@dotrino/vaultd 0.151.0 → 0.153.0

package/lib/src/enroll.js

@@ -30,7 +30,7 @@
  * `docs/pairing-protocol.md`).
  */
 import { verifyDeviceSig, pubkeyId, commitCode } from '@dotrino/identity/capabilities'
-import { verifyContinuity, canSeal, DEVICE_CAPS } from '@dotrino/identity/acta'
+import { verifyContinuity, canSeal, DEVICE_CAPS, VAULT_CN } from '@dotrino/identity/acta'
 
 /** Un token de emparejamiento vale 5 min. */
 export const PAIRING_TTL_MS = 5 * 60 * 1000
@@ -169,12 +169,16 @@ export function createEnrollDesk ({
    *                       el código, igual que hacía `caps` después.
    */
   async function startPairing ({ scope = defaultScope, ttlMs = defaultTtlMs, label = '', mode = 'join', account = '', caps = null } = {}) {
+    // El nombre de la propia bóveda no es un servicio: su llave firma con el perfil cerrado
+    // y no puede abrir ningún cajón. Un servicio que entrara con ese nombre tampoco podría.
+    if (scopeToCn(scope) === VAULT_CN) throw Object.assign(new Error(`"${VAULT_CN}" is the vault's own name: a service cannot use it`), { code: 'reserved-cn' })
     if (caps != null) {
       if (!Array.isArray(caps)) throw Object.assign(new Error('caps must be a list'), { code: 'bad-caps' })
       const cn = scopeToCn(scope)
-      const bad = caps.filter((c) => !(DEVICE_CAPS.includes(c) || (c === 'secrets' && cn)))
+      const bad = caps.filter((c) => !DEVICE_CAPS.includes(c))
       if (bad.length) throw Object.assign(new Error('unknown permission(s): ' + bad.join(', ')), { code: 'bad-caps' })
-      if (!caps.length) throw Object.assign(new Error('the pairing grants no permission'), { code: 'empty-scope' })
+      // Un servicio puede entrar sin ningún permiso: su cajón lo abre el CN.
+      if (!caps.length && !cn) throw Object.assign(new Error('the pairing grants no permission'), { code: 'empty-scope' })
       caps = [...new Set(caps)]
     }
     pending.clear() // uno a la vez: una sesión nueva supersede a la anterior
@@ -378,13 +382,14 @@ export function createEnrollDesk ({
       throw Object.assign(new Error('this vault cannot add devices to the account record: no certificate was issued'), { code: 'admit-unavailable' })
     }
     // PERMISOS, no tipos (2026-08-22): las capacidades son las del scope ENTERO. Un
-    // cajón (`secrets:<ns>`) suma `secrets` y fija el CN; no borra lo demás — un bot
-    // con `sign,secrets:eco` firma como aparato del acta Y lee solo su cajón.
+    // cajón (`secrets:<ns>`) fija el CN, que es lo que lo abre —no hay permiso aparte
+    // (dueño, 2026-10-13)—, y no borra lo demás: un bot con `sign,secrets:eco` firma como
+    // aparato del acta Y lee solo su cajón.
     // Si quien emparejó ELIGIÓ los permisos (`startPairing({ caps })`), entran esos y en
     // esta misma acta; si no, los que da el scope.
     const cn = scopeToCn(pend.scope)
-    const caps = [...new Set([...(pend.caps || scopeToCaps(pend.scope)), ...(cn ? ['secrets'] : [])])]
-    if (!caps.length) {
+    const caps = [...new Set(pend.caps || scopeToCaps(pend.scope))]
+    if (!caps.length && !cn) {
       throw Object.assign(new Error('the pairing scope grants no permission: no certificate was issued'), { code: 'empty-scope' })
     }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.151.0",
+  "version": "0.153.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -22,7 +22,7 @@
   },
   "dependencies": {
     "@dotrino/compat": "0.4.0",
-    "@dotrino/identity": "^0.107.1",
+    "@dotrino/identity": "^0.111.0",
     "@dotrino/opaque": "0.1.0",
     "@dotrino/passmanager": "0.17.0",
     "@dotrino/proxy-client": "0.30.1",

package/src/ctl.js

@@ -39,6 +39,7 @@ import { atRestFor, readConfig as readKekConfig, probe as probeKek, rekeyDir, en
 import { VERSION } from './version.js'
 import * as hw from './hwkeys.js'
 import { isNewer } from './update.js'
+import { COMM_CN } from './commKey.js'
 
