@dotrino/vault 0.45.0 → 0.46.0

package/bin/dotrino-env.js

@@ -2,14 +2,14 @@
 /**
  * dotrino-env — CLI del "dotenv contra el vault".
  *
- *   dotrino-env enroll --ns <ns> [--qr <invitación>]   enrola ESTA máquina/servicio (una vez)
+ *   dotrino-env enroll --profile <p> --ns <ns> [--qr <inv>]   enrola ESTA máquina (una vez)
  *   dotrino-env status                                  qué hay enrolado aquí
  *   dotrino-env check [--ns <ns>]                       pide los secretos y lista sus NOMBRES (nunca valores)
  *   dotrino-env run [--ns <ns>] -- <cmd> [args…]        corre un comando con los secretos en su entorno
  *
  * El enrolamiento es el registro del cliente contra el vault del dueño:
  *   1. en el vault:   dotrino-vault pair --service <ns>      (invitación con scope SOLO vault:secrets:<ns>)
- *   2. aquí:          dotrino-env enroll --ns <ns>           (pegas la invitación; se MUESTRA un código)
+ *   2. aquí:          dotrino-env enroll --profile <p> --ns <ns>  (pegas la invitación; se MUESTRA un código)
  *   3. en el vault:   dotrino-vault approve <código>         (lo tipeas leyéndolo de esta pantalla)
  */
 import fs from 'node:fs'
@@ -17,7 +17,7 @@ import path from 'node:path'
 import readline from 'node:readline/promises'
 import { spawn } from 'node:child_process'
 import { enrollService, readServiceIdentity, fetchSecrets } from '../src/service.js'
-import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs } from '../src/env.js'
+import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs, resolveEnvProfile, isValidEnvProfile } from '../src/env.js'
 // Se usaba sin importarlo: `enroll` —el comando principal— moría con
 // «sharedParseInvite is not defined» en cuanto tocaba una invitación. Nunca
 // llegó a funcionar, y por eso el único servicio enrolado del ecosistema (el
@@ -30,14 +30,14 @@ const flag = (name) => { const i = argv.indexOf('--' + name); return i >= 0 ? ar
 function help () {
   console.log(`dotrino-env — credenciales del vault en vez del .env
 
-  enroll --ns <ns> [--code <invitación>] [--dir <dir>]
+  enroll --profile <perfil> --ns <ns> [--code <invitación>] [--dir <dir>]
         Registra ESTE servicio contra el vault (una sola vez).
         Antes, en el vault:  dotrino-vault pair --service <ns>
         Si no pasas --code (alias --qr), se pide por consola (también acepta stdin).
 
   status                 servicios enrolados en esta máquina
   check [--ns <ns>]      pide los secretos al vault y lista sus NOMBRES (nunca los valores)
-  run [--ns <ns>] -- <cmd> [args…]
+  run --profile <perfil> [--ns <ns>] -- <cmd> [args…]
   ssh-agent [--ns <ns>] [--socket <ruta>]
                          agente SSH con las llaves (SSH_KEY_* del cajón) solo en memoria;
                          pide el cajón al arrancar. Pon SSH_AUTH_SOCK en la ruta que imprime.
@@ -50,7 +50,7 @@ En tu código:
 El vault MANDA: sus valores pisan los del .env y los del entorno. Para una
 corrida suelta sin que pise nada:  DOTRINO_ENV_OVERRIDE=0
 
-Entorno: DOTRINO_NS · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
+Entorno: DOTRINO_NS · DOTRINO_ENV_PROFILE · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
          DOTRINO_ENV_OVERRIDE`)
 }
 
@@ -73,10 +73,31 @@ async function readInvite () {
   return answer
 }
 
+/**
+ * El PERFIL LOCAL, obligatorio. Es una etiqueta de ESTA máquina para agrupar lo que
+ * pertenece a una bóveda: `~/.dotrino/service/<perfil>/<ns>`. No viaja, no entra en el
+ * acta y no se compara con el perfil de la bóveda — solo evita que dos bóvedas con un
+ * cajón del mismo nombre se pisen el directorio, que antes dejaba al primero inservible.
+ */
+function perfilLocal () {
+  const p = resolveEnvProfile(flag('profile'))
+  if (!p) {
+    console.error('falta --profile <nombre>  (o DOTRINO_ENV_PROFILE)')
+    console.error('')
+    console.error('  Es una ETIQUETA TUYA para agrupar lo de una bóveda, no el perfil del vault:')
+    console.error('    ~/.dotrino/service/<perfil>/<ns>')
+    console.error('  Sirve para que dos bóvedas puedan tener un cajón llamado igual.')
+    process.exit(2)
+  }
+  if (!isValidEnvProfile(p)) { console.error('perfil inválido: usa [a-z0-9-]{1,32}'); process.exit(2) }
+  return p
+}
+
 async function cmdEnroll () {
   const ns = flag('ns')
   if (!ns) { console.error('falta --ns <ns>  (el mismo del `dotrino-vault pair --service <ns>`)'); process.exit(2) }
-  const dir = flag('dir') || serviceDir(ns)
+  const perfil = perfilLocal()
+  const dir = flag('dir') || serviceDir(perfil, ns)
   const qr = parseInvite((flag('qr') || flag('code')) || await readInvite())
 
