@dotrino/vault 0.61.0 → 0.62.1

package/bin/dotrino-env.js

@@ -218,7 +218,13 @@ async function cmdCheck () {
   // `--public` también aquí: ver QUÉ hay no debería costarle una aprobación al dueño. Sin
   // él se piden todas, que es lo que hace falta para comprobar de verdad un arranque.
   const publicOnly = argv.includes('--public')
-  const secrets = await fetchSecrets({ dir: serviceDir(etiquetaBoveda(), ns), ns, publicOnly })
+  // Y SE DICE QUE ESTÁ ESPERANDO. Sin este aviso `check` se queda mudo cinco minutos —el
+  // plazo de la aprobación— y desde fuera eso es un cuelgue: ni una línea que diga que la
+  // bóveda contestó, que lo que falta es un permiso, ni cuánto va a esperar. `run` sí lo
+  // decía; `check`, que es el comando de DIAGNÓSTICO, era el único que no. Le pasó al dueño
+  // el 2026-09-05 con un cajón cuyo servicio no tenía a nadie que pudiera aprobarle.
+  const onPending = () => console.error('[dotrino-env] la bóveda pide aprobación: apruébalo en un aparato con «aprueba» (hasta 5 min)')
+  const secrets = await fetchSecrets({ dir: serviceDir(etiquetaBoveda(), ns), ns, publicOnly, onPending })
   const keys = Object.keys(secrets)
   console.log('ns "%s": %d %s%s', ns, keys.length,
     publicOnly ? 'variable(s) pública(s)' : 'secreto(s)', keys.length ? ':' : '')

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.61.0",
+  "version": "0.62.1",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",
@@ -51,7 +51,7 @@
   ],
   "peerDependencies": {
     "@dotrino/identity": ">=0.73.1",
-    "@dotrino/proxy-client": ">=0.17.0"
+    "@dotrino/proxy-client": ">=0.18.0"
   },
   "license": "MIT",
   "repository": {

package/src/admin.js

@@ -61,7 +61,11 @@ export const ADMIN_OPS = Object.freeze([
   // documentada en `buildSealedVar` y la consola la llamaba, pero no existía — así que
   // crear una variable desde la consola contestaba «admin: invalid operation». No expone
   // nada nuevo: son llaves PÚBLICAS, las mismas que ya viajan en el acta.
-  'vars', 'var.set', 'var.setMany', 'var.recipients'
+  'vars', 'var.set', 'var.setMany', 'var.recipients',
+  // ABRIR LA BÓVEDA A DISTANCIA (`docs/abrir-a-distancia.md`). Dos pasos: `unlock.begin`
+  // pide una llave efímera y los parámetros del molino; `unlock` trae la derivada dentro
+  // de un sobre que solo esta bóveda puede abrir. No hay una tercera.
+  'unlock.begin', 'unlock'
 ])
 
 /**
@@ -90,7 +94,13 @@ export const ADMIN_OPS = Object.freeze([
  * Se dejan las de LEER a propósito: si se cortaran todas, la consola no podría ni
  * enterarse de por qué no funciona y parecería rota. Así puede decir «está cerrada».
  */
-export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars', 'var.set', 'var.setMany', 'var.recipients'])
+export const ADMIN_OPS_WHILE_LOCKED = Object.freeze([
+  'audit', 'vars', 'var.set', 'var.setMany', 'var.recipients',
+  // Las dos de abrir, obviamente: son las únicas que solo tienen sentido con el candado
+  // echado. Que estén aquí NO las deja pasar sin más — siguen exigiendo cert, acta, nonce
+  // y frescura como todas, y además la contraseña dentro del sobre.
+  'unlock.begin', 'unlock'
+])
 
