "OpenBridge",
   "short_name": "OpenBridge",
+  "id": "/",
+  "lang": "es",
   "description": "Chat con tu IA en el PC (opencode)",
   "start_url": "./chat.php",
   "scope": "./",

package/src/web/assets/sw.js

@@ -6,7 +6,7 @@
  */
 'use strict';
 
-const CACHE = 'openbridge-v3';
+const CACHE = 'openbridge-v4';
 
 self.addEventListener('install', () => self.skipWaiting());
 self.addEventListener('activate', (event) => {

package/src/web/routes.js

@@ -18,6 +18,15 @@ const jsonfile = require('../store/jsonfile');
 
 const TEMPLATES = path.join(__dirname, 'templates');
 
+// Hash dummy para igualar el costo de scrypt cuando el usuario no existe (evita
+// filtrar si un nombre esta registrado por diferencias de tiempo).
+const DUMMY_HASH = { algo: 'scrypt', salt: '00000000000000000000000000000000', hash: '00'.repeat(64), keylen: 64 };
+
+// Acciones que solo puede hacer un admin.
+const ADMIN_ONLY_ACTIONS = new Set(['session_delete']);
+// Comandos del puente que mutan algo (procesos, tuneles, revertir).
+const OC_MUTATING = new Set(['proc_start', 'proc_stop', 'tunnel_start', 'tunnel_stop', 'git_checkout']);
+
 async function renderTpl(name, vars) {
     const tpl = await fsp.readFile(path.join(TEMPLATES, name), 'utf8');
     return tpl.replace(/\{\{([A-Z_]+)\}\}/g, (m, k) => (
@@ -59,6 +68,12 @@ async function loginCsrf(req, res) {
     return csrf;
 }
 
+// Ultimo usuario logueado (para prellenar el campo en el login).
+function lastUser(req) {
+    const cookies = auth.parseCookies(req.headers.cookie);
+    return String(cookies['ob_lastuser'] || '').replace(/[^A-Za-z0-9._-]/g, '').slice(0, 32);
+}
+
 async function handleLoginPage({ app, req, res, query }) {
     if (auth.readSession(app, req)) {
         res.writeHead(302, { Location: 'chat.php' });
@@ -71,6 +86,7 @@ async function handleLoginPage({ app, req, res, query }) {
         THEMES_JSON: JSON.stringify(store.themesIndex()),
         ERROR_BLOCK: '',
         CSRF: csrf,
+        USER_PREFILL: lastUser(req),
     });
     res.writeHead(200, { 'Content-Type': 'text/html; charset=utf-8', 'Cache-Control': 'no-cache' });
     res.end(html);
@@ -87,25 +103,34 @@ async function handleLogin({ app, req, res, query, form }) {
             THEMES_JSON: JSON.stringify(store.themesIndex()),
             ERROR_BLOCK: '<div class="error">\u26a0 ' + msg.replace(/[<>&]/g, (c) => ({ '<': '&lt;', '>': '&gt;', '&': '&amp;' }[c])) + '</div>',
             CSRF: csrf,
+            USER_PREFILL: lastUser(req) || String(form.username || '').replace(/[^A-Za-z0-9._-]/g, '').slice(0, 32),
         });
         res.writeHead(200, { 'Content-Type': 'text/html; charset=utf-8', 'Cache-Control': 'no-cache' });
         res.end(html);
     };
     if (!csrfOk) return renderError('Sesion expirada, recarga la pagina.');
-    const locked = auth.loginLockRemaining(req);
+    const username = String(form.username || '').trim();
+    const locked = auth.loginLockRemaining(req, username);
     if (locked > 0) {
         const mins = Math.max(1, Math.ceil(locked / 60));
         return renderError('Demasiados intentos fallidos. Proba de nuevo en ' + mins + ' min.');
     }
     const password = String(form.password || '');
-    if (config.verifyPassword(password, app.password)) {
-        auth.loginClear(req);
-        auth.startSession(app, req, res, app.username);
+    const user = config.findUser(app, username);
+    const passOk = config.verifyUserPassword(user, password);
+    if (!user) config.verifyPassword(password, DUMMY_HASH); // mismo costo si no existe
+    if (user && !user.disabled && passOk) {
+        auth.loginClear(req, username);
+        auth.startSession(app, req, res, user);
+        const prev = res.getHeader('Set-Cookie');
+        const jar = Array.isArray(prev) ? prev.slice() : (prev ? [prev] : []);
+        jar.push(auth.serializeCookie('ob_lastuser', user.name, req, 60 * 60 * 24 * 365));
+        res.setHeader('Set-Cookie', jar);
         res.writeHead(302, { Location: 'chat.php' });
         return res.end();
     }
-    auth.loginRecordFailure(req);
-    return renderError('Contrasena incorrecta.');
+    auth.loginRecordFailure(req, username);
+    return renderError('Usuario o contrasena incorrectos.');
 }
 