   console.log('\nEnrolando el servicio "%s" contra el vault…', ns)
@@ -104,22 +125,40 @@ async function cmdEnroll () {
     }
   })
   console.log('\nListo. Identidad del servicio en: %s', path.join(dir, 'service-identity.json'))
-  console.log('Certificado con scope: %s  (vence %s)', (cert.scope || []).join(', '), new Date(cert.exp).toISOString())
+  // El papel ya no vence: vale mientras el acta lo diga. Decir «vence» era describir un
+  // reloj que ya no existe, y encima REVENTABA —`new Date(undefined).toISOString()` lanza
+  // RangeError—, o sea que el comando de diagnóstico se caía justo cuando lo necesitas.
+  console.log('Certificado con scope: %s  (%s)', (cert.scope || []).join(', '),
+    typeof cert.seq === 'number' ? `acta #${cert.seq}` : `del modelo viejo, vence ${new Date(cert.exp).toISOString().slice(0, 10)}`)
   console.log('\nEn tu app:  import \'@dotrino/vault/config\'   (con DOTRINO_NS=%s)', ns)
 }
 
 function cmdStatus () {
   const found = listEnrolled()
   if (!found.length) {
-    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --ns <ns>', serviceRoot())
+    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --profile <perfil> --ns <ns>', serviceRoot())
     return
   }
-  for (const ns of found) {
-    const id = readServiceIdentity(serviceDir(ns))
-    const exp = id?.cert?.exp
-    console.log('%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  vence %s',
-      ns, serviceDir(ns), String(id.iss).slice(0, 24), (id.cert?.scope || []).join(', '),
-      exp ? new Date(exp).toISOString() : '?')
+  for (const e of found) {
+    // LO QUE QUEDÓ EN EL FORMATO VIEJO se dice y no se usa. Repescarlo en silencio sería
+    // fingir que la migración no hace falta; callarlo dejaría un servicio «desaparecido».
+    if (e.legacy) {
+      const viejo = path.join(serviceRoot(), e.ns)
+      console.log('%s  ⚠ del formato anterior, sin perfil — no se usa', e.ns)
+      console.log('  muévelo:  mkdir -p %s/<perfil> && mv %s %s/<perfil>/', serviceRoot(), viejo, serviceRoot())
+      continue
+    }
+    const dir = serviceDir(e.profile, e.ns)
+    const id = readServiceIdentity(dir)
+    const c = id?.cert
+    // El papel se describe por el ACTA a la que se ató. Uno del modelo viejo se dice tal
+    // cual, con su fecha, porque ESO sí importa: es lo único que todavía caduca, y sabrá
+    // el operador que le queda una migración por hacer.
+    const papel = typeof c?.seq === 'number'
+      ? `acta #${c.seq}`
+      : (typeof c?.exp === 'number' ? `modelo viejo · vence ${new Date(c.exp).toISOString().slice(0, 10)}` : '?')
+    console.log('%s/%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  %s',
+      e.profile, e.ns, dir, String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
   }
 }
 
