@dotrino/vault 0.60.4 → 0.61.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.60.4",
+  "version": "0.61.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/protocol.js

@@ -128,3 +128,18 @@ export const isValidSecretsNs = (ns) => typeof ns === 'string' && /^[a-z0-9-]{1,
  * remota y el lector de `.env`, y tres copias de una regla son tres reglas.
  */
 export const isValidVarKey = (key) => typeof key === 'string' && /^[A-Z0-9_]{1,64}$/.test(key)
+
+/**
+ * LA VERSIÓN DEL CABLE (CONVENCIONES §14, `@dotrino/compat`).
+ *
+ * Sube **solo cuando cambia el protocolo**, no con cada release: es lo que decide *si dos
+ * piezas pueden hablar*. La `version` del paquete decide otra cosa —si esa build concreta
+ * está rota— y por eso hacen falta las dos.
+ *
+ * Empieza en 1 hoy, con todo lo anterior sin declarar nada: a quien calla se le atiende
+ * hasta que cierre la ventana de migración del pilar, y después no.
+ */
+export const VAULT_PROTOCOL = 1
+
+/** Los protocolos que esta build entiende. Al añadir el 2, aquí van `[1, 2]`. */
+export const VAULT_SPEAKS = [1]

package/src/service.js

@@ -26,7 +26,8 @@ import {
   verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from '@dotrino/identity/capabilities'
 import { openWrap, wrapForMember, decryptWithCek } from '@dotrino/identity/content'
 import { verifyActa, sealKeyAt, sealersOf, memberCan } from '@dotrino/identity/acta'
-import { MSG, secretsScope, isValidSecretsNs } from './protocol.js'
+import { MSG, secretsScope, isValidSecretsNs, VAULT_PROTOCOL, VAULT_SPEAKS } from './protocol.js'
+import { PKG_VERSION } from './version.js'
 import { makeEphemeralKey, openSealed } from './sealed.js'
 import { parseInvite } from './invite.js'
 import { atRestFor } from './atrest.js'
@@ -35,6 +36,26 @@ import { connectLocal, hasLocalVault } from './localdesk.js'
 const IDENTITY_FILE = 'service-identity.json'
 const FRESH_WINDOW_MS = 5 * 60 * 1000
 
+/**
+ * QUÉ SOMOS, dentro de lo que ya va firmado (CONVENCIONES §14).
+ *
+ * Va DENTRO de `data` y no en el envoltorio a propósito: `data` lo firma la llave del
+ * aparato, así que lo que la bóveda apunta y enseña es lo que ese aparato dijo **con su
+ * llave**. Un inventario de versiones que cualquiera puede escribir no es un inventario.
+ *
+ * `PRODUCT` es el cliente de la bóveda —el que se instala con `@dotrino/env`—, que es
+ * justo la pieza que se quedaba atrás sin que nadie se enterara: pedía `^0.33.2` con la
+ * librería en 0.60 y enrolar contestaba `invalid cert: no-acta`, que es verdad y no es la
+ * causa.
+ */
+const PRODUCT = 'vault'
+export const MY_VERSION = {
+  product: PRODUCT,
+  version: PKG_VERSION,
+  protocol: VAULT_PROTOCOL,
+  speaks: VAULT_SPEAKS
+}
+
 let _globalsInstalled = false
 function installNodeGlobals () {
   if (_globalsInstalled) return
@@ -593,7 +614,7 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
     const eph = await makeEphemeralKey()
     // `publicOnly` VIAJA FIRMADO (va dentro de `data`), así que nadie lo puede quitar ni
     // poner por el camino. Quien decide qué se manda es la bóveda; esto solo es la petición.
-    const data = { op: 'secrets', ns, ek: eph.ek, publickey: device.publickey, ts: Date.now(), ...(publicOnly ? { publicOnly: true } : {}) }
+    const data = { op: 'secrets', ns, ek: eph.ek, publickey: device.publickey, ts: Date.now(), v: MY_VERSION, ...(publicOnly ? { publicOnly: true } : {}) }
     const { signature } = await signWithDevice({ privateJwk: device.privateJwk, data })
     // A QUIÉN SE LE PREGUNTA: primero a la bóveda, y si no contesta, a los REPLICADORES
     // que el acta nombraba la última vez que la vimos (`docs/replicas.md` §8: «el servicio

package/src/version.js

@@ -0,0 +1,30 @@
+/**
+ * version.js — la versión de `@dotrino/vault` (el CLIENTE, no el daemon).
+ *
+ * Existe porque el cliente tiene que poder decir qué versión es (CONVENCIONES §14), y esta
+ * es justo la pieza que se quedaba atrás sin que nadie se enterara: `@dotrino/env` pedía
+ * `^0.33.2` con la librería en 0.60, y enrolar contestaba `invalid cert: no-acta` — verdad,
+ * y no la causa.
+ *
+ * Se lee del `package.json` que viaja con el paquete. Si no se puede leer se dice `0.0.0`,
+ * que es un número imposible y por tanto legible como «no lo sé» — no se inventa uno
+ * plausible, que sería peor que no decir nada.
+ */
+import fs from 'node:fs'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+function leer () {
+  try {
+    const aqui = dirname(fileURLToPath(import.meta.url))
+    for (const p of [join(aqui, '..', 'package.json'), join(aqui, '..', '..', 'package.json')]) {
+      try {
+        const v = JSON.parse(fs.readFileSync(p, 'utf8'))
+        if (v?.name === '@dotrino/vault' && typeof v.version === 'string') return v.version
+      } catch (_) {}
+    }
+  } catch (_) {}
+  return '0.0.0'
+}
+
+export const PKG_VERSION = leer()