@dotrino/identity 0.56.0 → 0.58.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.56.0",
+  "version": "0.58.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -53,10 +53,15 @@ const ACTA_LEIBLES = Object.freeze([1, 2])
  * el rol de master, que no se delega. Así un dispositivo con `admin` robado hace daño
  * acotado y **reversible** (se le revoca), en vez de poder dejarte fuera de tu cuenta.
  */
-export const CAPS = Object.freeze(['sign', 'store', 'read', 'secrets', 'admin'])
+export const CAPS = Object.freeze(['sign', 'store', 'read', 'secrets', 'admin', 'approve'])
 
 /** Capacidades de un DISPOSITIVO (sin CN): acceso a todo lo del usuario. */
-export const DEVICE_CAPS = Object.freeze(['sign', 'store', 'read', 'admin'])
+/**
+ * `approve` es el aparato que APRUEBA: cuando un cajón exige aprobación por uso, el
+ * vault le avisa y solo su firma libera los secretos (normalmente el teléfono). Como
+ * `admin`, no viaja en un QR: se concede a mano (`dotrino-vault caps <ID> +approve`).
+ */
+export const DEVICE_CAPS = Object.freeze(['sign', 'store', 'read', 'admin', 'approve'])
 
 /**
  * Lo que recibe un dispositivo recién emparejado. `admin` **no está**: no se
@@ -68,6 +73,12 @@ export const PAIRED_CAPS = Object.freeze(['sign', 'store', 'read'])
 /** Capacidades de un SERVICIO (con CN): solo su propio cajón de secretos. */
 export const SERVICE_CAPS = Object.freeze(['secrets'])
 
+/**
+ * Qué capacidades puede llevar un miembro según tenga cajón (CN) o no. Con CN: su cajón
+ * y, si se le conceden, las de aparato. Sin CN: solo las de aparato (no hay cajón que abrir).
+ */
+export const allowedCaps = (cn) => (cn ? [...SERVICE_CAPS, ...DEVICE_CAPS] : [...DEVICE_CAPS])
+
 /** Un CN válido: minúsculas, números y guiones (igual que el namespace de secretos). */
 export const isValidCn = (cn) => typeof cn === 'string' && /^[a-z0-9-]{1,32}$/.test(cn)
 
@@ -81,12 +92,13 @@ export function capScope (cap, cn = null) {
   if (cap === 'store') return 'vault:store'
   if (cap === 'read') return 'vault:read'
   if (cap === 'admin') return 'vault:admin'
+  if (cap === 'approve') return 'vault:approve'
   if (cap === 'secrets') return isValidCn(cn) ? 'vault:secrets:' + cn : null
   return null
 }
 
 /** Compat: el mapa directo, para las capacidades de dispositivo. */
-export const CAP_SCOPE = Object.freeze({ sign: 'vault:sign', store: 'vault:store', read: 'vault:read', admin: 'vault:admin' })
+export const CAP_SCOPE = Object.freeze({ sign: 'vault:sign', store: 'vault:store', read: 'vault:read', admin: 'vault:admin', approve: 'vault:approve' })
 
 const enc = (s) => new TextEncoder().encode(s)
 const hex = (buf) => [...new Uint8Array(buf)].map((b) => b.toString(16).padStart(2, '0')).join('')
@@ -178,7 +190,6 @@ export function checkShape (acta) {
     // mezcle las dos cosas es lo que hace que el límite sea real y no una costumbre.
     if (m.cn != null) {
       if (!isValidCn(m.cn)) return 'cn-invalido'
-      if (m.caps.some((c) => !SERVICE_CAPS.includes(c))) return 'servicio-con-capacidades-de-dispositivo'
     } else if (m.caps.includes('secrets')) {
       return 'secretos-sin-cn'
     }
@@ -306,8 +317,10 @@ export async function applyChanges (acta, changes, { by, now = Date.now(), sealP
           encPub: m.encPub || null,
           label: String(m.label || '').slice(0, 60),
           cn,
-          // Un servicio (con CN) solo puede tener `secrets`; un dispositivo, las otras tres.
-          caps: cleanCaps(m.caps).filter((c) => (cn ? SERVICE_CAPS : DEVICE_CAPS).includes(c)),
+          // PERMISOS, no tipos (2026-08-22): el CN dice qué cajón abre; no recorta lo demás.
+          // Un miembro con CN puede llevar además las capacidades de aparato (un bot que
+          // firma como aparato del acta Y lee su cajón). Sin CN, `secrets` no significa nada.
+          caps: cleanCaps(m.caps).filter((c) => allowedCaps(cn).includes(c)),
           addedAt: now,
           cert: m.cert || null,
           // Puente con la identidad que este miembro traía de antes (ver makeContinuity).
@@ -331,9 +344,9 @@ export async function applyChanges (acta, changes, { by, now = Date.now(), sealP
       case 'caps': {
         const m = find(ch.pub)
         if (!m) throw new Error('caps: that member is not in the record')
-        // No se puede ascender un servicio a dispositivo cambiándole las capacidades: para
-        // eso hay que sacarlo y volver a admitirlo, que es un gesto visible.
-        m.caps = cleanCaps(ch.caps).filter((c) => (m.cn ? SERVICE_CAPS : DEVICE_CAPS).includes(c))
+        // El CN no cambia por aquí (quitar el cajón es sacar al miembro y volver a admitirlo,
+        // que es un gesto visible); las capacidades sí, dentro de lo que su CN permite.
+        m.caps = cleanCaps(ch.caps).filter((c) => allowedCaps(m.cn).includes(c))
         // CONCEDER LIMPIA LA RENUNCIA. `effectiveCaps` resta lo renunciado, así que sin
         // esto una renuncia sellada era IRREVERSIBLE: el master le devolvía el permiso en
         // `caps` y la resta seguía dejándolo fuera, para siempre. La interfaz promete

package/vault/vendor/vault/protocol.js

@@ -87,7 +87,8 @@ export const SCOPE = Object.freeze({
   // Consola remota (docs/consola-remota.md): admitir y expulsar miembros a distancia.
   // NO incluye cambiar permisos, traspasar el mando ni conceder `admin`: eso es el rol
   // de master y sigue siendo local. No se empareja — se concede desde el PC.
-  ADMIN: 'vault:admin'
+  ADMIN: 'vault:admin',
+  APPROVE: 'vault:approve' // aprobar pedidos de secretos (cajones con `approval`); se concede a mano, como admin
 })
 
 /**