@@ -128,7 +167,7 @@ async function cmdCheck () {
   // `fetchSecrets` y no `loadEnv`: listar NO debe tener efectos secundarios. Con
   // `loadEnv` esto inyectaría el bundle en el entorno del propio `check`, que es
   // justo lo que un comando de diagnóstico no tiene por qué hacer.
-  const secrets = await fetchSecrets({ dir: serviceDir(ns), ns })
+  const secrets = await fetchSecrets({ dir: serviceDir(perfilLocal(), ns), ns })
   const keys = Object.keys(secrets)
   console.log('ns "%s": %d secreto(s)%s', ns, keys.length, keys.length ? ':' : '')
   for (const k of keys) console.log('  ' + k)   // NUNCA los valores
@@ -142,9 +181,9 @@ async function cmdCheck () {
 async function cmdRun () {
   const sep = argv.indexOf('--')
   const cmd = sep >= 0 ? argv.slice(sep + 1) : []
-  if (!cmd.length) { console.error('uso: dotrino-env run [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
+  if (!cmd.length) { console.error('uso: dotrino-env run --profile <perfil> [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
   const onPending = () => console.error('[dotrino-env] waiting for approval on your phone…')
-  const { injected, overridden } = await loadEnv({ ns: flag('ns'), onPending })
+  const { injected, overridden } = await loadEnv({ ns: flag('ns'), profile: perfilLocal(), onPending })
   console.error('[dotrino-env] %d valor(es) en el entorno de %s%s', injected.length, cmd[0],
     overridden.length ? ` (pisados: ${overridden.join(', ')})` : '')
   const child = spawn(cmd[0], cmd.slice(1), { stdio: 'inherit', env: process.env })
@@ -166,7 +205,7 @@ async function cmdSshAgent () {
   const { serviceDir, resolveNs } = await import('../src/env.js')
   const { waitForSecrets } = await import('../src/service.js')
   const ns = resolveNs(flag('ns') || undefined)
-  const dir = flag('dir') || serviceDir(ns)
+  const dir = flag('dir') || serviceDir(perfilLocal(), ns)
   const socketPath = flag('socket') || defaultSocketPath(dir)
   console.error('[dotrino-env] asking the vault for the keys of «%s»…', ns)
   const secrets = await waitForSecrets({ dir, ns, onPending: () => console.error('[dotrino-env] waiting for approval on your phone…') })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.45.0",
+  "version": "0.46.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/admin.js

@@ -60,7 +60,20 @@ export const ADMIN_OPS = Object.freeze([
 ])
 
 /**
- * LO ÚNICO QUE SE ATIENDE CON EL CANDADO ECHADO: mirar. Ni una operación que cambie algo.
+ * QUÉ SE ATIENDE CON EL CANDADO ECHADO.
+ *
+ * No es «solo mirar», y confundirlo fue un error: **guardar una variable NO necesita la
+ * maestra**. Sellar un valor usa las llaves PÚBLICAS de quien va a leerlo, así que la
+ * bóveda puede hacerlo sin ningún secreto suyo (`docs/secretos-sellados.md` §8.1) — es
+ * justo lo que hace barata la rotación. Meterlo en el mismo saco que revocar dejaba la
+ * consola sin poder configurar nada con el perfil cerrado, que es su trabajo diario.
+ *
+ * Lo que SÍ se queda fuera es `revoke`: reescribe el acta, y sellar el acta es de la
+ * maestra. Cerrada no hay con qué.
+ *
+ * (Si el cajón tiene su llave sellada con la frase, repartirla a los miembros puede quedar
+ * a deber hasta que alguien abra: eso ya lo dice la bóveda y se salda solo. Guardar el
+ * valor, que es lo que se pidió, se hace igual.)
  *
  * El candado ES de la consola —los aparatos ya emparejados siguen leyendo, guardando y
  * firmando con SU llave— así que cerrar el perfil tiene que cerrar exactamente esto. No
@@ -72,7 +85,7 @@ export const ADMIN_OPS = Object.freeze([
  * Se dejan las de LEER a propósito: si se cortaran todas, la consola no podría ni
  * enterarse de por qué no funciona y parecería rota. Así puede decir «está cerrada».
  */
-export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars'])
+export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars', 'var.set', 'var.setMany'])
 
 /** Cuánto se recuerda un nonce ya usado (el doble de la ventana de frescura). */
 export const ADMIN_NONCE_TTL_MS = 10 * 60 * 1000
@@ -136,7 +149,7 @@ export function createAdminDesk ({
     }
     const by = await deviceIdOf(chk.device).catch(() => null)
 
-    // CERRADA NO SE ADMINISTRA. Va después de autorizar (el candado es estado del perfil,
+    // CERRADA NO SE SELLA EL ACTA. Va después de autorizar (el candado es estado del perfil,
     // y a un desconocido no se le cuenta) y ANTES de quemar el nonce: quien reintente
     // tras abrir la bóveda no tiene por qué generar otro.
     //

package/src/env.js

@@ -29,18 +29,59 @@ export function serviceRoot () {
   return process.env.DOTRINO_ENV_HOME || path.join(os.homedir(), '.dotrino', 'service')
 }
 