 const dir = dataDir()
 const stateFile = path.join(dir, 'state.json')
@@ -614,7 +615,7 @@ async function cmdMembers () {
   // español. Se resaltan como `admin` y `approve`: los cuatro cambian lo que ese aparato
   // puede hacerle a la cuenta, y eso se lee de un vistazo o no se lee.
   const CAP = {
-    sign: 'firma', store: 'guarda', read: 'lee', secrets: 'lee sus claves',
+    sign: 'firma', store: 'guarda', read: 'lee',
     admin: `${B}administra el perfil${Z}`, approve: `${B}aprueba pedidos${Z}`,
     sealer: `${B}sella el acta${Z}`, passwords: `${B}pide contraseñas${Z}`,
     // Resaltado como los otros cuatro: dice si esa máquina se lleva tus claves privadas
@@ -644,7 +645,8 @@ async function cmdMembers () {
       m.isMe ? 'este dispositivo' : null,
       m.cn ? `servicio «${m.cn}»` : null
     ].filter(Boolean)
-    const caps = m.caps.length ? m.caps.map((c) => CAP[c] || c).join(', ') : '(sin permisos)'
+    // Un servicio sin permisos no está «sin nada»: su cajón lo abre el nombre, no un permiso.
+    const caps = m.caps.length ? m.caps.map((c) => CAP[c] || c).join(', ') : (m.cn && m.cn !== COMM_CN ? '(solo su cajón)' : '(sin permisos)')
     // CUÁNDO ENTRÓ. El nombre lo pone el propio aparato al emparejarse y muchas veces no
     // distingue nada —dos teléfonos con el mismo apodo, o «cli» a secas—, así que la fecha
     // es lo que deja reconocer cuál es cuál y ver si hay uno que no recuerdas haber
@@ -656,13 +658,13 @@ async function cmdMembers () {
     // selladas a esa llave. Se dice aquí, junto a él, porque es el único sitio donde
     // se mira quién es quién — y en la lista de variables ya seria tarde.
     //
-    // Solo si LEE variables (`secrets`). La llave de comunicación de la bóveda entra con
-    // `cn: 'vault'` y solo `firma`, y no tiene llave de cifrado a propósito: salía marcada
-    // en rojo «NO puede leer sus variables» cuando no tiene ninguna que leer.
+    // Menos la llave de comunicación de la bóveda: entra con `cn: 'vault'` y solo `firma`,
+    // y no tiene llave de cifrado a propósito: salía marcada en rojo «NO puede leer sus
+    // variables» cuando no tiene ninguna que leer.
     // SI LE LLEGAN LOS AVISOS, en quien aprueba. No cambia a quién se le pide —se le pide a
     // todos—: es para ver a cuál no le suena el pedido.
     if (m.caps.includes('approve') && 'notifiedAt' in m) console.log('      %s%s%s', D, avisosTxt(m.notifiedAt), Z)
-    if (m.cn && !m.canSeal && m.caps.includes('secrets')) console.log('      %ssin llave de cifrado: NO puede leer sus variables%s', R, Z)
+    if (m.cn && m.cn !== COMM_CN && !m.canSeal) console.log('      %ssin llave de cifrado: NO puede leer sus variables%s', R, Z)
     // QUÉ CORRE, y si cuadra con esta bóveda (CONVENCIONES §14). Sin esto una
     // incompatibilidad de versiones se ve como que ese aparato «no responde», que es el
     // fallo más caro que ha tenido el ecosistema. No bloquea nada: se enseña.
@@ -1830,8 +1832,8 @@ async function waitForService (version, { timeoutMs = 4 * 60_000 } = {}) {
  * marcador que deja el servicio cuando se actualiza solo. Si no se puede escribir se dice:
  * la actualización está hecha, lo que se pierde es el aviso.
  */
-function noteUpdated (to) {
-  try { ipcWrite(path.join(dir, 'updated.json'), { v: 1, from: readState().version || VERSION, to, at: Date.now() }) } catch (e) {
+async function noteUpdated (to) {
+  try { (await import('./update.js')).noteUpdated(dir, { from: readState().version || VERSION, to }) } catch (e) {
     console.error('No se pudo dejar el aviso de actualización para tus aprobadores: %s', e.message)
   }
 }
@@ -1881,8 +1883,23 @@ async function cmdUpdate (args = []) {
     }
     console.log('firmada por el release de %s ✓', 'imdotrino/dotrino-vault')
     console.log('Instalada la %s.', res.version)
-    noteUpdated(res.version)
-    if (!args.includes('--no-wait')) await waitForService(res.version)
+    await noteUpdated(res.version)
+    if (args.includes('--no-wait')) return
+    // AL TERMINAR SE OFRECE REINICIAR (dueño, 2026-10-13). El servicio se reinicia solo al
+    // ver el binario nuevo, pero espera a verlo quieto dos minutos: quien está delante puede
+    // no querer esperar. Solo se pregunta con alguien delante y con systemd; si no, se espera.
+    const s = ipcRead(stateFile, null)
+    if (s && alive(s.pid) && s.version !== res.version && process.stdin.isTTY && process.platform === 'linux' && !IN_DOCKER) {
+      const resp = (await askText('¿Reiniciar la bóveda ahora para usarla? Cierra las bóvedas abiertas. [s/N] ')).trim().toLowerCase()
+      if (resp === 's' || resp === 'y') {
+        try { execFileSync('systemctl', ['--user', 'restart', 'dotrino-vault'], { stdio: 'inherit' }) } catch (e) {
+          console.error('No se pudo reiniciar: %s', e.message)
+          console.error('Hazlo a mano:  %s', RESTART_HINT)
+          process.exit(1)
+        }
+      }
+    }
+    await waitForService(res.version)
     return
   }
 
