@dotrino/vault 0.47.1 → 0.48.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.47.1",
+  "version": "0.48.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/service.js

@@ -666,7 +666,17 @@ async function openSealedBundle (sealed, ident, acta = null, masterPubkey = null
     const gen = e.gen ?? e.e?.gen ?? 0
     await comprobarFirma(e.owner, key, gen, e.e, e.seal)
     const cek = await cekDe(cual, gen)
-    if (!cek) throw new Error(`no key to open ${key}: this device has no wrapping for its drawer`)
+    if (!cek) {
+      // NO ES UN TROPIEZO: ES UN ESTADO QUE HAY QUE ARREGLAR EN LA BÓVEDA.
+      //
+      // Un aparato que entra después de escrita una variable no tiene envoltura de ella, y
+      // NO PUEDE tenerla: envolver exige abrir la llave del cajón, y eso solo pasa cuando
+      // el dueño abre la bóveda. Reintentar no la crea. Lleva `code` porque el mensaje lo
+      // empareja otra capa y una frase no es un contrato (ver `dotrino-error-strings`).
+      throw Object.assign(
+        new Error(`no key to open ${key}: this device has no wrapping in its drawer — open the vault (dotrino-vault unlock) so it hands it the key`),
+        { code: 'no-wrapping' })
+    }
     out[key] = await decryptWithCek({ cek, envelope: e.e })
   }
   return out
@@ -991,16 +1001,34 @@ function fingerprintOf (secrets) {
  * servicio no opera hasta que esto resuelva — esa es la regla.
  * @returns {Promise<Record<string,string>>}
  */
+/**
+ * ¿ESTE FALLO SE ARREGLA SOLO ESPERANDO? Si no, reintentar es peor que rendirse.
+ *
+ * Lo NO transitorio exige que alguien haga algo: falta de enrolamiento, cert revocado o
+ * vencido, scope equivocado → re-emparejar. Que te lo DENIEGUEN tampoco se reintenta: fue
+ * una decisión, no un tropiezo.
+ *
+ * Y no tener ENVOLTURA en el cajón (`no-wrapping`) es el que costó una tarde. La bóveda
+ * pedía aprobación, el teléfono timbraba, el dueño aprobaba, la bóveda contestaba un bundle
+ * que este aparato no podía abrir, y el agente volvía a pedir — así que el teléfono
+ * timbraba otra vez. «Sigo aprobando y aprobando», textual. Ninguna aprobación iba a crear
+ * esa envoltura: envolver exige abrir la llave del cajón, o sea ABRIR la bóveda.
+ *
+ * Se decide por `e.code` donde lo hay: emparejar un mensaje por su texto se rompe en
+ * silencio en cuanto alguien lo reescribe (ver `dotrino-error-strings`).
+ */
+export function isFinal (e) {
+  if (e?.code === 'no-wrapping') return true
+  return /not enrolled|invalid ns|unauthorized: (revoked|expired|scope|cn|untrusted-issuer|cert-device-mismatch|denied)/.test(e?.message || '')
+}
+
 export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending, onCert } = {}) {
   let delay = retryMs
   for (;;) {
     try {
       return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending, onCert })
     } catch (e) {
-      // Lo NO transitorio no se arregla reintentando: falta de enrolamiento,
-      // cert revocado/vencido o scope equivocado exigen re-emparejar → se corta.
-      // Que te lo DENIEGUEN tampoco se reintenta: fue una decisión, no un tropiezo.
-      if (/not enrolled|invalid ns|unauthorized: (revoked|expired|scope|cn|untrusted-issuer|cert-device-mismatch|denied)/.test(e.message)) throw e
+      if (isFinal(e)) throw e
       try { onRetry?.(e, delay) } catch (_) {}
       await new Promise((r) => setTimeout(r, delay))
       delay = Math.min(maxRetryMs, Math.round(delay * 1.6))