-/** Directorio de la identidad del servicio `ns` (`DOTRINO_ENV_DIR` lo pisa). */
-export function serviceDir (ns) {
+/**
+ * EL PERFIL LOCAL: `~/.dotrino/service/<perfil>/<ns>`.
+ *
+ * Es una ETIQUETA TUYA, de esta máquina, y NO tiene nada que ver con el perfil de la
+ * bóveda: nadie la manda por la red, no entra en el acta y no se compara con nada. Sirve
+ * solo para que dos bóvedas puedan tener un cajón que se llame igual.
+ *
+ * Antes la ruta era `<raíz>/<ns>` y el nombre del cajón era una CLAVE GLOBAL del usuario:
+ * si dos bóvedas usaban `aws`, el segundo enrolamiento pisaba al primero y lo dejaba
+ * inservible —avisaba, pero el papel del primero seguía existiendo en su bóveda sin
+ * identidad en disco que lo usara—. Obligar a nombrar el perfil quita esa colisión de
+ * raíz en vez de pedirle al usuario que se acuerde de no repetir nombres.
+ *
+ * Mismo alfabeto que el `ns` porque es lo mismo: un segmento de ruta.
+ */
+export const isValidEnvProfile = (p) => typeof p === 'string' && /^[a-z0-9-]{1,32}$/.test(p)
+
+/** Directorio de la identidad del servicio `ns` en el perfil local `profile`. */
+export function serviceDir (profile, ns) {
   if (process.env.DOTRINO_ENV_DIR) return process.env.DOTRINO_ENV_DIR
+  if (!isValidEnvProfile(profile)) {
+    throw new Error('missing local profile: pass --profile <nombre> (use [a-z0-9-]{1,32}). It is a label of YOUR machine, not the vault profile')
+  }
   if (!isValidSecretsNs(ns)) throw new Error('invalid ns (use [a-z0-9-]{1,32}, e.g. "myapp")')
-  return path.join(serviceRoot(), ns)
+  return path.join(serviceRoot(), profile, ns)
 }
 
-/** Namespaces ya enrolados en esta máquina. */
+/** El perfil local por defecto: `--profile`, o `DOTRINO_ENV_PROFILE`. */
+export const resolveEnvProfile = (v) => v || process.env.DOTRINO_ENV_PROFILE || null
+
+/**
+ * Lo enrolado en esta máquina: `[{ profile, ns }]`. Recorre DOS niveles.
+ *
+ * Y avisa de lo que quedó en el nivel de antes (`<raíz>/<ns>`): no se lee ni se usa —
+ * repescarlo en silencio sería fingir que la migración no hace falta— pero callarlo
+ * dejaría al dueño con un servicio que «desapareció» sin explicación.
+ */
 export function listEnrolled () {
-  let names = []
-  try { names = fs.readdirSync(serviceRoot()) } catch (_) { return [] }
-  return names.filter((ns) => isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), ns)))
+  const out = []
+  let dirs = []
+  try { dirs = fs.readdirSync(serviceRoot(), { withFileTypes: true }) } catch (_) { return out }
+  for (const d of dirs) {
+    if (!d.isDirectory() || !isValidEnvProfile(d.name)) continue
+    // Un enrolamiento del formato viejo es un directorio con `service-identity.json`
+    // DENTRO; uno del nuevo tiene subdirectorios. Así se distinguen sin adivinar.
+    if (readServiceIdentity(path.join(serviceRoot(), d.name))) { out.push({ legacy: true, ns: d.name }); continue }
+    let hijos = []
+    try { hijos = fs.readdirSync(path.join(serviceRoot(), d.name)) } catch (_) { continue }
+    for (const ns of hijos) {
+      if (isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), d.name, ns))) out.push({ profile: d.name, ns })
+    }
+  }
+  return out
 }
 
 /**
@@ -98,10 +139,12 @@ let lastApplied = null
  *   `overridden` = las que YA tenían otro valor en el entorno y el vault pisó. Es
  *   el dato que delata un `.env` rancio, así que se reporta en vez de callarse.
  */
-export async function loadEnv ({ ns, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
+export async function loadEnv ({ ns, profile, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
   if (override === undefined) override = overrideByDefault()
   ns = resolveNs(ns)
-  dir = dir || serviceDir(ns)
+  // El PERFIL LOCAL es obligatorio salvo que se diga el directorio a pelo: es lo que hace
+  // que dos bóvedas puedan tener un cajón con el mismo nombre sin pisarse.
+  dir = dir || serviceDir(resolveEnvProfile(profile), ns)
   const load = wait ? waitForSecrets : fetchSecrets
   const secrets = await load({ dir, ns, onRetry, onPending })
 
@@ -199,9 +242,9 @@ export function applyEnv (secrets, override = overrideByDefault()) {
  *   también. Se elige 0 porque salir a propósito no es un fallo.
  * @returns {Promise<{stop:()=>void}>}
  */
-export async function watchEnv ({ ns, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
+export async function watchEnv ({ ns, profile, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
   ns = resolveNs(ns)
-  dir = dir || serviceDir(ns)
+  dir = dir || serviceDir(resolveEnvProfile(profile), ns)
   const say = (m) => { if (!quiet) console.error(m) }
 
   const exitNow = (reason) => {