@@ -1922,7 +1939,7 @@ async function cmdUpdate (args = []) {
       B, file, r.version, Z)
     return
   }
-  noteUpdated(r.version)
+  await noteUpdated(r.version)
   console.log('Listo. El servicio se reinicia solo; compruébalo con:  dotrino-vault status')
 }
 

package/src/daemon.js

@@ -245,7 +245,7 @@ export async function runDaemon () {
       if (caps) {
         caps = [...new Set(caps)]
         const cn = scopeToCn(base)
-        const fromCaps = caps.map((c) => capScope(c, cn)).filter((x) => x && ALLOWED(x))
+        const fromCaps = caps.map((c) => capScope(c)).filter((x) => x && ALLOWED(x))
         // Sin `--scope` el papel sale de los permisos; con él, se suman.
         scope = [...new Set([...(asked?.length || isService ? base : []), ...fromCaps])]
         if (!scope.length) {

package/src/tui/app.js

@@ -30,7 +30,7 @@
  * que entrar antes), el candado es `k` (la `l` es el idioma) y la contraseña `c`.
  */
 import fs from 'node:fs'
-import { execFile } from 'node:child_process'
+import { execFile, spawnSync } from 'node:child_process'
 import { parseEnvInput } from '../../lib/src/envtext.js'
 import { createTerm, widthOf } from './term.js'
 import { qrToString } from '../qr.js'
@@ -39,6 +39,7 @@ import * as vc from '../vaultControl.js'
 import { readSettings, writeSettings } from '../settings.js'
 import * as hw from '../hwkeys.js'
 import { VERSION } from '../version.js'
+import * as up from '../update.js'
 import { DEVICE_CAPS } from '@dotrino/identity/acta'
 
 const sleep = (ms) => new Promise((r) => setTimeout(r, ms))
@@ -184,6 +185,65 @@ function lockGlyph (p) {
   return p.locked ? '🔒' : '🔓'
 }
 
