@dotrino/vault 0.92.0 → 0.93.1

package/bin/dotrino-env.js

@@ -46,17 +46,17 @@ const argv = process.argv.slice(2)
  * La línea va por STDERR: `dotrino-env run` le cede stdout a otro programa, y colarle ahí
  * una cortesía es romperle la tubería a quien lo esté canalizando.
  */
-const avisoVersion = updateNotice({
+const versionNotice = updateNotice({
   current: VERSION, source: 'npm', pkg: '@dotrino/env', product: 'dotrino-env'
 }).catch(() => null)
 
 /** Lo dice, si hay algo que decir, con un tope: nunca retiene la salida más de 1,5 s. */
-let avisoDicho = false
-async function decirAvisoVersion () {
-  if (avisoDicho) return
-  avisoDicho = true
-  const linea = await Promise.race([avisoVersion, new Promise((resolve) => setTimeout(() => resolve(null), 1500).unref())])
-  if (linea) process.stderr.write(`\n[dotrino-env] ${linea} · actualiza con: npm i -g @dotrino/env\n`)
+let noticeShown = false
+async function showVersionNotice () {
+  if (noticeShown) return
+  noticeShown = true
+  const line = await Promise.race([versionNotice, new Promise((resolve) => setTimeout(() => resolve(null), 1500).unref())])
+  if (line) process.stderr.write(`\n[dotrino-env] ${line} · actualiza con: npm i -g @dotrino/env\n`)
 }
 const flag = (name) => { const i = argv.indexOf('--' + name); return i >= 0 ? argv[i + 1] : undefined }
 
@@ -68,7 +68,7 @@ const flag = (name) => { const i = argv.indexOf('--' + name); return i >= 0 ? ar
  * lo que suena en el bolsillo — y con dos ventanas abiertas eso es exactamente lo que hay que
  * distinguir antes de decir que sí.
  */
-function esperandoAprobacion () {
+function awaitingApproval () {
   const ctx = selfContext()
   console.error('[dotrino-env] the vault asks for approval — approve it on a device with «aprueba» (up to 5 min)')
   console.error('[dotrino-env]   %s', commandLine(ctx, 160))
@@ -154,10 +154,10 @@ async function readInvite () {
  * creando el directorio y hay que decir de quién es. Para USARLO no: el `ns` se busca entre
  * las bóvedas enroladas y solo hace falta elegir si está en más de una (dueño, 2026-09-01).
  */
-function etiquetaBoveda ({ exigida = false } = {}) {
+function vaultLabel ({ exigida: demanded = false } = {}) {
   const v = resolveVaultLabel(flag('vault'))
   if (!v) {
-    if (!exigida) return null
+    if (!demanded) return null
     console.error('falta --vault <nombre>  (o DOTRINO_ENV_VAULT)')
     console.error('')
     console.error('  Dice DE QUÉ BÓVEDA es este cajón. Es una etiqueta tuya, de esta máquina:')
@@ -191,23 +191,23 @@ async function cmdEnroll () {
   // La etiqueta es solo el nombre de una carpeta de esta máquina, así que el nombre de la
   // cuenta se lleva a minúsculas y se le quitan los caracteres que no valen. Si de ahí no
   // sale nada utilizable, se pide — no se inventa un nombre.
-  let boveda = etiquetaBoveda()
-  if (!boveda) {
+  let vault = vaultLabel()
+  if (!vault) {
     const { vaultHello } = await import('../src/service.js')
     // Se REUSA el qr que vuelve del hello: la cita se quema al canjearla, así que
     // preguntar el nombre y después enrolar con el qr original gastaba la invitación
     // en la pregunta y dejaba al enrolamiento sin nada que canjear.
     qr = await vaultHello(qr).catch(() => qr)
-    const nombre = qr.acct || ''
-    boveda = String(nombre || '').toLowerCase().replace(/[^a-z0-9-]+/g, '-').replace(/^-+|-+$/g, '').slice(0, 32)
-    if (!boveda) {
+    const name = qr.acct || ''
+    vault = String(name || '').toLowerCase().replace(/[^a-z0-9-]+/g, '-').replace(/^-+|-+$/g, '').slice(0, 32)
+    if (!vault) {
       console.error('esa bóveda no dice cómo se llama su cuenta: dime tú la etiqueta')
       console.error('  ej.:  dotrino-env enroll --ns %s --vault mi-boveda --code …', ns)
       process.exit(2)
     }
-    console.log('  bóveda: «%s» (el nombre de la cuenta; se guarda en ~/.dotrino/service/%s/%s)', boveda, boveda, ns)
+    console.log('  bóveda: «%s» (el nombre de la cuenta; se guarda en ~/.dotrino/service/%s/%s)', vault, vault, ns)
   }
-  const dir = flag('dir') || serviceDir(boveda, ns)
+  const dir = flag('dir') || serviceDir(vault, ns)
 