 async function handleChat({ app, req, res, query }) {
@@ -122,6 +147,8 @@ async function handleChat({ app, req, res, query }) {
     const html = await renderTpl('chat.html', {
         THEME: pickTheme(req, query, known),
         CSRF: session.c,
+        USER_NAME: session.name,
+        USER_ROLE: session.role,
         INITIAL_SESSION: initial > 0 ? String(initial) : 'null',
         THEMES_JSON: JSON.stringify(store.themesIndex()),
         SSE_DISABLED: 'false',
@@ -259,8 +286,9 @@ async function handleApi(ctx) {
             return ok({ ok: true, session: await store.getSession(id) });
         }
         case 'session_delete': {
-            if (!auth.requireLogin(app, req, res)) return;
-            if (!auth.requireCsrf(app, req, res)) return;
+            const s = auth.requireCsrf(app, req, res);
+            if (!s) return;
+            if (s.role !== 'admin') return ok({ ok: false, error: 'Permiso insuficiente' }, 403);
             const id = parseInt(body.id, 10) || 0;
             if (id <= 0) return ok({ ok: false, error: 'id invalido' }, 400);
             await store.deleteSession(id);
@@ -339,8 +367,8 @@ async function handleApi(ctx) {
             return ok({ ok: true, cancel: false });
         }
         case 'send': {
-            if (!auth.requireLogin(app, req, res)) return;
-            if (!auth.requireCsrf(app, req, res)) return;
+            const s = auth.requireCsrf(app, req, res);
+            if (!s) return;
             const sid = parseInt(body.session, 10) || 0;
             const sess = sid > 0 ? await store.getSession(sid) : null;
             if (!sess) return ok({ ok: false, error: 'Sesion no encontrada' }, 404);
@@ -352,7 +380,7 @@ async function handleApi(ctx) {
             }
             if (text === '' && img === '') return ok({ ok: false, error: 'Mensaje vacio' }, 400);
             if (Array.from(text).length > 10000) return ok({ ok: false, error: 'Mensaje demasiado largo' }, 400);
-            const extra = { agent: String(sess.agent || 'build') };
+            const extra = { agent: String(sess.agent || 'build'), author: s.name };
             if (img !== '') extra.img = img;
             const id = await store.addMessage(sid, 'user', text, 'pending', extra);
             if (store.sessionHasDefaultName(sess)) {
@@ -652,11 +680,13 @@ async function handleApi(ctx) {
             let aid = null;
             const found = await store.messagesUpdate(sid, (data) => {
                 let msgFound = false;
+                let author = '';
                 for (const msg of data.messages) {
                     if (parseInt(msg.id, 10) === userId) {
                         msg.status = 'done';
                         msg.answered_ts = store.nowIso();
                         delete msg.cancel_requested;
+                        if (typeof msg.author === 'string') author = msg.author;
                         msgFound = true;
                         break;
                     }
@@ -677,6 +707,7 @@ async function handleApi(ctx) {
                     if (reasoning !== '') m.reasoning = reasoning; else delete m.reasoning;
                     if (canceled) m.canceled = true; else delete m.canceled;
                     if (!m.agent) m.agent = store.messageAgentOf(data, userId, (sess && sess.agent) || '');
+                    if (author && !m.author) m.author = author;
                     delete m.draft_for;
                 } else {
                     aid = data.nextId;
@@ -684,6 +715,7 @@ async function handleApi(ctx) {
                     const nm = { id: aid, role: 'assistant', text, ts: store.nowIso(), status: 'done', agent: store.messageAgentOf(data, userId, (sess && sess.agent) || '') };
                     if (reasoning !== '') nm.reasoning = reasoning;
                     if (canceled) nm.canceled = true;
+                    if (author) nm.author = author;
                     data.messages.push(nm);
                 }
             });
@@ -723,13 +755,14 @@ async function handleApi(ctx) {
             return ok({ ok: true, path: rel, size, mtime: Math.floor(st.mtimeMs / 1000), kind: 'text', content });
         }
         case 'run_oc': {
-            if (!auth.requireLogin(app, req, res)) return;
-            if (!auth.requireCsrf(app, req, res)) return;
+            const s = auth.requireCsrf(app, req, res);
+            if (!s) return;
             const bridge = bodyBridge(req, query, body) || await webBridge(req, query);
             const file = paths.bridgeCatalogFile(bridge);
             const cmd = String(body.cmd || '').toLowerCase().replace(/[^a-z_]/g, '');
             const args = Array.isArray(body.args) ? body.args : [];
             if (!Object.prototype.hasOwnProperty.call(OC_ALLOWED, cmd)) return ok({ ok: false, error: 'Comando no permitido' }, 400);
+            if (OC_MUTATING.has(cmd) && s.role !== 'admin') return ok({ ok: false, error: 'Permiso insuficiente' }, 403);
             const spec = OC_ALLOWED[cmd];
             const cleanArgs = [];
             for (let i = 0; i < args.length; i++) {

