@dotrino/vaultd 0.131.3 → 0.131.4

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.131.3",
+  "version": "0.131.4",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/ctl.js

@@ -1723,7 +1723,8 @@ async function cmdLogins (rest) {
  * `dotrino-vault update` — TRAER LA VERSIÓN NUEVA, cuando lo escribe una persona.
  *
  * Con la INSTALACIÓN DE USUARIO (`~/.local/share/dotrino/bin`) el daemon ya se actualiza
- * solo: pide permiso al teléfono si hay aprobadores y, si no los hay, no hace falta
+ * solo: pide permiso a un aparato con `aprueba` (el teléfono, un navegador…) si lo hay y,
+ * si no hay ninguno, no hace falta
  * (dueño, 2026-09-24). Esto es lo mismo a mano, sin esperar al aviso del día. Con el
  * `.deb` del sistema el binario es de root y aquí solo se verifica y se dice el `sudo`.
  *

package/src/vault.js

@@ -1137,7 +1137,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   async function denyChain (from, chk, p, what) {
     await notifyIfRevoked(p.data?.publickey, p.cert?.nonce || null, p.cert?.iss || null, chk.reason)
     if (what) audit('rejected', { what, reason: chk.reason })
-    return reply(from, { type: MSG.ERROR, error: 'unauthorized: ' + chk.reason })
+    // `code` + `reason` como campos: quien llama decide por ellos, no por la frase.
+    return reply(from, { type: MSG.ERROR, code: 'unauthorized', reason: chk.reason, error: 'unauthorized: ' + chk.reason })
   }
 
   /**