@dotrino/remote-agent 0.22.3 → 0.22.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/remote-agent",
-  "version": "0.22.3",
+  "version": "0.22.4",
   "description": "Middleware compartido del ecosistema Dotrino para apps de agente remoto cifrado punto a punto (handshake E2E, emparejamiento SAS con vault, revocación, descubrimiento). Lo consumen dotrino-terminal (PTY) y dotrino-ia (chat con IA).",
   "type": "module",
   "main": "./index.js",

package/protocol.js

@@ -33,6 +33,9 @@ export const VMSG = {
   ERROR: 'vault.error'
 }
 
+/** El proxio por defecto, cuando el enlace no trae uno. Única definición del paquete. */
+export const DEFAULT_PROXY = 'wss://proxy.dotrino.com'
+
 /** Scope del cert de dispositivo que autoriza a hablar con el agente. */
 export const SIGN_SCOPE = 'vault:sign'
 

package/src/agent.js

@@ -27,8 +27,8 @@ import { adoptRecord } from './record.js'
 import { installNodeGlobals } from '../node-globals.js'
 import { makeEphemeral, deriveKey, seal, open } from '../e2e.js'
 import { makeCatchUp } from './catch-up.js'
-import { HS, ACK, DATA, PING, PONG, ERROR, VMSG, SIGN_SCOPE, SESSION_TTL_MS, SESSION_GONE_MS, REVOKE_REFRESH_MS } from '../protocol.js'
-import { loadLink, saveLink, dataDir } from './link.js'
+import { HS, ACK, DATA, PING, PONG, ERROR, VMSG, SIGN_SCOPE, SESSION_TTL_MS, SESSION_GONE_MS, REVOKE_REFRESH_MS, DEFAULT_PROXY } from '../protocol.js'
+import { loadLink, saveLink, dataDir, renewalReason, storeRenewedCert } from './link.js'
 
 /** Sesión cifrada con un dispositivo cliente. La app recibe esto en `onSession`. */
 export class AgentSession {
@@ -142,7 +142,7 @@ export async function startRemoteAgent (opts = {}) {
   const sessions = new Map()
   const hasSessionFrom = (token) => { for (const s of sessions.values()) if (s.from === token) return true; return false }
 
-  const proxyUrl = opts.proxyUrl || process.env.PROXY_URL || link.proxy || 'wss://proxy.dotrino.com'
+  const proxyUrl = opts.proxyUrl || process.env.PROXY_URL || link.proxy || DEFAULT_PROXY
   // `client` inyectado: solo para las pruebas (transporte de mentira). En producción se
   // levanta el del ecosistema — no hay otro transporte.
   const client = opts.client || await (async () => {
@@ -264,16 +264,8 @@ export async function startRemoteAgent (opts = {}) {
    * que una segunda bóveda pueda emitir; lo que se fija es el perfil.
    */
   async function renewCertIfNeeded () {
-    // DOS MOTIVOS PARA PEDIR PAPEL NUEVO:
-    //   · el nuestro es del MODELO VIEJO (lleva `exp` y no `seq`). Ese hay que cambiarlo sí
-    //     o sí: se acepta por el repliegue de migración, pero muere en su fecha y con él la
-    //     máquina. Sin esta rama la migración no terminaba nunca — el disparador comparaba
-    //     `seq` y un papel viejo no tiene, así que nunca saltaba.
-    //   · o el acta que hemos visto va por delante del papel: el dueño cambió permisos.
-    const legacy = typeof link.cert?.seq !== 'number'
-    const seenSeq = link.actaSeq
-    const behind = typeof seenSeq === 'number' && typeof link.cert?.seq === 'number' && seenSeq > link.cert.seq
-    if (!legacy && !behind) return
+    // La regla de cuándo toca (papel del modelo viejo, o acta por delante) es UNA, en link.js.
+    if (!renewalReason(link)) return
     try {
       const res = await vaultRpc(VMSG.RENEW, VMSG.RENEWED, { op: 'renew', publickey: myPub, ts: Date.now() })
       const cert = res?.cert
@@ -282,9 +274,7 @@ export async function startRemoteAgent (opts = {}) {
       // `acta.profileId === master`, que con una segunda bóveda nunca es verdad.
       const chk = await checkVaultReply({ acta, cert, vault: master, sub: myPub, scope: SIGN_SCOPE })
       if (!chk.ok) throw new Error('invalid renewed cert: ' + chk.reason)
-      link.cert = cert
-      link.actaSeq = acta.seq
-      saveLink(dir, link)
+      await storeRenewedCert({ dir, link, cert, acta })
       audit('cert-renew', { seq: cert.seq })
       if (!opts.quiet) console.log(`[remote-agent] cert renewed against record #${cert.seq}`)
     } catch (e) {