   console.log('\nEnrolando el servicio "%s" contra el vault…', ns)
   const { cert } = await enrollService({
@@ -252,9 +252,9 @@ async function cmdStatus () {
     // LO QUE QUEDÓ EN EL FORMATO VIEJO se dice y no se usa. Repescarlo en silencio sería
     // fingir que la migración no hace falta; callarlo dejaría un servicio «desaparecido».
     if (e.legacy) {
-      const viejo = path.join(serviceRoot(), e.ns)
+      const old = path.join(serviceRoot(), e.ns)
       console.log('%s  ⚠ del formato anterior, sin la bóveda — no se usa', e.ns)
-      console.log('  muévelo:  mkdir -p %s/<bóveda> && mv %s %s/<bóveda>/', serviceRoot(), viejo, serviceRoot())
+      console.log('  muévelo:  mkdir -p %s/<bóveda> && mv %s %s/<bóveda>/', serviceRoot(), old, serviceRoot())
       continue
     }
     const dir = serviceDir(e.vault, e.ns)
@@ -263,13 +263,13 @@ async function cmdStatus () {
     // El papel se describe por el ACTA a la que se ató. Uno del modelo viejo se dice tal
     // cual, con su fecha, porque ESO sí importa: es lo único que todavía caduca, y sabrá
     // el operador que le queda una migración por hacer.
-    const papel = typeof c?.seq === 'number'
+    const paper = typeof c?.seq === 'number'
       ? `acta #${c.seq}`
       : (typeof c?.exp === 'number' ? `modelo viejo · vence ${new Date(c.exp).toISOString().slice(0, 10)}` : '?')
-    const aparato = id?.device?.publickey ? await shortId(id.device.publickey) : '?'
-    const boveda = id?.iss ? await shortId(id.iss) : '?'
+    const device = id?.device?.publickey ? await shortId(id.device.publickey) : '?'
+    const vault = id?.iss ? await shortId(id.iss) : '?'
     console.log('%s/%s\n  id:    %s\n  dir:   %s\n  vault: %s\n  scope: %s\n  cert:  %s',
-      e.vault, e.ns, aparato, dir, boveda, (c?.scope || []).join(', '), papel)
+      e.vault, e.ns, device, dir, vault, (c?.scope || []).join(', '), paper)
   }
 }
 
@@ -328,10 +328,10 @@ async function cmdStore (fromFile) {
     process.exit(1)
   }
   const allPublic = argv.includes('--all-public')
-  const publicas = new Set(String(flag('public') || '').split(',').map((k) => k.trim()).filter(Boolean))
-  const desconocidas = [...publicas].filter((k) => !parsed.items.some((it) => it.key === k))
-  if (desconocidas.length) { console.error('--public nombra variables que no se van a subir: %s', desconocidas.join(', ')); process.exit(2) }
-  const vars = parsed.items.map((it) => ({ key: it.key, value: it.value, public: allPublic || publicas.has(it.key) }))
+  const publicOnes = new Set(String(flag('public') || '').split(',').map((k) => k.trim()).filter(Boolean))
+  const unknown = [...publicOnes].filter((k) => !parsed.items.some((it) => it.key === k))
+  if (unknown.length) { console.error('--public nombra variables que no se van a subir: %s', unknown.join(', ')); process.exit(2) }
+  const vars = parsed.items.map((it) => ({ key: it.key, value: it.value, public: allPublic || publicOnes.has(it.key) }))
 
   // DE QUIÉN: la identidad de dotrino-env o, con --link, el enlace de un agente (terminal,
   // ia, content…), que es un aparato con cajón igual que cualquier servicio.
@@ -345,17 +345,17 @@ async function cmdStore (fromFile) {
     who = { ns, proxyUrl: link.proxy, masterPubkey: link.iss, device: link.device, cert: link.cert, dondeDice: `${linkDir} (cajón ${ns})` }
   } else {
     const ns = resolveNs(flag('ns'))
-    const dir = serviceDir(etiquetaBoveda(), ns)
+    const dir = serviceDir(vaultLabel(), ns)
     who = { dir, ns, dondeDice: `${path.basename(path.dirname(dir))}/${ns}` }
   }
 
