@dotrino/vaultd 0.124.1 → 0.125.0

package/lib/src/passwordLogins.js

@@ -26,8 +26,8 @@
  */
 import { server as opaquePorDefecto, suiteId as suitePorDefecto } from '@dotrino/opaque'
 import { pubkeyId } from '@dotrino/identity/capabilities'
-import { deviceIdOf, scopeToCaps, scopeToCn } from './enroll.js'
-import { SCOPE } from './protocol.js'
+import { DEVICE_CAPS, capScope } from '@dotrino/identity/acta'
+import { deviceIdOf } from './enroll.js'
 import { bytesToB64url, b64urlToBytes } from './b64.js'
 
 /** Un usuario es la parte de antes de la `@` en `nombre@AB12-CD34-EF56`. */
@@ -445,24 +445,35 @@ export function createLoginDesk ({ load, save, now = () => Date.now(), opaque =
  * @param {object} opts
  *   `identity` la identidad que firma (`signDelegation`, `admitMember`)
  *   `logins`   el escritorio de `createLoginDesk`
- *   `scope`    permisos del aparato; por defecto firmar, leer y guardar
- *   `unattended` si además puede trabajar sin que nadie apruebe
+ *   `caps`     los PERMISOS del acta que lleva el aparato, cualquiera de `DEVICE_CAPS`;
+ *              por defecto firmar, leer y guardar
  */
 export async function registerLogin ({
   identity, logins, user, upload, pub, encPub = null, label = '', blob,
-  scope, unattended = false, replace = false
+  caps = ['sign', 'read', 'store'], scope, replace = false
 } = {}) {
   if (replace) {
     await logins.registerFinish({ user, upload, blob, replace: true })
     return { ok: true, user, replaced: true }
   }
-  // PERMISOS, no tipos: los del scope, más `unattended` si quien lo crea lo eligió
-  // (temporary-access.md §3.1). `passwords` no entra todavía — hasta que existan las
-  // contraseñas selladas, este aparato se llevaría TODAS (sealed-passwords.md).
-  const scopes = Array.isArray(scope) && scope.length ? scope : [SCOPE.SIGN, SCOPE.READ, SCOPE.STORE]
-  if (scopes.includes(SCOPE.PASSWORDS)) {
-    throw Object.assign(new Error('a password login cannot take `contrasenas` yet: the sealed passwords come first'), { code: 'passwords-not-yet' })
+  // CUALQUIER PERMISO, y todos por el mismo camino (dueño, 2026-09-21: «al crear debe
+  // poder asignársele cualquier permiso»; regla dura «simplificar los procesos»). Antes
+  // llegaban como scopes del certificado con `unattended` aparte, `passwords` se rechazaba
+  // con `passwords-not-yet` y `passkeys` —que no tiene scope— no se podía asignar.
+  //
+  // `scope` ya no se acepta, y se dice: ignorarlo daría al aparato los permisos por defecto
+  // en vez de los que se eligieron, y nadie lo notaría.
+  if (scope !== undefined) {
+    throw Object.assign(new Error('registerLogin takes `caps` (account record permissions), not `scope`'), { code: 'use-caps' })
   }
+  const pedidos = [...new Set(Array.isArray(caps) ? caps : [])]
+  const raros = pedidos.filter((c) => !DEVICE_CAPS.includes(c))
+  if (!pedidos.length || raros.length) {
+    throw Object.assign(new Error(`not device permissions: ${raros.join(', ') || '(none)'} — expected any of ${DEVICE_CAPS.join(', ')}`), { code: 'bad-caps' })
+  }
+  // El certificado lleva el scope de los permisos que lo tienen; los demás (`unattended`,
+  // `passkeys`) viven solo en el acta, que es quien decide.
+  const scopes = pedidos.map((c) => capScope(c)).filter(Boolean)
   if (typeof identity?.admitMember !== 'function') {
     throw Object.assign(new Error('this vault cannot add devices to the account record: no login was created'), { code: 'admit-unavailable' })
   }
@@ -470,11 +481,9 @@ export async function registerLogin ({
   await logins.registerFinish({ user, upload, pub, encPub, deviceId, label, blob })
   try {
     const { cert } = await identity.signDelegation(pub, scopes, { label: label || `login:${user}` })
-    const cn = scopeToCn(scopes)
-    const caps = [...new Set([...scopeToCaps(scopes), ...(unattended ? ['unattended'] : [])])]
-    await identity.admitMember({ pub, encPub, label: label || `login:${user}`, cn, caps, cert })
+    await identity.admitMember({ pub, encPub, label: label || `login:${user}`, cn: null, caps: pedidos, cert })
     logins.setCert({ user, cert, iss: identity.me?.publickey || null })
-    return { ok: true, user, deviceId, cert, caps }
+    return { ok: true, user, deviceId, cert, caps: pedidos }
   } catch (e) {
     // NADA DE MEDIAS ALTAS: si no entra en el acta, no queda un usuario que pueda entrar a
     // una cuenta que no lo reconoce. Se deshace y se dice.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.124.1",
+  "version": "0.125.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -24,7 +24,7 @@
     "@dotrino/compat": "0.4.0",
     "@dotrino/identity": "0.92.0",
     "@dotrino/opaque": "0.1.0",
-    "@dotrino/passmanager": "0.16.0",
+    "@dotrino/passmanager": "0.17.0",
     "@dotrino/proxy-client": "0.23.1",
     "@dotrino/roadmap": "0.3.3",
     "@dotrino/store": "0.11.0",