package/src/browser-link.js

@@ -1,3 +1,5 @@
+import { DEFAULT_PROXY } from '../protocol.js'
+
 /**
  * El enlace de un NAVEGADOR a su bóveda, sacado del pilar de identidad (iframe
  * id.dotrino.com): es lo que necesita `RemoteAgentClient` para hablar con un agente.
@@ -23,7 +25,7 @@ export async function linkFromIdentity (id) {
     id,
     cert: v.cert,
     iss: status.master,
-    proxy: status.proxy || 'wss://proxy.dotrino.com',
+    proxy: status.proxy || DEFAULT_PROXY,
     deviceId: status.deviceId,
     scope: status.scope || []
   }

package/src/client.js

@@ -23,7 +23,7 @@
 import { verifyChain } from '@dotrino/identity/capabilities'
 import { sealersOf } from '@dotrino/identity/acta'
 import { makeEphemeral, deriveKey, seal, open } from '../e2e.js'
-import { HS, ACK, DATA, PING, PONG, ERROR } from '../protocol.js'
+import { HS, ACK, DATA, PING, PONG, ERROR, DEFAULT_PROXY } from '../protocol.js'
 
 export class RemoteAgentClient {
   /**
@@ -37,7 +37,7 @@ export class RemoteAgentClient {
   constructor (link, { agentPubkey, proxyUrl } = {}) {
     this.link = link                                  // { id, cert, iss, proxy, mode? }
     this.agentPubkey = agentPubkey                    // pubkey del agente destino
-    this.proxyUrl = proxyUrl || link.proxy || 'wss://proxy.dotrino.com'
+    this.proxyUrl = proxyUrl || link.proxy || DEFAULT_PROXY
     this.client = null
     this.key = null
     this.sid = null

package/src/link.js

@@ -21,6 +21,7 @@ import { requestDevices, requestRenew } from '@dotrino/identity/vault/remote.js'
 import { installNodeGlobals } from '../node-globals.js'
 import { adoptRecord } from './record.js'
 import { verifySealerChain } from '@dotrino/identity/acta'
+import { DEFAULT_PROXY, RENEW_BEFORE_MS } from '../protocol.js'
 
 export function dataDir (name = 'dotrino-remote-agent') {
   if (process.env.DOTRINO_REMOTE_AGENT_DIR) return process.env.DOTRINO_REMOTE_AGENT_DIR
@@ -113,7 +114,7 @@ export function identityFromLink (link, { dir = dataDir() } = {}) {
   if (!link?.device?.privateJwk || !link?.cert || !link?.iss) throw new Error('invalid link: device/cert/iss required')
   installNodeGlobals(dir)
   const device = link.device
-  const proxy = link.proxy || 'wss://proxy.dotrino.com'
+  const proxy = link.proxy || DEFAULT_PROXY
   return {
     me: { publickey: device.publickey },
     async signData (data) {
@@ -146,8 +147,43 @@ export function identityFromLink (link, { dir = dataDir() } = {}) {
   }
 }
 
-/** Con menos de esto de vida se pide cert nuevo (7 días; el cert dura 30). */
-export const RENEW_BEFORE_MS = 7 * 24 * 60 * 60 * 1000
+// Se reexporta por compatibilidad del subpath '/link'; la definición vive en protocol.js.
+export { RENEW_BEFORE_MS }
+
+/**
+ * POR QUÉ TOCA PEDIR PAPEL NUEVO, o `null` si no toca. Es la única regla de renovación:
+ * la usan `renewLink` (agentes que corren una vez) y el tic de `startRemoteAgent`.
+ *   · `'legacy'`: el papel es del MODELO VIEJO (lleva `exp` y no `seq`). Se cambia sí o sí:
+ *     se acepta por el repliegue de migración, pero muere en su fecha y con él la máquina.
+ *   · `'behind'`: el acta que hemos visto va por delante del papel (el dueño cambió permisos).
+ * Nunca por calendario: el papel no vence.
+ *
+ * @param {object} link
+ * @returns {'legacy'|'behind'|null}
+ */
+export function renewalReason (link) {
+  if (typeof link?.cert?.seq !== 'number') return 'legacy'
+  if (typeof link.actaSeq === 'number' && link.actaSeq > link.cert.seq) return 'behind'
+  return null
+}
+
+/**
+ * GUARDA un papel renovado (ya comprobado por quien lo pidió) y lo persiste. SE GUARDA ANTES
+ * DE DAR NADA POR BUENO: emitir un papel RETIRA el anterior, así que si esto no se persiste la
+ * máquina se queda usando uno revocado y fuera para siempre.
+ *
+ * El acta que viaja con el papel se adopta SOLO si se puede comprobar (`record.js`): es la que
+ * decide quién abre sesión con este agente. El papel sí se guarda siempre.
+ */
+export async function storeRenewedCert ({ dir, link, cert, acta }) {
+  link.cert = cert
+  link.actaSeq = acta.seq
+  if ((await adoptRecord({ link, candidate: acta, me: link.device.publickey })).adopt) {
+    link.acta = acta
+    link.actaTrusted = true
+  }
+  saveLink(dir, link)
+}
 
