@dotrino/remote-agent 0.5.1 → 0.5.3

package/README.md

@@ -33,7 +33,7 @@ Provee lo común — y **solo** eso:
 | `@dotrino/remote-agent` | isomórfico | `e2e` (`makeEphemeral`/`deriveKey`/`seal`/`open`) + constantes de protocolo |
 | `@dotrino/remote-agent/agent` | Node | `startRemoteAgent(opts)` |
 | `@dotrino/remote-agent/client` | navegador | `RemoteAgentClient` |
-| `@dotrino/remote-agent/link` | Node | `enroll`, `loadLink`, `saveLink`, `dataDir`, `parseQr`, `identityFromLink`, `clientLink` |
+| `@dotrino/remote-agent/link` | Node | `enroll`, `loadLink`, `saveLink`, `dataDir`, `parseQr`, `identityFromLink`, `clientLink`, `renewLink` |
 | `@dotrino/remote-agent/discover` | navegador | `listAgentsByLabel` |
 
 ## Uso
@@ -90,6 +90,9 @@ hace que se exija ese permiso en el cert y queda en el enlace). Sus secretos los
 con `fetchSecrets`/`waitForSecrets` de `@dotrino/vault/service` pasando la identidad por
 parámetros (`{ ns, proxyUrl: link.proxy, masterPubkey: link.iss, device, cert, enc }`).
 
+Un agente que corre UNA vez (un bot por cron) no tiene el tic de renovación de
+`startRemoteAgent`: que llame a `renewLink(link)` en cada corrida, o su cert muere a los 30 días.
+
 ### Un agente como CLIENTE de otro agente (Node)
 
 Un agente Node también puede hablar con otro agente —un bot que guarda en el node de

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/remote-agent",
-  "version": "0.5.1",
+  "version": "0.5.3",
   "description": "Middleware compartido del ecosistema Dotrino para apps de agente remoto cifrado punto a punto (handshake E2E, emparejamiento SAS con vault, revocación, descubrimiento). Lo consumen dotrino-terminal (PTY) y dotrino-ia (chat con IA).",
   "type": "module",
   "main": "./index.js",
@@ -49,7 +49,7 @@
     "@dotrino/vault": ">=0.30.0"
   },
   "devDependencies": {
-    "@dotrino/identity": "0.56.0",
+    "@dotrino/identity": "0.60.3",
     "@dotrino/proxy-client": "0.10.1",
     "@dotrino/vault": "0.30.0"
   }

package/src/link.js

@@ -16,8 +16,8 @@
 import fs from 'node:fs'
 import path from 'node:path'
 import os from 'node:os'
-import { signWithDevice, pubkeyId } from '@dotrino/identity/capabilities'
-import { requestDevices } from '@dotrino/identity/vault/remote.js'
+import { signWithDevice, pubkeyId, verifyDelegation } from '@dotrino/identity/capabilities'
+import { requestDevices, requestRenew } from '@dotrino/identity/vault/remote.js'
 import { installNodeGlobals } from '../node-globals.js'
 
 export function dataDir (name = 'dotrino-remote-agent') {
@@ -122,14 +122,58 @@ export function identityFromLink (link, { dir = dataDir() } = {}) {
       return { paired: true, master: link.iss, proxy, exp: link.cert.exp, deviceId: await pubkeyId(device.publickey) }
     },
     async listVaultDevices () {
-      return requestDevices({ master: link.iss, proxy, device, cert: link.cert, sinceSeq: 0 })
+      // SIN `sinceSeq`: un agente no guarda el acta ni la encadena —no hay una sola línea
+      // aquí que lea `chain`—, así que pedir el historial es traerse cientos de KB para
+      // tirarlos. Y pedirlo con 0 era lo peor de todo: quien no tiene acta previa adopta la
+      // actual de un salto («sin-acta-previa»), de modo que la cadena no iba a usarse jamás.
+      // Costó tenerlo así: la respuesta llegó a 1,03 MB, el proxio corta el frame a 1 MB y
+      // la bóveda se quedaba muda para todo el ecosistema (2026-08-24).
+      return requestDevices({ master: link.iss, proxy, device, cert: link.cert })
     }
   }
 }
 
+/** Con menos de esto de vida se pide cert nuevo (7 días; el cert dura 30). */
+export const RENEW_BEFORE_MS = 7 * 24 * 60 * 60 * 1000
+
+/**
+ * RENUEVA el cert del enlace si vence pronto y lo persiste. Es lo que hace el agente
+ * de larga duración en cada tic (`startRemoteAgent`), sacado aquí para los agentes que
+ * corren UNA vez (un bot por cron): sin esto su cert muere a los 30 días y hay que
+ * re-emparejar una máquina que nunca dejó de ser tuya.
+ *
+ * El cert nuevo se VERIFICA antes de guardarlo (misma maestra, misma llave, más vida).
+ * Un cert ya vencido no se renueva: ahí toca re-emparejar. No lanza: devuelve qué pasó.
+ *
+ * @param {object} link   el enlace (se muta con el cert nuevo).
+ * @param {{ dir?: string, force?: boolean }} [opts]
+ * @returns {Promise<{ renewed: boolean, exp: number|null, reason?: string }>}
+ */
+export async function renewLink (link, { dir = dataDir(), force = false } = {}) {
+  const exp = link?.cert?.exp
+  if (typeof exp !== 'number') return { renewed: false, exp: null, reason: 'no cert' }
+  if (exp <= Date.now()) return { renewed: false, exp, reason: 'expired: enroll again' }
+  if (!force && exp - Date.now() > RENEW_BEFORE_MS) return { renewed: false, exp, reason: 'not due' }
+  installNodeGlobals(dir)
+  try {
+    const res = await requestRenew({ master: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com', device: link.device, cert: link.cert })
+    const cert = res?.cert
+    if (!cert || cert.sub !== link.device.publickey || cert.iss !== link.iss || !(cert.exp > exp)) {
+      throw new Error('the vault returned a cert that is not for this machine')
+    }
+    const v = await verifyDelegation({ cert, expectedSub: link.device.publickey })
+    if (!v.ok) throw new Error(v.reason)
+    link.cert = cert
+    saveLink(dir, link)
+    return { renewed: true, exp: cert.exp }
+  } catch (e) {
+    return { renewed: false, exp, reason: e.message }
+  }
+}
+
 /** El enlace como lo esperan `ContentClient.connect({ link })` y `RemoteAgentClient`. */
 export function clientLink (link, opts) {
   return { id: identityFromLink(link, opts), cert: link.cert, iss: link.iss, proxy: link.proxy || 'wss://proxy.dotrino.com' }
 }
 
-export default { dataDir, loadLink, saveLink, parseQr, enroll, identityFromLink, clientLink }
+export default { dataDir, loadLink, saveLink, parseQr, enroll, identityFromLink, clientLink, renewLink }