package/src/ctl.js

@@ -1620,7 +1620,18 @@ async function cmdLogins (rest) {
     }
     case 'add': {
       needUser()
-      const label = args.slice(1).join(' ').trim() || 'equipo prestado'
+      // `±permiso` se lee con las MISMAS palabras que `caps <ID> ±permiso`, sobre los de
+      // siempre (firma, lee, guarda); lo demás es el nombre del equipo. Antes el texto de
+      // ayuda lo anunciaba y aquí se juntaba todo como nombre.
+      const caps = new Set(['sign', 'read', 'store'])
+      const nombre = []
+      for (const a of args.slice(1)) {
+        if (a[0] !== '+' && a[0] !== '-') { nombre.push(a); continue }
+        const cap = CAP_BY_WORD[a.slice(1).toLowerCase()]
+        if (!cap) { console.error('permiso no reconocido: %s', a); process.exit(2) }
+        if (a[0] === '+') caps.add(cap); else caps.delete(cap)
+      }
+      const label = nombre.join(' ').trim() || 'equipo prestado'
       const { client: opaqueClient } = await import('@dotrino/opaque')
       const { makeDeviceKey, makeDeviceEncKey } = await import('@dotrino/identity/capabilities')
       const { sealDeviceKeys } = await import('../lib/src/passwordLogins.js')
@@ -1635,7 +1646,7 @@ async function cmdLogins (rest) {
       const enc = await makeDeviceEncKey()
       const blob = await sealDeviceKeys(fin.exportKey, { sign: device.privateJwk, enc: enc.privateJwk })
       const r = await loginsRequest('register-finish', {
-        user, upload: fin.upload, pub: device.publickey, encPub: enc.publickey, label, blob
+        user, upload: fin.upload, pub: device.publickey, encPub: enc.publickey, label, blob, caps: [...caps]
       })
       const { loginAddress } = await import('../lib/src/passwordLogins.js')
       console.log('\nListo. Se entra con esta dirección y esa contraseña:')

package/src/daemon.js

@@ -402,7 +402,7 @@ export async function runDaemon () {
       case 'register-begin': return vault.loginRegisterBegin({ user: req.user, request: req.request, replace: !!req.replace })
       case 'register-finish': return vault.loginRegisterFinish({
         user: req.user, upload: req.upload, pub: req.pub, encPub: req.encPub || null,
-        label: req.label || '', blob: req.blob, scope: req.scope, unattended: !!req.unattended, replace: !!req.replace
+        label: req.label || '', blob: req.blob, ...(req.caps ? { caps: req.caps } : {}), replace: !!req.replace
       })
       // Entrar desde la propia máquina de la bóveda. Lo usa `logins passwd`: para volver a
       // cerrar el paquete de llaves hay que ABRIRLO antes, y eso solo puede hacerlo quien

package/src/vault.js

@@ -27,7 +27,7 @@ import { startSealersPublisher } from './sealers.js'
 import { assertKeyOwnsDir } from './keyowner.js'
 import { openStore } from './store.js'
 import { openThreadStore, STORE_READ_METHODS, PROFILE_EDIT_METHODS } from './threadStore.js'
-import { openSecretsStore, assertVar, RECOVERY as RECOVERY_WRAP, PROFILE_NS, PROFILE_OWNER } from './secretsStore.js'
+import { openSecretsStore, assertVar, RECOVERY as RECOVERY_WRAP, PROFILE_OWNER } from './secretsStore.js'
 import { openSubacta } from './subacta.js'
 import { makeEphemeralKey, openSealed } from '../lib/src/sealed.js'
 import { VERSION } from './version.js'
@@ -2785,8 +2785,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   }
 
