@dotrino/vaultd 0.105.2 → 0.105.3

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.105.2",
+  "version": "0.105.3",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/secretsStore.js

@@ -342,6 +342,19 @@ export function openSecretsStore (dir, { sealer = null, recipients = null, signe
     schemaVersion: () => data.schemaVersion,
     /** ¿La privada de recuperación está sellada solo con la llave de esta máquina? */
     recoveryPub: () => data.recovery?.pub || null,
+    /**
+     * CREA LA LLAVE DE RECUPERACIÓN SI NO EXISTE. Se llama al ABRIR la bóveda, que es el
+     * único momento en que se puede: sellar su privada necesita la maestra.
+     *
+     * Nacía perezosamente, al escribir el primer secreto. En un perfil recién hecho eso
+     * significaba que la bóveda no tenía a quién envolver, y como crearla exige estar
+     * abierta, escribir el PERFIL con la bóveda cerrada era imposible — que es justo lo
+     * que el perfil en sobres viene a permitir. Lo encontró el escenario del navegador:
+     * «the vault did not say who to seal the profile for».
+     *
+     * Idempotente: si ya está, no toca nada.
+     */
+    async ensureRecovery (adminKey = null) { return enFila(async () => (await ensureRecovery(adminKey)).pub) },
 
     /**
      * MUCHAS ESCRITURAS, UN GUARDADO. Cargar la configuración de un servicio son veinte

package/src/vault.js

@@ -2552,6 +2552,15 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // ANTES de reenvolver nada: si la copia de recuperación se quedó bajo la llave de la
     // máquina, se pasa a la frase. Sin esto, todo lo de abajo falla con «wrong password».
     if (adminKey) await migrarRecuperacionALaFrase(adminKey)
+    // Y LA LLAVE DE RECUPERACIÓN EXISTE. Nacía al escribir el primer secreto, así que una
+    // bóveda recién creada no tenía a quién envolver — y como crearla necesita la maestra,
+    // cerrada ya no había manera. El síntoma: escribir el perfil con la bóveda cerrada
+    // fallaba con «the vault did not say who to seal the profile for», en un perfil nuevo
+    // y solo en el primero. Abrir la bóveda es el momento de saldarlo, y es idempotente.
+    // …salvo en un almacén v3, que no tiene ese concepto: ahí lo que toca es `migrate`, y
+    // escribir o leer un sobre ya se rechaza diciéndolo. Crearla antes de migrar sería
+    // dejar una llave suelta en un formato que va a reescribirse entero.
+    if (!secrets.isLegacy()) await secrets.ensureRecovery(adminKey)
     const out = { drawers: 0, wrapped: 0, sealed: 0, dropped: 0, sinLlave: [], failed: [] }
     for (const owner of secrets.owners?.() || []) {
       const before = new Set(secrets.recipientsIn(owner))