 /** Cuánto se recuerda un nonce ya usado (el doble de la ventana de frescura). */
 export const ADMIN_NONCE_TTL_MS = 10 * 60 * 1000
@@ -133,6 +143,10 @@ export function authorBody (owner, key, e, ts) {
 export function createAdminDesk ({
   desk, verify, readActivity = () => [], deviceIdOf, vars = null,
   notify = async () => {}, audit = () => {}, isLocked = () => false,
+  // ABRIR A DISTANCIA. Va inyectado —como `vars`— porque abrir necesita cripto y disco, y
+  // este módulo es puro a propósito. `null` en una bóveda que no lo soporte: entonces la
+  // operación existe y contesta que no, en vez de romper con un TypeError.
+  unlockDesk = null,
   now = () => Date.now()
 }) {
   const ops = new Set(ADMIN_OPS)
@@ -193,6 +207,17 @@ export function createAdminDesk ({
 
     try {
 
+      // ABRIR A DISTANCIA. La bóveda hace el trabajo; aquí solo se enruta, porque este
+      // módulo es puro —sin cripto, sin disco— y abrir necesita las dos cosas.
+      if (data.op === 'unlock.begin') {
+        if (!unlockDesk) return { ok: false, error: 'admin: this vault cannot be opened remotely (update it)' }
+        return { ok: true, result: await unlockDesk.begin({ by, device: chk.device }) }
+      }
+      if (data.op === 'unlock') {
+        if (!unlockDesk) return { ok: false, error: 'admin: this vault cannot be opened remotely (update it)' }
+        return await unlockDesk.open({ nonce: data.nonce, enc: data.enc, by, device: chk.device })
+      }
+
       if (data.op === 'audit') {
         const limit = Math.min(Math.max(Number(data.limit) || 100, 1), AUDIT_MAX)
         return { ok: true, result: { entries: readActivity(limit) } }

package/src/index.js

@@ -97,9 +97,8 @@ export async function startDeviceVault (identity, { proxyUrl, client: injectedCl
   const selfCert = await getSelfCert()
   const identify = async () => {
     if (!client.token) return
-    const data = { op: 'identify', publickey: iss, token: client.token, ts: Date.now() }
-    const { signature } = await identity.signData(data)
-    await client.identify({ data, signature, cert: selfCert })
+    // El sobre lo arma el pilar (`identifyAs`), que le pone el destinatario.
+    await client.identifyAs({ publickey: iss, sign: (d) => identity.signData(d), cert: selfCert })
   }
   await identify()
   client.on('token', () => identify().catch(() => {}))

package/src/localdesk.js

@@ -85,7 +85,15 @@ export async function connectLocal ({ masterId, timeoutMs = 3000 } = {}) {
     // El mostrador local no pide identificarse: la puerta la abre el certificado que va
     // dentro de cada mensaje, igual que por el proxio. Identificarse ahí sirve para ser
     // DIRECCIONABLE, y aquí no hay a quién direccionar.
+    //
+    // LAS DOS FORMAS, porque quien llama no sabe por dónde salió. `freshClient` devuelve
+    // esto o un `WebSocketProxyClient` según haya socket o no, y el de arriba llama al
+    // método sin más: si aquí falta el que el pilar usa ahora, el escalón 1 del transporte
+    // —el más rápido, y el que corre en la máquina del dueño— muere con «client.identifyAs
+    // is not a function» mientras por el proxio todo va bien. Que sea un no-op no lo hace
+    // opcional: es la forma del cliente, y tiene que estar entera.
     identify: async () => ({ ok: true }),
+    identifyAs: async () => ({ ok: true }),
     on: (ev, fn) => {
       if (ev !== 'message') return () => {}
       oyentes.add(fn)

package/src/service.js

@@ -199,9 +199,8 @@ async function freshClient (proxyUrl, connectTimeoutMs = 20000, master = null) {
 
 /** Identifica la conexión bajo la pubkey del servicio (para ser direccionable). */
 async function identifyAsService (client, device) {
-  const data = { op: 'identify', publickey: device.publickey, token: client.token, ts: Date.now() }
-  const { signature } = await signWithDevice({ privateJwk: device.privateJwk, data })
-  await client.identify({ data, signature })
+  // El sobre lo arma el pilar (`identifyAs`), que le pone el destinatario.
+  await client.identifyAs({ publickey: device.publickey, sign: (d) => signWithDevice({ privateJwk: device.privateJwk, data: d }) })
 }
 
 /** Cuánto espera un agente a que alguien apruebe (el pedido vive 5 min en la bóveda). */