@dotrino/vaultd 0.124.0 → 0.124.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.124.0",
+  "version": "0.124.1",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/ctl.js

@@ -612,7 +612,11 @@ async function cmdMembers () {
     // Un servicio SIN llave de cifrado no puede leer ninguna variable privada: van
     // selladas a esa llave. Se dice aquí, junto a él, porque es el único sitio donde
     // se mira quién es quién — y en la lista de variables ya seria tarde.
-    if (m.cn && !m.canSeal) console.log('      %ssin llave de cifrado: NO puede leer sus variables%s', R, Z)
+    //
+    // Solo si LEE variables (`secrets`). La llave de comunicación de la bóveda entra con
+    // `cn: 'vault'` y solo `firma`, y no tiene llave de cifrado a propósito: salía marcada
+    // en rojo «NO puede leer sus variables» cuando no tiene ninguna que leer.
+    if (m.cn && !m.canSeal && m.caps.includes('secrets')) console.log('      %ssin llave de cifrado: NO puede leer sus variables%s', R, Z)
     // QUÉ CORRE, y si cuadra con esta bóveda (CONVENCIONES §14). Sin esto una
     // incompatibilidad de versiones se ve como que ese aparato «no responde», que es el
     // fallo más caro que ha tenido el ecosistema. No bloquea nada: se enseña.

package/src/vault.js

@@ -27,7 +27,7 @@ import { startSealersPublisher } from './sealers.js'
 import { assertKeyOwnsDir } from './keyowner.js'
 import { openStore } from './store.js'
 import { openThreadStore, STORE_READ_METHODS, PROFILE_EDIT_METHODS } from './threadStore.js'
-import { openSecretsStore, assertVar, RECOVERY as RECOVERY_WRAP, PROFILE_OWNER } from './secretsStore.js'
+import { openSecretsStore, assertVar, RECOVERY as RECOVERY_WRAP, PROFILE_NS, PROFILE_OWNER } from './secretsStore.js'
 import { openSubacta } from './subacta.js'
 import { makeEphemeralKey, openSealed } from '../lib/src/sealed.js'
 import { VERSION } from './version.js'
@@ -2785,8 +2785,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   }
 
   /**
-   * TODO lo que está a deber, por cajón: las rotaciones anotadas y, CALCULADO, cada
-   * envoltura que falta. La falta de una envoltura no se anota nunca: se mira. Una nota
+   * Lo que deben las VARIABLES, por cajón: las rotaciones anotadas y, CALCULADO, cada
+   * envoltura que falta. El perfil no entra (ver el bucle). La falta de una envoltura no se anota nunca: se mira. Una nota
    * se desincroniza en cuanto alguien salda la deuda por un camino que no pasa por donde
    * se anotó (pasó dos veces: el reparto por el hermano y el rehacer al abrir), y
    * entonces la consola avisa de algo que ya no existe. Lo que se calcula no miente.
@@ -2796,6 +2796,11 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     const out = rotationsDue()
     for (const m of await incompleteMembers()) {
       for (const [owner, keys] of Object.entries(m.owners)) {
+        // El perfil tampoco va aquí: esto es lo que se enseña como «variables sin
+        // entregar». Lo que un aparato no puede abrir del perfil sigue a la vista en SU
+        // fila (`incomplete`), y `secret settle` y abrir la bóveda lo saldan igual, porque
+        // leen `incompleteMembers` y no esto.
+        if (owner === PROFILE_OWNER) continue
         if (out[owner]?.kind === 'rotate') continue
         out[owner] = out[owner] || { kind: 'rewrap', members: [] }
         out[owner].members.push({ pub: m.pub, keys })
@@ -3409,7 +3414,15 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // sobre, «pública» dejó de significar «en claro»: dice a quién se le despacha sin
     // aprobación, nada más. Para ver un valor hay que poder abrirlo, igual que cualquiera —
     // y en un cajón con dueño, quien administra deliberadamente no puede.
-    return secrets.list()
+    //
+    // EL PERFIL NO ES UN GRUPO DE VARIABLES (dueño, 2026-09-21). `@me` vive en este
+    // almacén porque se guarda igual —mismo sobre, mismo llavero—, pero no es configuración
+    // de nadie: salía en `secret list` como «scope vault:secrets:@me», un scope que por
+    // diseño no puede existir, y en la pantalla de variables como un grupo más. El perfil
+    // tiene su sitio (`dotrino-vault me`, profile.dotrino.com).
+    const variables = secrets.list()
+    delete variables[PROFILE_NS]
+    return variables
   }
   /** Cambiar SOLO quién puede ver el valor (no toca el valor ni avisa: el servicio lee lo mismo). */
   async function setSecretVisibility (ns, key, isPublic, adminKey) {