@dotrino/vault 0.40.0 → 0.41.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.40.0",
+  "version": "0.41.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",
@@ -47,7 +47,7 @@
     "pairing"
   ],
   "peerDependencies": {
-    "@dotrino/identity": ">=0.65.0",
+    "@dotrino/identity": ">=0.66.0",
     "@dotrino/proxy-client": ">=0.13.0"
   },
   "license": "MIT",

package/src/index.js

@@ -26,7 +26,7 @@
  * No reimplementa nada del ecosistema.
  */
 import { verifyChain, verifyDeviceSig } from '@dotrino/identity/capabilities'
-import { memberCanSign } from '@dotrino/identity/acta'
+import { memberCanScope } from '@dotrino/identity/acta'
 import { createEnrollDesk, deviceIdOf, DEVICE_TTL_MS, FRESH_WINDOW_MS } from './enroll.js'
 // Las constantes del protocolo salen del MISMO módulo que usa el daemon: si la lista
 // local se queda corta, el dispositivo deja de handle mensajes sin que nadie lo note.
@@ -195,6 +195,17 @@ export async function startDeviceVault (identity, { proxyUrl, client: injectedCl
       send(from, { type: MSG.ERROR, error: 'unauthorized: ' + chk.reason })
       return null
     }
+    // EL ACTA MANDA, EL PAPEL SOLO ACOMPAÑA. Aquí y no en cada mostrador: el certificado
+    // dice a qué se comprometió esta bóveda al conectar el aparato, y el acta lo que puede
+    // HOY. Quitarle un permiso sella el acta pero no le retira el papel, que vive hasta 30
+    // días, así que sin esto seguiría entrando hasta que lo renovara.
+    if (expectedScope) {
+      const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+      if (record && !memberCanScope(record, chk.device, expectedScope)) {
+        send(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member no longer has that permission' })
+        return null
+      }
+    }
     return chk
   }
 
@@ -206,14 +217,6 @@ export async function startDeviceVault (identity, { proxyUrl, client: injectedCl
   async function handleSign (from, p) {
     const chk = await authorise(from, p, SCOPE.SIGN)
     if (!chk) return
-    // MANDA EL ACTA, NO EL PAPEL. `authorise` mira el certificado, y quitarle `firma` a un
-    // aparato NO reemite ni revoca su cert: seguiría diciendo `vault:sign` hasta 30 días.
-    // Sin esto, retirarle el permiso lo cambiaba de firmar él a que firmara la bóveda por
-    // él — o sea, no se lo retiraba. Mismo arreglo que en el daemon (`src/vault.js`).
-    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
-    if (record && !memberCanSign(record, chk.device)) {
-      return send(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member does not sign' })
-    }
     const toSign = p.data?.payload
     if (toSign == null) return send(from, { type: MSG.ERROR, error: 'data.payload required' })
     const { signature, publickey } = await identity.signData(toSign)