 /**
  * RENUEVA el cert del enlace si vence pronto y lo persiste. Es lo que hace el agente
@@ -167,31 +203,22 @@ export async function renewLink (link, { dir = dataDir(), force = false } = {})
   // EL PAPEL DEL MODELO VIEJO SE CAMBIA SÍ O SÍ. Lleva `exp` y no `seq`; se acepta por el
   // repliegue de migración pero muere en su fecha, y con él la máquina. Los demás se
   // renuevan cuando el acta va por delante — nunca por calendario, que el papel no vence.
-  const legacy = typeof link.cert.seq !== 'number'
-  if (legacy && typeof link.cert.exp === 'number' && link.cert.exp <= Date.now()) {
+  const why = renewalReason(link)
+  if (why === 'legacy' && typeof link.cert.exp === 'number' && link.cert.exp <= Date.now()) {
     return { renewed: false, reason: 'expired: enroll again' }
   }
-  const behind = typeof link.actaSeq === 'number' && typeof link.cert.seq === 'number' && link.actaSeq > link.cert.seq
-  if (!force && !legacy && !behind) return { renewed: false, seq: link.cert.seq, reason: 'not due' }
+  if (!force && !why) return { renewed: false, seq: link.cert.seq, reason: 'not due' }
   installNodeGlobals(dir)
   try {
     // `requestRenew` ya JUZGA lo que devuelve (`checkVaultReply` del pilar: acta bien
     // firmada, esta bóveda puede sellarla, el papel lo firmó ella y es para esta llave) y
     // lanza si no cuadra. Aquí se comparaba `acta.profileId` con `link.iss`, que solo vale
     // en una cuenta que nació en esa bóveda: con una segunda bóveda no renovaba nunca.
-    const { cert, acta } = await requestRenew({ master: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com', device: link.device, cert: link.cert })
+    const { cert, acta } = await requestRenew({ master: link.iss, proxy: link.proxy || DEFAULT_PROXY, device: link.device, cert: link.cert })
     // SE GUARDA ANTES DE DAR NADA POR BUENO. Emitir un papel RETIRA el anterior, así que si
     // esto no se persiste la máquina se queda usando uno revocado y fuera para siempre. Le
     // pasó al registro de selladores en la migración, y por eso está dicho aquí.
-    link.cert = cert
-    link.actaSeq = acta.seq
-    // El acta que viaja con el papel se guarda SOLO si se puede comprobar (`record.js`): es
-    // la que decide quién abre sesión con este agente. El papel sí se guarda siempre.
-    if ((await adoptRecord({ link, candidate: acta, me: link.device.publickey })).adopt) {
-      link.acta = acta
-      link.actaTrusted = true
-    }
-    saveLink(dir, link)
+    await storeRenewedCert({ dir, link, cert, acta })
     return { renewed: true, seq: cert.seq }
   } catch (e) {
     return { renewed: false, seq: link.cert.seq ?? null, reason: e.message }
@@ -211,7 +238,7 @@ export async function refreshChain (link, { dir = dataDir() } = {}) {
   if (!link?.device?.privateJwk || !link?.cert || !link?.iss) return { ok: false, reason: 'invalid link' }
   installNodeGlobals(dir)
   try {
-    const res = await requestDevices({ master: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com', device: link.device, cert: link.cert })
+    const res = await requestDevices({ master: link.iss, proxy: link.proxy || DEFAULT_PROXY, device: link.device, cert: link.cert })
     const chain = res.sealerChain
     if (!Array.isArray(chain) || !chain.length) return { ok: false, reason: 'the vault sent no sealer chain (vaultd < 0.154.0?)' }
     const expected = link.sealerChain?.[0]?.profileId ?? link.acta?.profileId ?? null
@@ -232,7 +259,7 @@ export async function refreshChain (link, { dir = dataDir() } = {}) {
 
 /** El enlace como lo esperan `ContentClient.connect({ link })` y `RemoteAgentClient`. */
 export function clientLink (link, opts) {
-  return { id: identityFromLink(link, opts), cert: link.cert, iss: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com' }
+  return { id: identityFromLink(link, opts), cert: link.cert, iss: link.iss, proxy: link.proxy || DEFAULT_PROXY }
 }
 
-export default { dataDir, loadLink, saveLink, parseQr, enroll, identityFromLink, clientLink, renewLink, refreshChain }
+export default { dataDir, loadLink, saveLink, parseQr, enroll, identityFromLink, clientLink, renewLink, renewalReason, storeRenewedCert, refreshChain }