   /**
-   * Lo que deben las VARIABLES, por cajón: las rotaciones anotadas y, CALCULADO, cada
-   * envoltura que falta. El perfil no entra (ver el bucle). La falta de una envoltura no se anota nunca: se mira. Una nota
+   * TODO lo que está a deber, por cajón: las rotaciones anotadas y, CALCULADO, cada
+   * envoltura que falta. La falta de una envoltura no se anota nunca: se mira. Una nota
    * se desincroniza en cuanto alguien salda la deuda por un camino que no pasa por donde
    * se anotó (pasó dos veces: el reparto por el hermano y el rehacer al abrir), y
    * entonces la consola avisa de algo que ya no existe. Lo que se calcula no miente.
@@ -2796,11 +2796,6 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     const out = rotationsDue()
     for (const m of await incompleteMembers()) {
       for (const [owner, keys] of Object.entries(m.owners)) {
-        // El perfil tampoco va aquí: esto es lo que se enseña como «variables sin
-        // entregar». Lo que un aparato no puede abrir del perfil sigue a la vista en SU
-        // fila (`incomplete`), y `secret settle` y abrir la bóveda lo saldan igual, porque
-        // leen `incompleteMembers` y no esto.
-        if (owner === PROFILE_OWNER) continue
         if (out[owner]?.kind === 'rotate') continue
         out[owner] = out[owner] || { kind: 'rewrap', members: [] }
         out[owner].members.push({ pub: m.pub, keys })
@@ -3414,15 +3409,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // sobre, «pública» dejó de significar «en claro»: dice a quién se le despacha sin
     // aprobación, nada más. Para ver un valor hay que poder abrirlo, igual que cualquiera —
     // y en un cajón con dueño, quien administra deliberadamente no puede.
-    //
-    // EL PERFIL NO ES UN GRUPO DE VARIABLES (dueño, 2026-09-21). `@me` vive en este
-    // almacén porque se guarda igual —mismo sobre, mismo llavero—, pero no es configuración
-    // de nadie: salía en `secret list` como «scope vault:secrets:@me», un scope que por
-    // diseño no puede existir, y en la pantalla de variables como un grupo más. El perfil
-    // tiene su sitio (`dotrino-vault me`, profile.dotrino.com).
-    const variables = secrets.list()
-    delete variables[PROFILE_NS]
-    return variables
+    return secrets.list()
   }
   /** Cambiar SOLO quién puede ver el valor (no toca el valor ni avisa: el servicio lee lo mismo). */
   async function setSecretVisibility (ns, key, isPublic, adminKey) {

package/src/vaultControl.js

@@ -291,7 +291,6 @@ export async function listLogins (profile) {
 export async function addLogin ({ user, password, label = 'equipo prestado', caps = ['sign', 'read', 'store'] } = {}) {
   const { client: opaque } = await import('@dotrino/opaque')
   const { makeDeviceKey, makeDeviceEncKey } = await import('@dotrino/identity/capabilities')
-  const { capScope } = await import('@dotrino/identity/acta')
   const { sealDeviceKeys } = await import('../lib/src/passwordLogins.js')
   const start = opaque.registrationStart({ password })
   const begun = await loginsOp('register-begin', { user, request: start.request })
@@ -299,12 +298,10 @@ export async function addLogin ({ user, password, label = 'equipo prestado', cap
   const device = await makeDeviceKey({ label })
   const enc = await makeDeviceEncKey()
   const blob = await sealDeviceKeys(fin.exportKey, { sign: device.privateJwk, enc: enc.privateJwk })
-  // El acta habla de PERMISOS y el papel de SCOPES: los traduce el pilar, no esta pantalla.
-  // `unattended` no es un scope —es «no me pidas aprobación»— y por eso viaja aparte.
+  // Los PERMISOS del acta, tal cual: cualquiera, y todos por el mismo camino. Traducirlos a
+  // los scopes del certificado es cosa del pilar (`registerLogin`), no de esta pantalla.
   return loginsOp('register-finish', {
-    user, upload: fin.upload, pub: device.publickey, encPub: enc.publickey, label, blob,
-    scope: caps.filter((c) => c !== 'unattended').map((c) => capScope(c)).filter(Boolean),
-    unattended: caps.includes('unattended')
+    user, upload: fin.upload, pub: device.publickey, encPub: enc.publickey, label, blob, caps
   })
 }