   const pub = vars.filter((v) => v.public).map((v) => v.key)
   console.log('Subiendo %d variable(s) a %s: %s', vars.length, who.dondeDice, vars.map((v) => v.key).join(', '))
   if (pub.length) console.log('  públicas: %s', pub.join(', '))
-  const { dondeDice, ...ident } = who
+  const { dondeDice: whereItSays, ...ident } = who
   const r = await storeVars({ ...ident, vars }).catch((e) => {
     if (e.code === 'exists') {
-      console.error('\n%s\nSin nadie que pueda aprobar, desde aquí solo se añaden variables nuevas. Para cambiar una que ya existe, hazlo en la bóveda (dotrino-vault secret set) o dale a alguien el permiso de aprobar.', e.message)
+      console.error('\n%s\nSin nadie que pueda aprobar, desde aquí solo se añaden variables nuevas. Para cambiar una que ya existe, hazlo en la bóveda (dotrino-vault secret set) o asígnale a alguien el permiso de aprobar.', e.message)
     } else console.error('\nno se pudo subir: %s', e.message)
     process.exit(1)
   })
@@ -380,8 +380,8 @@ async function cmdCheck () {
   // bóveda contestó, que lo que falta es un permiso, ni cuánto va a esperar. `run` sí lo
   // decía; `check`, que es el comando de DIAGNÓSTICO, era el único que no. Le pasó al dueño
   // el 2026-09-05 con un cajón cuyo servicio no tenía a nadie que pudiera aprobarle.
-  const onPending = () => esperandoAprobacion()
-  const secrets = await fetchSecrets({ dir: serviceDir(etiquetaBoveda(), ns), ns, publicOnly, onPending })
+  const onPending = () => awaitingApproval()
+  const secrets = await fetchSecrets({ dir: serviceDir(vaultLabel(), ns), ns, publicOnly, onPending })
   const keys = Object.keys(secrets)
   console.log('ns "%s": %d %s%s', ns, keys.length,
     publicOnly ? 'variable(s) pública(s)' : 'secreto(s)', keys.length ? ':' : '')
@@ -397,7 +397,7 @@ async function cmdRun () {
   const sep = argv.indexOf('--')
   const cmd = sep >= 0 ? argv.slice(sep + 1) : []
   if (!cmd.length) { console.error('uso: dotrino-env run [--vault <bóveda>] [--ns <ns>] [--public] -- <cmd> [args…]'); process.exit(2) }
-  const onPending = () => esperandoAprobacion()
+  const onPending = () => awaitingApproval()
   // POR QUÉ SE REINTENTA, SIEMPRE. Sin esto la espera es muda: la bóveda contestaba, la
   // respuesta se caía por un motivo concreto —un aparato sin sobre en su cajón, por
   // ejemplo— y por fuera solo se veía «waiting for approval» una y otra vez, aunque el
@@ -412,12 +412,12 @@ async function cmdRun () {
   // ya la ve quien administra. Es lo que quiere un arranque que solo necesita configuración
   // —una URL, un puerto— y no tiene por qué despertar al dueño.
   const publicOnly = argv.includes('--public')
-  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: etiquetaBoveda(), onPending, onRetry, publicOnly })
+  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: vaultLabel(), onPending, onRetry, publicOnly })
   console.error('[dotrino-env] %d valor(es) en el entorno de %s%s', injected.length, cmd[0],
     overridden.length ? ` (pisados: ${overridden.join(', ')})` : '')
   const child = spawn(cmd[0], cmd.slice(1), { stdio: 'inherit', env: process.env })
   // Al terminar el programa, no antes: mientras corría, la consulta ya se contestó.
-  child.on('exit', async (code, signal) => { await decirAvisoVersion(); process.exit(signal ? 1 : (code ?? 0)) })
+  child.on('exit', async (code, signal) => { await showVersionNotice(); process.exit(signal ? 1 : (code ?? 0)) })
 }
 
