@dotrino/identity 0.63.0 → 0.65.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/identity",
-  "version": "0.63.0",
+  "version": "0.65.0",
   "description": "Identidad y rating de usuarios compartidos entre apps de Dotrino (vault iframe + postMessage)",
   "type": "module",
   "main": "src/index.js",

package/vault/acta.js

@@ -551,6 +551,29 @@ export function effectiveCaps (acta, pub, extraRenounces = []) {
  * ¿Puede este miembro leer el cajón de secretos `ns`? Solo si su CN es exactamente ése.
  * Es la frontera que pediste: la llave del proxy no ve nada más que lo del proxy.
  */
+/**
+ * ¿PUEDE ESTE MIEMBRO FIRMAR POR LA IDENTIDAD, Y QUÉ?
+ *
+ * Manda el acta, no el certificado (dueño, 2026-08-31). Y el matiz que hace falta decir en
+ * voz alta: `sign` **no** es «firma lo que quiera». Va enmascarado, igual que `secrets` lo
+ * va por el `cn` — *«puede firmar por identidad pero solo lo que permitan los permisos»*.
+ *
+ * Por qué existe con nombre propio en vez de un `memberCan(acta, pub, 'sign')` suelto: la
+ * regla se comprueba en DOS bóvedas (el daemon y la de navegador) y se comprobaba mal en
+ * las dos —miraban el papel—. Con un solo sitio, cuando el enmascarado crezca, crece una
+ * vez y las dos lo heredan.
+ *
+ * `ns` es opcional y es para lo que va atado a un cajón: un servicio (miembro con `cn`)
+ * solo firma dentro del suyo. Sin `ns`, se pregunta por la capacidad a secas.
+ */
+export function memberCanSign (acta, pub, ns = null) {
+  if (!memberCan(acta, pub, 'sign')) return false
+  if (ns == null) return true
+  const m = (acta?.members || []).find((x) => x.pub === pub)
+  // Un aparato tuyo (sin `cn`) firma como tú. Uno de servicio, solo lo de su cajón.
+  return !m?.cn || m.cn === ns
+}
+
 export function memberCanReadSecrets (acta, pub, ns) {
   const m = (acta?.members || []).find((x) => x.pub === pub)
   if (!m || !m.cn) return false
@@ -735,5 +758,5 @@ export default {
   sealActa, verifyActa, applyChanges, makeRenounce, verifyRenounce,
   makeContinuity, verifyContinuity,
   cardBody, makeProfileCard, verifyProfileCard, canAdoptCard, sealersOf, canSeal,
-  effectiveCaps, memberCan, memberCanReadSecrets, memberScopes, isService, capScope, isValidCn, canAdopt
+  effectiveCaps, memberCan, memberCanSign, memberCanReadSecrets, memberScopes, isService, capScope, isValidCn, canAdopt
 }

package/vault/capabilities.js

@@ -196,6 +196,25 @@ export async function signWithDevice ({ privateJwk, privateKey, publickey, data
  *   5) `nonce` no revocado (`revoked`: fn(nonce)→bool, Set o mapa).
  * @returns {{ok:boolean, reason?:string, iss?, sub?, scope?, iat?, exp?, nonce?}}
  */
+/**
+ * MARGEN DE RELOJ ENTRE DOS APARATOS. Sin esto, emparejar es una lotería.
+ *
+ * La bóveda sella el certificado con SU reloj (`iat`) y el aparato lo valida con el suyo.
+ * Con tolerancia cero, un aparato que vaya un pelo por detrás rechaza un certificado
+ * perfectamente bueno con `not-yet-valid` — y el usuario no ve un problema de hora, ve un
+ * emparejamiento que no funciona. Pasó de verdad (2026-08-31): un teléfono **850 ms** por
+ * detrás, medido, no podía enrolarse en ninguna bóveda.
+ *
+ * Dos minutos es generoso para un reloj a la deriva y no significa nada frente a un
+ * certificado que vale 30 días: aceptarlo dos minutos antes de tiempo no le abre la puerta
+ * a nadie, porque lo que autoriza es la FIRMA, no la hora.
+ *
+ * Es para comparar aparatos DISTINTOS. Donde el mismo operador controla los dos relojes
+ * —un servicio validando en la máquina que emite— el estricto sigue siendo lo correcto, y
+ * por eso el default de `verifyDelegation` no cambia.
+ */
+export const PEER_SKEW_MS = 120_000
+
 export async function verifyDelegation ({ cert, expectedScope, expectedSub, now = Date.now(), skewMs = 0, revoked } = {}) {
   if (!cert || typeof cert !== 'object') return { ok: false, reason: 'no-cert' }
   const { v, iss, sub, scope, iat, exp, nonce, sig } = cert

package/vault/remote.js

@@ -13,7 +13,7 @@
  * No reimplementa cripto: usa `@dotrino/identity/capabilities`. Transporte:
  * `@dotrino/proxy-client` (importado perezosamente; solo se carga al emparejar).
  */
-import { makeDeviceKey, signWithDevice, verifyDelegation, verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from './capabilities.js'
+import { makeDeviceKey, signWithDevice, verifyDelegation, verifyDeviceSig, makePairingCode, commitCode, pubkeyId, PEER_SKEW_MS } from './capabilities.js'
 
 const MSG = {
   HELLO: 'vault.hello',
@@ -208,7 +208,9 @@ export async function enrollDevice ({ qr, device, onChallenge, label = '', conti
     }
 
     // Validación estricta antes de guardar (cierra inyección de cert / sustitución de maestra).
-    const v = await verifyDelegation({ cert: res.cert, expectedSub: dev.publickey })
+    // `PEER_SKEW_MS`: el cert lo acaba de sellar la bóveda con SU reloj y lo valida ESTE
+    // aparato con el suyo. Sin margen, ir 850 ms por detrás bastaba para no poder enrolarse.
+    const v = await verifyDelegation({ cert: res.cert, expectedSub: dev.publickey, skewMs: PEER_SKEW_MS })
     if (!v.ok) throw new Error('invalid cert: ' + v.reason)
     if (res.cert.iss !== qr.iss) throw new Error('cert signed by a master key different from the one you saw')
     if (res.cert.sub !== dev.publickey) throw new Error('cert issued for a different device')