package/src/web/server.js

@@ -70,6 +70,13 @@ function securityHeaders(res) {
     res.setHeader('X-Content-Type-Options', 'nosniff');
     res.setHeader('Referrer-Policy', 'no-referrer');
     res.setHeader('X-Frame-Options', 'DENY');
+    // La app usa scripts/estilos inline (templates) y data: para imagenes
+    // adjuntas. Igual bloquea origenes externos, frames y objetos.
+    res.setHeader('Content-Security-Policy',
+        "default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline'; "
+        + "script-src 'self' 'unsafe-inline'; connect-src 'self'; worker-src 'self'; "
+        + "manifest-src 'self'; object-src 'none'; base-uri 'none'; "
+        + "frame-ancestors 'none'; form-action 'self'");
 }
 
 async function handle(app, req, res) {

package/src/web/templates/chat.html

@@ -280,6 +280,11 @@
             text-align: center;
             border: 1px solid var(--border);
         }
+        #sidebar .footer .userbadge {
+            flex: 1; min-width: 0; overflow: hidden; text-overflow: ellipsis; white-space: nowrap;
+            color: var(--muted); font-size: 12px;
+        }
+        #sidebar .footer .userbadge.admin { color: var(--accent); }
         #scrim {
             display: none;
             position: fixed; inset: 0;
@@ -1204,7 +1209,10 @@
                 <span class="dot" id="bridgeDot"></span>
                 <span id="bridgeStatusText">puente: desconocido</span>
             </div>
-            <a class="logout" href="logout.php">salir</a>
+            <div class="row">
+                <span class="userbadge" id="userBadge" title="sesión actual">{{USER_NAME}}</span>
+                <a class="logout" href="logout.php">salir</a>
+            </div>
         </div>
         <div class="resizer" id="sbResizer" title="Arrastrá para ajustar · doble clic para restablecer"></div>
     </aside>
@@ -1344,7 +1352,9 @@
             themes: {{THEMES_JSON}},
             sseDisabled: {{SSE_DISABLED}},
             pushEnabled: {{PUSH_ENABLED}},
-            pushKey: "{{PUSH_KEY}}"
+            pushKey: "{{PUSH_KEY}}",
+            userName: "{{USER_NAME}}",
+            userRole: "{{USER_ROLE}}"
         };
     </script>
     <script src="app.js?v={{APPJS_VER}}" defer></script>

package/src/web/templates/login.html

@@ -111,7 +111,11 @@
         <input type="hidden" name="csrf" value="{{CSRF}}">
         <label class="field">
             <span class="prompt">❯</span>
-            <input type="password" id="password" name="password" placeholder="contraseña" required autofocus autocomplete="current-password">
+            <input type="text" id="username" name="username" placeholder="usuario" required autofocus autocomplete="username" value="{{USER_PREFILL}}">
+        </label>
+        <label class="field">
+            <span class="prompt">❯</span>
+            <input type="password" id="password" name="password" placeholder="contraseña" required autocomplete="current-password">
             <button type="button" class="peek" id="btnPeek" aria-label="Mostrar u ocultar contraseña" tabindex="-1">👁</button>
         </label>
         <label class="keep" for="keep">