@dotrino/vault 0.43.0 → 0.45.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.43.0",
+  "version": "0.45.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/admin.js

@@ -46,7 +46,7 @@
 export const ADMIN_OPS = Object.freeze([
   // `pending`, `pair`, `approve` y `reject` NO están, y no es un olvido: agregar aparatos
   // a distancia se quitó (ver la cabecera). Lo que queda es mirar, quitar y configurar.
-  'status', 'revoke', 'audit',
+  'revoke', 'audit',
   // Variables de entorno: verlas (nombres siempre; valor solo de las públicas) y
   // ponerles valor (de las dos). Borrar NO está, y es a propósito: un aparato robado
   // no debe poder dejar sin configuración a los servicios.
@@ -72,7 +72,7 @@ export const ADMIN_OPS = Object.freeze([
  * Se dejan las de LEER a propósito: si se cortaran todas, la consola no podría ni
  * enterarse de por qué no funciona y parecería rota. Así puede decir «está cerrada».
  */
-export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['status', 'audit', 'vars'])
+export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars'])
 
 /** Cuánto se recuerda un nonce ya usado (el doble de la ventana de frescura). */
 export const ADMIN_NONCE_TTL_MS = 10 * 60 * 1000
@@ -159,10 +159,6 @@ export function createAdminDesk ({
     }
 
     try {
-      // Lo mínimo que la consola necesita saber de la bóveda para explicarse: si está
-      // cerrada, lo que queda (revocar, configurar) no se puede, y hay que decir por qué en
-      // vez de dejar pulsar un botón para recibir un error.
-      if (data.op === 'status') return { ok: true, result: { locked: !!isLocked() } }
 
       if (data.op === 'audit') {
         const limit = Math.min(Math.max(Number(data.limit) || 100, 1), AUDIT_MAX)

package/src/service.js

@@ -421,7 +421,7 @@ export async function registerEncKey ({ dir, ns, proxyUrl, masterPubkey, device,
  * Renueva el cert automáticamente si está por vencer (best-effort).
  * @returns {Promise<Record<string,string>>}  secretos KEY→valor
  */
-export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
+export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, onCert, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
   let saved = null
   if (dir) saved = readServiceIdentity(dir)
   // Sin `dir`: la identidad viene entera por parámetros — es el caso de un agente
@@ -465,7 +465,15 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
     recordar({ actaSeq: acta.seq })
   }
 
-    const renovar = typeof saved?.actaSeq === 'number' && typeof cert?.seq === 'number' && saved.actaSeq > cert.seq
+    // DOS MOTIVOS PARA PEDIR PAPEL NUEVO:
+    //   · el nuestro es del MODELO VIEJO (lleva `exp` y no `seq`). Ese hay que cambiarlo sí
+    //     o sí: se acepta por el repliegue de migración, pero muere en su fecha y con él el
+    //     servicio. Sin esta rama la migración no terminaba nunca — el disparador comparaba
+    //     `seq` contra `seq`, y un papel viejo no tiene ninguno, así que no saltaba jamás.
+    //   · o el acta que hemos visto va por delante del papel: el dueño cambió permisos.
+    const legado = !!cert && typeof cert.seq !== 'number'
+    const atrasado = typeof saved?.actaSeq === 'number' && typeof cert?.seq === 'number' && saved.actaSeq > cert.seq
+    const renovar = legado || atrasado
 
     // RENOVAR YA NO ES UNA TAREA DE CALENDARIO. El papel no vence: lo único que obliga a
     // pedir otro es que la bóveda diga que el nuestro se quedó atrás respecto del acta, y
@@ -481,6 +489,11 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
         if (res.type === MSG.RENEWED && res.cert?.sub === device.publickey) {
           cert = res.cert
           recordar({ cert })
+          // QUIEN NO PASA `dir` GUARDA ÉL. Un servicio que lleva su identidad en su propio
+          // archivo (`link.json`) y nos pasa el enlace a mano no tiene `saved`, así que
+          // `recordar` no escribe nada: sin esto renovaba en cada arranque y volvía a
+          // empezar, y su papel del modelo viejo no se cambiaba NUNCA.
+          try { onCert?.(cert) } catch (_) {}
         }
       } catch (_) { /* la renovación no bloquea el fetch */ }
     }
@@ -978,11 +991,11 @@ function fingerprintOf (secrets) {
  * servicio no opera hasta que esto resuelva — esa es la regla.
  * @returns {Promise<Record<string,string>>}
  */
-export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending } = {}) {
+export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending, onCert } = {}) {
   let delay = retryMs
   for (;;) {
     try {
-      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending })
+      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending, onCert })
     } catch (e) {
       // Lo NO transitorio no se arregla reintentando: falta de enrolamiento,
       // cert revocado/vencido o scope equivocado exigen re-emparejar → se corta.