@dotrino/vault 0.44.0 → 0.45.1

package/bin/dotrino-env.js

@@ -104,7 +104,11 @@ async function cmdEnroll () {
     }
   })
   console.log('\nListo. Identidad del servicio en: %s', path.join(dir, 'service-identity.json'))
-  console.log('Certificado con scope: %s  (vence %s)', (cert.scope || []).join(', '), new Date(cert.exp).toISOString())
+  // El papel ya no vence: vale mientras el acta lo diga. Decir «vence» era describir un
+  // reloj que ya no existe, y encima REVENTABA —`new Date(undefined).toISOString()` lanza
+  // RangeError—, o sea que el comando de diagnóstico se caía justo cuando lo necesitas.
+  console.log('Certificado con scope: %s  (%s)', (cert.scope || []).join(', '),
+    typeof cert.seq === 'number' ? `acta #${cert.seq}` : `del modelo viejo, vence ${new Date(cert.exp).toISOString().slice(0, 10)}`)
   console.log('\nEn tu app:  import \'@dotrino/vault/config\'   (con DOTRINO_NS=%s)', ns)
 }
 
@@ -116,10 +120,15 @@ function cmdStatus () {
   }
   for (const ns of found) {
     const id = readServiceIdentity(serviceDir(ns))
-    const exp = id?.cert?.exp
-    console.log('%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  vence %s',
-      ns, serviceDir(ns), String(id.iss).slice(0, 24), (id.cert?.scope || []).join(', '),
-      exp ? new Date(exp).toISOString() : '?')
+    const c = id?.cert
+    // El papel se describe por el ACTA a la que se ató. Uno del modelo viejo se dice tal
+    // cual, con su fecha, porque ESO sí importa: es lo único que todavía caduca, y sabrá
+    // el operador que le queda una migración por hacer.
+    const papel = typeof c?.seq === 'number'
+      ? `acta #${c.seq}`
+      : (typeof c?.exp === 'number' ? `modelo viejo · vence ${new Date(c.exp).toISOString().slice(0, 10)}` : '?')
+    console.log('%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  %s',
+      ns, serviceDir(ns), String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
   }
 }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.44.0",
+  "version": "0.45.1",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/service.js

@@ -421,7 +421,7 @@ export async function registerEncKey ({ dir, ns, proxyUrl, masterPubkey, device,
  * Renueva el cert automáticamente si está por vencer (best-effort).
  * @returns {Promise<Record<string,string>>}  secretos KEY→valor
  */
-export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
+export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, onCert, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
   let saved = null
   if (dir) saved = readServiceIdentity(dir)
   // Sin `dir`: la identidad viene entera por parámetros — es el caso de un agente
@@ -489,6 +489,11 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
         if (res.type === MSG.RENEWED && res.cert?.sub === device.publickey) {
           cert = res.cert
           recordar({ cert })
+          // QUIEN NO PASA `dir` GUARDA ÉL. Un servicio que lleva su identidad en su propio
+          // archivo (`link.json`) y nos pasa el enlace a mano no tiene `saved`, así que
+          // `recordar` no escribe nada: sin esto renovaba en cada arranque y volvía a
+          // empezar, y su papel del modelo viejo no se cambiaba NUNCA.
+          try { onCert?.(cert) } catch (_) {}
         }
       } catch (_) { /* la renovación no bloquea el fetch */ }
     }
@@ -986,11 +991,11 @@ function fingerprintOf (secrets) {
  * servicio no opera hasta que esto resuelva — esa es la regla.
  * @returns {Promise<Record<string,string>>}
  */
-export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending } = {}) {
+export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending, onCert } = {}) {
   let delay = retryMs
   for (;;) {
     try {
-      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending })
+      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending, onCert })
     } catch (e) {
       // Lo NO transitorio no se arregla reintentando: falta de enrolamiento,
       // cert revocado/vencido o scope equivocado exigen re-emparejar → se corta.