 /**
@@ -435,10 +435,10 @@ async function cmdSshAgent () {
   const { serviceDir, resolveNs } = await import('../src/env.js')
   const { waitForSecrets } = await import('../src/service.js')
   const ns = resolveNs(flag('ns') || undefined)
-  const dir = flag('dir') || serviceDir(etiquetaBoveda(), ns)
+  const dir = flag('dir') || serviceDir(vaultLabel(), ns)
   const socketPath = flag('socket') || defaultSocketPath(dir)
   console.error('[dotrino-env] asking the vault for the keys of «%s»…', ns)
-  const secrets = await waitForSecrets({ dir, ns, onPending: () => esperandoAprobacion() })
+  const secrets = await waitForSecrets({ dir, ns, onPending: () => awaitingApproval() })
   const keys = []
   for (const [name, value] of Object.entries(secrets)) {
     if (!/^SSH_KEY_[A-Z0-9_]*$/.test(name)) continue
@@ -479,5 +479,5 @@ run()
   // termina en cuanto LANZA el programa, así que este `.then` lo diría mientras el programa
   // aún corre, mezclado con su salida. `run` avisa cuando su hijo sale; `ssh-agent` no
   // termina nunca. Aquí llegan las órdenes cortas.
-  .then(() => (['run', 'ssh-agent'].includes(argv[0]) ? null : decirAvisoVersion()))
+  .then(() => (['run', 'ssh-agent'].includes(argv[0]) ? null : showVersionNotice()))
   .catch((e) => { console.error('\n[dotrino-env] ' + e.message); process.exit(1) })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.92.0",
+  "version": "0.93.1",
   "description": "La bóveda de Dotrino como librería: el MISMO núcleo que el binario corriendo en el navegador (`@dotrino/vault/browser`), el mostrador de emparejamiento y el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/admin.js

@@ -157,7 +157,7 @@ export function createAdminDesk ({
   now = () => Date.now()
 }) {
   const ops = new Set(ADMIN_OPS)
-  const mientrasCerrada = new Set(ADMIN_OPS_WHILE_LOCKED)
+  const whileLocked = new Set(ADMIN_OPS_WHILE_LOCKED)
 
   // NONCE de un solo uso. `sign`/`get` son idempotentes y les basta la ventana de ±5
   // min; `revoke` y `var.set` CAMBIAN ESTADO, así que reproducir uno dentro de esa
@@ -196,7 +196,7 @@ export function createAdminDesk ({
     //
     // El código va aparte del texto porque el texto se traduce y el código no: quien
     // llama distingue «está cerrada, ábrela» de «no tienes permiso» sin leer la frase.
-    if (isLocked() && !mientrasCerrada.has(data.op)) {
+    if (isLocked() && !whileLocked.has(data.op)) {
       audit('rejected', { what: 'admin', op: data.op, by, reason: 'locked' })
       return {
         ok: false,

package/src/atrest.js

@@ -169,18 +169,18 @@ export function atRestFor (dir, { password = '' } = {}) {
 /**
  * Cifra AHORA un archivo que esté en claro, verificando antes de reemplazar: se escribe a un
  * temporal, se vuelve a leer y descifrar, se compara, y solo entonces se renombra encima.
- * Devuelve 'ya-cifrado' | 'migrado' | 'sin-archivo'.
+ * Devuelve 'already-encrypted' | 'migrated' | 'no-file'.
  */
 export function migrateFile (file, key) {
   let text
-  try { text = fs.readFileSync(file, 'utf8') } catch (_) { return 'sin-archivo' }
-  if (isEncrypted(text)) return 'ya-cifrado'
+  try { text = fs.readFileSync(file, 'utf8') } catch (_) { return 'no-file' }
+  if (isEncrypted(text)) return 'already-encrypted'
   const blob = encryptText(text, key)
   if (decryptText(blob, key) !== text) throw new Error('at-rest: verification failed, the original is untouched')
   const tmp = file + '.atrest.tmp'
   fs.writeFileSync(tmp, blob, { mode: 0o600 })
   fs.renameSync(tmp, file)
-  return 'migrado'
+  return 'migrated'
 }
 
 /** Los archivos de este directorio que están cifrados por nosotros. */

package/src/browser.js

@@ -69,7 +69,7 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
     }
   }
 
-  const avisar = () => { try { onPendingChange() } catch (_) {} }
+  const notify = () => { try { onPendingChange() } catch (_) {} }
   const vault = await startVault({
     platform: {
       disk,
@@ -87,7 +87,7 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
     // El navegador no tiene la contraseña del perfil con la que el binario cierra la copia
     // de recuperación: se cierra con la llave de este almacén, y el núcleo lo dice.
     hasPassword: () => false,
-    onEnrollChallenge: avisar,
+    onEnrollChallenge: notify,
     onAdopted: (info) => { try { onAdopted(info) } catch (_) {} }
   })
 
