@dotrino/vault 0.47.0 → 0.48.0

package/bin/dotrino-env.js

@@ -186,7 +186,13 @@ async function cmdRun () {
   const cmd = sep >= 0 ? argv.slice(sep + 1) : []
   if (!cmd.length) { console.error('uso: dotrino-env run --vault <bóveda> [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
   const onPending = () => console.error('[dotrino-env] waiting for approval on your phone…')
-  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: etiquetaBoveda(), onPending })
+  // POR QUÉ SE REINTENTA, SIEMPRE. Sin esto la espera es muda: la bóveda contestaba, la
+  // respuesta se caía por un motivo concreto —un aparato sin sobre en su cajón, por
+  // ejemplo— y por fuera solo se veía «waiting for approval» una y otra vez, aunque el
+  // dueño hubiera aprobado cada una. Un reintento que no dice su causa es un fallback: le
+  // pone cara de espera a un error. (Ver CLAUDE.md, «nada de repliegues».)
+  const onRetry = (e, ms) => console.error('[dotrino-env] failed: %s — retrying in %ds', e.message, Math.round(ms / 1000))
+  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: etiquetaBoveda(), onPending, onRetry })
   console.error('[dotrino-env] %d valor(es) en el entorno de %s%s', injected.length, cmd[0],
     overridden.length ? ` (pisados: ${overridden.join(', ')})` : '')
   const child = spawn(cmd[0], cmd.slice(1), { stdio: 'inherit', env: process.env })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.47.0",
+  "version": "0.48.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/service.js

@@ -666,7 +666,17 @@ async function openSealedBundle (sealed, ident, acta = null, masterPubkey = null
     const gen = e.gen ?? e.e?.gen ?? 0
     await comprobarFirma(e.owner, key, gen, e.e, e.seal)
     const cek = await cekDe(cual, gen)
-    if (!cek) throw new Error(`no key to open ${key}: this device has no wrapping for its drawer`)
+    if (!cek) {
+      // NO ES UN TROPIEZO: ES UN ESTADO QUE HAY QUE ARREGLAR EN LA BÓVEDA.
+      //
+      // Un aparato que entra después de escrita una variable no tiene envoltura de ella, y
+      // NO PUEDE tenerla: envolver exige abrir la llave del cajón, y eso solo pasa cuando
+      // el dueño abre la bóveda. Reintentar no la crea. Lleva `code` porque el mensaje lo
+      // empareja otra capa y una frase no es un contrato (ver `dotrino-error-strings`).
+      throw Object.assign(
+        new Error(`no key to open ${key}: this device has no wrapping in its drawer — open the vault (dotrino-vault unlock) so it hands it the key`),
+        { code: 'no-wrapping' })
+    }
     out[key] = await decryptWithCek({ cek, envelope: e.e })
   }
   return out
@@ -991,16 +1001,34 @@ function fingerprintOf (secrets) {
  * servicio no opera hasta que esto resuelva — esa es la regla.
  * @returns {Promise<Record<string,string>>}
  */
+/**
+ * ¿ESTE FALLO SE ARREGLA SOLO ESPERANDO? Si no, reintentar es peor que rendirse.
+ *
+ * Lo NO transitorio exige que alguien haga algo: falta de enrolamiento, cert revocado o
+ * vencido, scope equivocado → re-emparejar. Que te lo DENIEGUEN tampoco se reintenta: fue
+ * una decisión, no un tropiezo.
+ *
+ * Y no tener ENVOLTURA en el cajón (`no-wrapping`) es el que costó una tarde. La bóveda
+ * pedía aprobación, el teléfono timbraba, el dueño aprobaba, la bóveda contestaba un bundle
+ * que este aparato no podía abrir, y el agente volvía a pedir — así que el teléfono
+ * timbraba otra vez. «Sigo aprobando y aprobando», textual. Ninguna aprobación iba a crear
+ * esa envoltura: envolver exige abrir la llave del cajón, o sea ABRIR la bóveda.
+ *
+ * Se decide por `e.code` donde lo hay: emparejar un mensaje por su texto se rompe en
+ * silencio en cuanto alguien lo reescribe (ver `dotrino-error-strings`).
+ */
+export function isFinal (e) {
+  if (e?.code === 'no-wrapping') return true
+  return /not enrolled|invalid ns|unauthorized: (revoked|expired|scope|cn|untrusted-issuer|cert-device-mismatch|denied)/.test(e?.message || '')
+}
+
 export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending, onCert } = {}) {
   let delay = retryMs
   for (;;) {
     try {
       return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending, onCert })
     } catch (e) {
-      // Lo NO transitorio no se arregla reintentando: falta de enrolamiento,
-      // cert revocado/vencido o scope equivocado exigen re-emparejar → se corta.
-      // Que te lo DENIEGUEN tampoco se reintenta: fue una decisión, no un tropiezo.
-      if (/not enrolled|invalid ns|unauthorized: (revoked|expired|scope|cn|untrusted-issuer|cert-device-mismatch|denied)/.test(e.message)) throw e
+      if (isFinal(e)) throw e
       try { onRetry?.(e, delay) } catch (_) {}
       await new Promise((r) => setTimeout(r, delay))
       delay = Math.min(maxRetryMs, Math.round(delay * 1.6))