@dotrino/vaultd 0.105.1 → 0.105.3

package/lib/src/service.js

@@ -302,14 +302,34 @@ export async function sayHello (client, qr) {
 }
 
 /**
- * Cómo se llama la cuenta de esa invitación, sin enrolar nada. Una conexión y una pregunta.
+ * El hello de esa invitación, sin enrolar nada: devuelve el `qr` ENRIQUECIDO con
+ * `iss`, `proxy` y `acct`.
+ *
+ * Devuelve el qr y no solo el nombre PORQUE LA CITA SE QUEMA AL CANJEARLA. Quien
+ * pregunta el nombre de la cuenta y después enrola estaría canjeando dos veces la
+ * misma cita, y el segundo canje falla con «código no válido o ya usado» — un error
+ * que señala a la invitación cuando el problema es haberla gastado uno mismo.
+ * Con el qr enriquecido, `sayHello` corta por su `if (qr.iss) return qr` y el
+ * enrolamiento no vuelve a salir a preguntar.
  */
-export async function vaultAccountName (qr) {
+export async function vaultHello (qr) {
   if (typeof qr === 'string') qr = parseInvite(qr)
   if (!qr?.sn) throw new Error('that does not look like a vault invitation')
-  if (qr.acct) return qr.acct
+  if (qr.iss) return qr
   const client = await freshClient(qr.proxy || 'wss://proxy.dotrino.com')
-  try { return (await sayHello(client, qr)).acct || '' } finally { try { client.close() } catch (_) {} }
+  try { return await sayHello(client, qr) } finally { try { client.close() } catch (_) {} }
+}
+
+/**
+ * Cómo se llama la cuenta de esa invitación, sin enrolar nada.
+ *
+ * OJO: gasta la cita. Si además vas a enrolar, usá `vaultHello` y pasale al enroll el
+ * qr que devuelve; si no, el enrolamiento se encuentra la cita quemada.
+ */
+export async function vaultAccountName (qr) {
+  if (typeof qr === 'string') qr = parseInvite(qr)
+  if (qr?.acct) return qr.acct
+  return (await vaultHello(qr)).acct || ''
 }
 
 export async function enrollWithVault ({ qr, label = 'agent', expectedScope = null, onCode, approveTimeoutMs = 180000, withEncKey = true } = {}) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.105.1",
+  "version": "0.105.3",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -14,7 +14,8 @@
     "pair": "node bin/dotrino-vaultd.js --pair",
     "tui": "node bin/dotrino-vault-tui.js",
     "test": "node --test test/*.test.mjs",
-    "type-check": "tsc --noEmit"
+    "type-check": "tsc --noEmit",
+    "release:env": "node packaging/release-env.mjs"
   },
   "engines": {
     "node": ">=20"

package/src/secretsStore.js

@@ -342,6 +342,19 @@ export function openSecretsStore (dir, { sealer = null, recipients = null, signe
     schemaVersion: () => data.schemaVersion,
     /** ¿La privada de recuperación está sellada solo con la llave de esta máquina? */
     recoveryPub: () => data.recovery?.pub || null,
+    /**
+     * CREA LA LLAVE DE RECUPERACIÓN SI NO EXISTE. Se llama al ABRIR la bóveda, que es el
+     * único momento en que se puede: sellar su privada necesita la maestra.
+     *
+     * Nacía perezosamente, al escribir el primer secreto. En un perfil recién hecho eso
+     * significaba que la bóveda no tenía a quién envolver, y como crearla exige estar
+     * abierta, escribir el PERFIL con la bóveda cerrada era imposible — que es justo lo
+     * que el perfil en sobres viene a permitir. Lo encontró el escenario del navegador:
+     * «the vault did not say who to seal the profile for».
+     *
+     * Idempotente: si ya está, no toca nada.
+     */
+    async ensureRecovery (adminKey = null) { return enFila(async () => (await ensureRecovery(adminKey)).pub) },
 
     /**
      * MUCHAS ESCRITURAS, UN GUARDADO. Cargar la configuración de un servicio son veinte

package/src/vault.js

@@ -2552,6 +2552,15 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // ANTES de reenvolver nada: si la copia de recuperación se quedó bajo la llave de la
     // máquina, se pasa a la frase. Sin esto, todo lo de abajo falla con «wrong password».
     if (adminKey) await migrarRecuperacionALaFrase(adminKey)
+    // Y LA LLAVE DE RECUPERACIÓN EXISTE. Nacía al escribir el primer secreto, así que una
+    // bóveda recién creada no tenía a quién envolver — y como crearla necesita la maestra,
+    // cerrada ya no había manera. El síntoma: escribir el perfil con la bóveda cerrada
+    // fallaba con «the vault did not say who to seal the profile for», en un perfil nuevo
+    // y solo en el primero. Abrir la bóveda es el momento de saldarlo, y es idempotente.
+    // …salvo en un almacén v3, que no tiene ese concepto: ahí lo que toca es `migrate`, y
+    // escribir o leer un sobre ya se rechaza diciéndolo. Crearla antes de migrar sería
+    // dejar una llave suelta en un formato que va a reescribirse entero.
+    if (!secrets.isLegacy()) await secrets.ensureRecovery(adminKey)
     const out = { drawers: 0, wrapped: 0, sealed: 0, dropped: 0, sinLlave: [], failed: [] }
     for (const owner of secrets.owners?.() || []) {
       const before = new Set(secrets.recipientsIn(owner))