@@ -109,7 +109,7 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
    * acta: es verdad que este navegador administra la cuenta. `aprueba` NO, a propósito: con
    * él los servicios pasarían a esperar el visto bueno de una pestaña que puede no estar.
    */
-  const asegurarAdmin = async () => {
+  const ensureAdmin = async () => {
     if (core.masterLocked) return
     const acta = (await identity.profileActa().catch(() => null))?.acta || null
     const yo = (acta?.members || []).find((m) => m.pub === master)
@@ -119,15 +119,15 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
     log('[vault] this browser administers the account: admin added to its own key')
   }
   const open = (onReply) => vault.localChannel(onReply)
-  const presentar = async () => {
+  const present = async () => {
     try {
-      await asegurarAdmin()
+      await ensureAdmin()
       const cert = await selfCert()
       core.setSelfVault?.(cert ? { cert, proxy: proxyUrl, open } : null)
     } catch (e) { log('[vault] the console in this browser cannot administer this vault yet: ' + (e?.message || e)) }
   }
-  await presentar()
-  const refresco = setInterval(presentar, SELF_CERT_EVERY_MS)
+  await present()
+  const refresh = setInterval(present, SELF_CERT_EVERY_MS)
 
   return {
     ...vault,
@@ -135,8 +135,8 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
     proxy: proxyUrl,
     disk,
     /** Aprueba TIPEANDO el código que muestra el aparato (el núcleo comprueba el compromiso). */
-    approve: async (_deviceId, code) => { try { return await vault.approveDevice(code) } finally { avisar() } },
-    reject: (deviceId) => { try { return vault.rejectDevice(deviceId) } finally { avisar() } },
+    approve: async (_deviceId, code) => { try { return await vault.approveDevice(code) } finally { notify() } },
+    reject: (deviceId) => { try { return vault.rejectDevice(deviceId) } finally { notify() } },
     /**
      * Las máquinas con papel de firma de esta cuenta (excluye los navegadores enrolados con
      * etiqueta `cli`, que no atienden pedidos). Se queda el papel del acta más nueva.
@@ -155,7 +155,7 @@ export async function startBrowserVault ({ core, proxyUrl = DEFAULT_PROXY, makeC
     revokeDevice: (sub) => vault.revokeDevice({ sub }),
     revoke: (nonce) => vault.revokeDevice(nonce),
     async close () {
-      clearInterval(refresco)
+      clearInterval(refresh)
       try { core.setSelfVault?.(null) } catch (_) {}
       vault.close()
       try { await disk.flush() } catch (e) { log('[vault] some changes could not be saved: ' + (e?.message || e)) }

package/src/core/approvals.js

@@ -84,7 +84,7 @@ export function createApprovals ({ now = Date.now, pendingTtlMs = PENDING_TTL_MS
      * apruebe— y tiene que volver por el mismo sitio: desde que la bóveda atiende también
      * por un socket local, mandarla siempre por el proxio la dejaba en el vacío.
      */
-    request ({ ns, device, deviceId, label = '', ek, ctx = null, from = null, ttlMs = null, kind = 'read' }) {
+    request ({ ns, device, deviceId, label = '', ek, ctx = null, from = null, ttlMs = null, kind = 'read', re = null }) {
       // Pedir las claves otra vez reemplaza al pedido anterior: es la misma pregunta. Una
       // ESCRITURA no: cada una lleva su propio valor, y reemplazarla tiraría la anterior
       // sin que nadie dijera que no.
@@ -92,7 +92,8 @@ export function createApprovals ({ now = Date.now, pendingTtlMs = PENDING_TTL_MS
       const ts = now()
       // `ttlMs` lo pone quien pide: una actualización aguanta un día y un comando cinco
       // minutos, y la mesa no tiene por qué saber cuál es cuál (ver `PENDING_TTL_MS`).
-      const p = { id: rnd(), ns, kind, device, deviceId, label, ek, ctx, ts, exp: ts + (ttlMs || pendingTtlMs), from }
+      // `re`: la huella de la petición, para firmarle al que pidió el «denegado» (ver `signError`).
+      const p = { id: rnd(), ns, kind, device, deviceId, label, ek, ctx, ts, exp: ts + (ttlMs || pendingTtlMs), from, re }
       pending.set(p.id, p)
       return publicOf(p)
     },

