@dotrino/identity 0.44.0 → 0.46.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.44.0",
+  "version": "0.46.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/core.js

@@ -479,6 +479,33 @@ export async function createIdentityCore ({ kv: rawKv, peers, makeSync = null, k
     return true
   }
 
+  /**
+   * QUITAR UN APARATO, entero y de una vez.
+   *
+   * Esto era media operación repetida en dos sitios, y cada mitad fallaba a su manera:
+   * la consola web sacaba al miembro del acta pero le dejaba los certificados vivos
+   * (seguía pudiendo entrar y firmar), y la pantalla del PC le retiraba los
+   * certificados pero lo dejaba dentro del acta (seguía apareciendo en la lista de la
+   * web, «un dispositivo que en la bóveda ya no existe»). Las dos caras del mismo acto
+   * van juntas o no van:
+   *
+   *   1. fuera del acta   → deja de ser miembro y deja de figurar en ninguna lista;
+   *   2. fuera los papeles → ningún certificado suyo sirve ya para entrar;
+   *   3. clave nueva      → no podrá abrir el contenido NUEVO. Lo que ya leyó no
+   *      vuelve: eso no se puede deshacer y no se promete.
+   */
+  async function removeDevice (pub) {
+    if (!pub || typeof pub !== 'string') throw new Error('pub (device pubkey) required')
+    // Si no es miembro (papeles de antes de que existiera el acta), no es un error: se
+    // le quitan igual los certificados, que es lo que de verdad le abría la puerta.
+    const isMember = (loadActa().members || []).some((m) => m.pub === pub)
+    const acta = isMember ? await sealChanges([{ op: 'remove', pub }]) : loadActa()
+    const nonces = revokePriorCertsFor(pub, null)
+    let rotated = null
+    try { rotated = await rotateCek() } catch (_) {}
+    return { ok: true, seq: acta.seq, nonces, rotated, revokedAt: Date.now() }
+  }
+
   /** Rota la clave: generación nueva envuelta SOLO a los miembros actuales. */
   async function rotateCek () {
     const acta = loadActa()
@@ -1099,8 +1126,7 @@ export async function createIdentityCore ({ kv: rawKv, peers, makeSync = null, k
      */
     async revokeDevice ({ sub }) {
       if (!sub || typeof sub !== 'string') throw new Error('sub (device pubkey) required')
-      const nonces = revokePriorCertsFor(sub, null)
-      return { ok: true, nonces, revokedAt: Date.now() }
+      return removeDevice(sub)
     },
 
     async revokeDelegation ({ nonce }) {
@@ -1288,12 +1314,7 @@ export async function createIdentityCore ({ kv: rawKv, peers, makeSync = null, k
     },
 
     async removeMember ({ pub } = {}) {
-      const acta = await sealChanges([{ op: 'remove', pub }])
-      // Expulsar rota la clave: el que sale no podrá abrir el contenido NUEVO. Lo que ya
-      // leyó no vuelve — eso no se puede deshacer y no se promete.
-      let rotated = null
-      try { rotated = await rotateCek() } catch (_) {}
-      return { ok: true, seq: acta.seq, rotated }
+      return removeDevice(pub)
     },
 
     /**

package/vault/remote.js

@@ -45,10 +45,17 @@ export { MSG as VAULT_MSG }
  * un `vault.error` con la palabra «revocado» no borra nada (cierra el wipe-DoS, ver
  * `dotrino-vault/docs/pairing-protocol.md §2.3`).
  */
-export async function isAuthenticRevoke ({ body, signature, master, devicePubkey }) {
+export async function isAuthenticRevoke ({ body, signature, master, devicePubkey, currentNonce = null }) {
   if (!body || body.op !== 'revoke' || typeof signature !== 'string') return false
   if (body.sub !== devicePubkey) return false
   if (typeof body.exp === 'number' && Date.now() > body.exp) return false
+  // Y tiene que hablar del certificado que este aparato usa AHORA. Un certificado se
+  // retira también cuando NO pasa nada malo: renovar retira el anterior, y cambiar
+  // permisos obliga a renovar. Sin esta comprobación, el aviso de «tu papel viejo ya no
+  // vale» borraba el enlace con la bóveda entero: dabas «administra» a un aparato y el
+  // aparato desaparecía solo, como si lo hubieran echado. El proxy encola 24 h, así que
+  // el aviso puede llegar mucho después de haber renovado.
+  if (currentNonce && typeof body.nonce === 'string' && body.nonce !== currentNonce) return false
   return verifyDeviceSig({ publickey: master, data: body, signature })
 }
 
@@ -236,7 +243,7 @@ async function vaultRpc ({ master, proxy, device, cert, acta = null, sendType, o
       const off = client.on('message', (_f, p) => {
         if (!p || typeof p !== 'object') return
         if (p.type === MSG.REVOKED) {
-          isAuthenticRevoke({ body: p.body, signature: p.signature, master, devicePubkey: device.publickey })
+          isAuthenticRevoke({ body: p.body, signature: p.signature, master, devicePubkey: device.publickey, currentNonce: cert?.nonce || null })
             .then((ok) => { if (ok) { try { onRevoked?.() } catch (_) {} } })
             .catch(() => {})
           return