@dotrino/vault 0.82.1 → 0.83.0

package/bin/dotrino-env.js

@@ -297,8 +297,8 @@ async function cmdInfo () {
 /**
  * `import` y `set`: SUBIR VARIABLES AL CAJÓN DE ESTE SERVICIO (dueño, 2026-09-29: «para
  * facilitar la migración de ENVs a Dotrino»). El `.env` de la máquina sube tal cual; qué
- * se guarda y cuándo lo decide la bóveda (`storeVars`): con aprobación puede editar, sin
- * ella solo añade, y borrar no existe por aquí.
+ * se guarda y cuándo lo decide la bóveda (`storeVars`): añadir es directo, editar una que ya
+ * existe pide aprobación, y borrar no existe por aquí.
  */
 async function cmdStore (fromFile) {
   let parsed
@@ -360,11 +360,10 @@ async function cmdStore (fromFile) {
     process.exit(1)
   })
   if (r.pending) {
-    console.log('\nPedido de aprobación enviado (%s). Apruébalo en un aparato con «aprueba»:', r.pending)
-    console.log('se guardarán al aprobar. Con la aprobación también se pueden cambiar las que ya existían.')
+    console.log('\nAlguna de estas variables ya existe, y cambiarla pide aprobación.')
+    console.log('Pedido enviado (%s). Apruébalo en un aparato con «aprueba»: se guardan todas al aprobar.', r.pending)
   } else {
     console.log('\nGuardadas: %s', r.keys.join(', '))
-    console.log('(nadie en tu cuenta puede aprobar, así que solo se añaden las que faltaban)')
   }
 }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.82.1",
+  "version": "0.83.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",
@@ -59,7 +59,7 @@
     "pairing"
   ],
   "peerDependencies": {
-    "@dotrino/identity": ">=0.99.0",
+    "@dotrino/identity": ">=0.111.0",
     "@dotrino/proxy-client": ">=0.23.1"
   },
   "license": "MIT",

package/src/enroll.js

@@ -30,7 +30,7 @@
  * `docs/pairing-protocol.md`).
  */
 import { verifyDeviceSig, pubkeyId, commitCode } from '@dotrino/identity/capabilities'
-import { verifyContinuity, canSeal, DEVICE_CAPS } from '@dotrino/identity/acta'
+import { verifyContinuity, canSeal, DEVICE_CAPS, VAULT_CN } from '@dotrino/identity/acta'
 
 /** Un token de emparejamiento vale 5 min. */
 export const PAIRING_TTL_MS = 5 * 60 * 1000
@@ -169,12 +169,16 @@ export function createEnrollDesk ({
    *                       el código, igual que hacía `caps` después.
    */
   async function startPairing ({ scope = defaultScope, ttlMs = defaultTtlMs, label = '', mode = 'join', account = '', caps = null } = {}) {
+    // El nombre de la propia bóveda no es un servicio: su llave firma con el perfil cerrado
+    // y no puede abrir ningún cajón. Un servicio que entrara con ese nombre tampoco podría.
+    if (scopeToCn(scope) === VAULT_CN) throw Object.assign(new Error(`"${VAULT_CN}" is the vault's own name: a service cannot use it`), { code: 'reserved-cn' })
     if (caps != null) {
       if (!Array.isArray(caps)) throw Object.assign(new Error('caps must be a list'), { code: 'bad-caps' })
       const cn = scopeToCn(scope)
-      const bad = caps.filter((c) => !(DEVICE_CAPS.includes(c) || (c === 'secrets' && cn)))
+      const bad = caps.filter((c) => !DEVICE_CAPS.includes(c))
       if (bad.length) throw Object.assign(new Error('unknown permission(s): ' + bad.join(', ')), { code: 'bad-caps' })
-      if (!caps.length) throw Object.assign(new Error('the pairing grants no permission'), { code: 'empty-scope' })
+      // Un servicio puede entrar sin ningún permiso: su cajón lo abre el CN.
+      if (!caps.length && !cn) throw Object.assign(new Error('the pairing grants no permission'), { code: 'empty-scope' })
       caps = [...new Set(caps)]
     }
     pending.clear() // uno a la vez: una sesión nueva supersede a la anterior
@@ -378,13 +382,14 @@ export function createEnrollDesk ({
       throw Object.assign(new Error('this vault cannot add devices to the account record: no certificate was issued'), { code: 'admit-unavailable' })
     }
     // PERMISOS, no tipos (2026-08-22): las capacidades son las del scope ENTERO. Un
-    // cajón (`secrets:<ns>`) suma `secrets` y fija el CN; no borra lo demás — un bot
-    // con `sign,secrets:eco` firma como aparato del acta Y lee solo su cajón.
+    // cajón (`secrets:<ns>`) fija el CN, que es lo que lo abre —no hay permiso aparte
+    // (dueño, 2026-10-13)—, y no borra lo demás: un bot con `sign,secrets:eco` firma como
+    // aparato del acta Y lee solo su cajón.
     // Si quien emparejó ELIGIÓ los permisos (`startPairing({ caps })`), entran esos y en
     // esta misma acta; si no, los que da el scope.
     const cn = scopeToCn(pend.scope)
-    const caps = [...new Set([...(pend.caps || scopeToCaps(pend.scope)), ...(cn ? ['secrets'] : [])])]
-    if (!caps.length) {
+    const caps = [...new Set(pend.caps || scopeToCaps(pend.scope))]
+    if (!caps.length && !cn) {
       throw Object.assign(new Error('the pairing scope grants no permission: no certificate was issued'), { code: 'empty-scope' })
     }
 

package/src/service.js

@@ -522,8 +522,9 @@ export async function registerEncKey ({ dir, ns, proxyUrl, masterPubkey, device,
  * privadas al pasar.
  *
  * Lo que decide la bóveda, no este cliente:
- *   · si hay quien apruebe, se pide aprobación siempre, y al aprobarse puede EDITAR;
- *   · si nadie puede aprobar, solo AÑADE lo que falta (una que ya exista falla con `exists`);
+ *   · AÑADIR una variable nueva es directo: se guarda en el acto;
+ *   · EDITAR una que ya existe pide aprobación (la tanda entera queda en espera);
+ *   · si nadie puede aprobar, una que ya exista falla con `exists`;
  *   · BORRAR no existe por aquí.
  *
  * @param {object} o