package/src/core/libVersion.js

@@ -1,8 +1,8 @@
 /**
  * LA VERSIÓN DE `@dotrino/vault`, escrita aquí porque el navegador no puede leer el
  * `package.json`. Con esta se anuncia la bóveda de la pestaña y de la extensión
- * (`@dotrino/compat`). Una prueba (`test/version-del-navegador.test.mjs`) para el release
+ * (`@dotrino/compat`). Una prueba (`test/browser-version.test.mjs`) para el release
  * si no coincide con la del paquete: una versión anunciada que no es la que corre es peor
  * que no anunciar ninguna.
  */
-export const LIB_VERSION = '0.92.0'
+export const LIB_VERSION = '0.93.1'

package/src/core/sealer.js

@@ -163,8 +163,8 @@ export function makeSealer () {
      * síntoma sería un servicio arrancando sin configuración y sin decir por qué.
      */
     async wrapFor (cek, members) {
-      const { generation, sinLlave } = await makeGeneration({ members, cek })
-      return { wraps: generation.wraps, sinLlave }
+      const { generation, sinLlave: noKey } = await makeGeneration({ members, cek })
+      return { wraps: generation.wraps, sinLlave: noKey }
     }
   }
 }

package/src/core/sealers.js

@@ -59,7 +59,7 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
   if (!registryId) return () => {}
 
   /** Una respuesta a `sealers.whois`, o null si no contesta a tiempo. */
-  function preguntarQuienEs (token, timeoutMs = 8000) {
+  function askWhoItIs (token, timeoutMs = 8000) {
     return new Promise((resolve) => {
       const fin = (v) => { try { off() } catch (_) {} ; clearTimeout(t); resolve(v) }
       const off = client.on('message', (_f, p) => { if (p?.op === WHOIS + '.result') fin(p) })
@@ -82,11 +82,11 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
    * filtraría nada —el eslabón es público— pero se los tragaría EN SILENCIO, que es peor
    * que un error.
    */
-  async function testigo () {
+  async function witness () {
     let tokens
     try { tokens = await client.list(canal) } catch (_) { return null }
     for (const token of tokens || []) {
-      const r = await preguntarQuienEs(token)
+      const r = await askWhoItIs(token)
       const cert = r?.cert
       if (!cert?.sub || cert.iss !== registryId) continue
       // AQUÍ SOMOS EXTRAÑOS: no tenemos el acta del registro, así que no podemos preguntarle
@@ -107,11 +107,11 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
     return null
   }
 
-  let ultima = null
+  let latest = null
 
-  let avisadoDeOtroTestigo = false
+  let warnedOtherWitness = false
 
-  async function publicar (motivo) {
+  async function publish (reason) {
     let actas
     try { actas = await identity.sealerChain?.() } catch (_) { return }
     if (!Array.isArray(actas)) return
@@ -122,8 +122,8 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
     // exactamente lo que ese campo existe para impedir. Se dice una vez y se calla.
     const genesis = actas[0]
     if (genesis?.chainUrl && registryId === DOTRINO_REGISTRY_ID) {
-      if (!avisadoDeOtroTestigo) {
-        avisadoDeOtroTestigo = true
+      if (!warnedOtherWitness) {
+        warnedOtherWitness = true
         log(`[sealers] this account names its own registry (${genesis.chainUrl}): not depositing into Dotrino's`)
       }
       return
@@ -136,14 +136,14 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
     // aparece en el registro hasta que selle un acta nueva.
     if (chain.length < 2) return
 
-    const cabeza = chain[chain.length - 1]?.seq
-    if (cabeza === ultima) return
+    const head = chain[chain.length - 1]?.seq
+    if (head === latest) return
     try {
-      const a = await testigo()
+      const a = await witness()
       if (!a) { log('[sealers] no witness announced in ' + canal + ': the chain stays for the next time'); return }
       await client.sendByPubkey(a, { op: OP, chain })
-      ultima = cabeza
-      log(`[sealers] chain up to #${cabeza} deposited (${motivo})`)
+      latest = head
+      log(`[sealers] chain up to #${head} deposited (${reason})`)
     } catch (e) {
       // Que no se pueda depositar no rompe nada de lo que la bóveda hace: el registro es
       // una comodidad para terceros, no una dependencia. Se reintenta en la próxima acta.
@@ -151,8 +151,8 @@ export function startSealersPublisher ({ identity, client, log = console.log, re
     }
   }
 
-  publicar('startup').catch(() => {})
-  const off = identity.onVault?.((e) => { if (e?.phase === 'acta') publicar(`record #${e.seq}`).catch(() => {}) })
+  publish('startup').catch(() => {})
+  const off = identity.onVault?.((e) => { if (e?.phase === 'acta') publish(`record #${e.seq}`).catch(() => {}) })
   return () => { try { off?.() } catch (_) {} }
 }