+function restartDaemonService () {
+  return new Promise((res, rej) => {
+    execFile('systemctl', ['--user', 'restart', 'dotrino-vault'], { timeout: 20000 }, (err, so, se) => {
+      if (err) rej(new Error(String(se || '').trim() || err.message)); else res()
+    })
+  })
+}
+
+/**
+ * AL ENTRAR SE DICE SI HAY VERSIÓN NUEVA, Y SE OFRECE INSTALARLA (dueño, 2026-10-13: como
+ * hace la app de Terminal). El servicio ya se actualiza solo; esto es para quien está
+ * mirando: enterarse ahí mismo, instalarla sin salir y, al terminar, reiniciar.
+ *
+ * Se mira EN SEGUNDO PLANO: la pantalla sale al momento y el aviso llega cuando el registro
+ * contesta. «No se pudo mirar» no es «estás al día»: no se dice nada y queda en `st.update`.
+ */
+function checkForUpdate (st, { latest = up.latestRelease } = {}) {
+  if (VERSION === 'dev') return
+  st.update = { checking: true }
+  Promise.resolve().then(() => latest()).then((r) => {
+    if (!r?.ok) { st.update = { failed: r?.reason || 'unknown' }; return }
+    st.update = up.isNewer(r.version, VERSION) ? { release: r, offer: true } : { current: true }
+  }).catch((e) => { st.update = { failed: e?.message || String(e) } })
+}
+
+/** Pregunta UNA vez por sesión. Decir que no deja el aviso arriba, sin volver a preguntar. */
+function offerUpdate (term, st) {
+  const i = L(st)
+  const r = st.update.release
+  st.update = { release: r }
+  setConfirm(st, { text: i.updateOffer(r.version, VERSION), onYes: () => installUpdate(term, st, r) })
+}
+
+async function installUpdate (term, st, release, { install = up.installUserRelease, userInstall = up.isUserInstall } = {}) {
+  const i = L(st)
+  // Solo la instalación de usuario se puede cambiar desde aquí. Un paquete del sistema es
+  // de root: no se pide la contraseña por dentro, se dice el comando.
+  if (!userInstall()) { flash(st, i.updateNeedsCommand, 'warn'); return }
+  const r = await guard(term, st, i.updateInstalling(release.version), () => install(release))
+  if (!r.ok) return
+  if (!r.v.ok) { flash(st, i.updateFailed(r.v.reason), 'danger'); return }
+  try { up.noteUpdated(vc.vaultDir(), { from: st.state?.version || VERSION, to: r.v.version }) } catch (e) {
+    flash(st, i.updateNoteFailed(e.message), 'warn')
+  }
+  st.update = { installed: r.v.version }
+  // Reiniciar se PREGUNTA: cierra las bóvedas abiertas y corta lo que estén haciendo los
+  // aparatos. Si dices que no, el servicio se reinicia solo en un par de minutos.
+  setConfirm(st, {
+    text: i.updateRestartOffer(r.v.version),
+    onYes: async () => {
+      const rr = await guard(term, st, i.updateRestarting, () => restartDaemonService())
+      if (!rr.ok) return
+      st.relaunch = true
+      st.quit = true
+    },
+    onNo: () => { flash(st, i.updateRestartLater(r.v.version)) }
+  })
+}
+
 function startDaemonService () {
   return new Promise((res) => {
     execFile('systemctl', ['--user', 'start', 'dotrino-vault'], { timeout: 8000 }, (err, so, se) => {
@@ -562,17 +622,12 @@ const CAPS_ORDER = [...ORDEN.filter((c) => DEVICE_CAPS.includes(c)),
   ...DEVICE_CAPS.filter((c) => !ORDEN.includes(c))]
 
 /**
- * Los permisos que se le pueden dar A ESTE miembro, en orden.
- *
- * `secrets` solo existe para un SERVICIO (los que tienen `cn`), y por eso faltaba: la
- * lista era fija y no cabía algo que depende de quién sea. Pero para un servicio es EL
- * permiso —el que decide si abre su cajón— y no verlo aquí hacía creer que no existe,
- * igual que pasaba con `unattended`. Se enseña primero, que es su importancia real.
- *
- * A un aparato SIN `cn` no se le ofrece: no hay cajón que abrir, el acta lo filtra
- * (`allowedCaps`) y enseñar una casilla que no hace nada es peor que no enseñarla.
+ * EL CAJÓN NO ES UNA CASILLA (dueño, 2026-10-13: «no entiendo por qué es un permiso el
+ * acceso a un cajón, el cn ya garantiza eso»). Antes un servicio traía aquí «secretos
+ * «passmanager»» al lado de «contrasenas», y parecían dos permisos sobre lo mismo. Un
+ * servicio abre el cajón de su nombre por ser ese servicio: se DICE arriba de la lista
+ * (`capsDrawer`), y no se marca ni se desmarca.
  */
-const capsForMember = (member) => (member?.cn ? ['secrets', ...CAPS_ORDER] : CAPS_ORDER)
 
 /** Con lo que entra un aparato si no eliges otra cosa: lo mismo que `pair` sin `--scope`. */
 const PAIR_DEFAULT_CAPS = ['sign', 'read', 'store']
@@ -586,11 +641,10 @@ const PAIR_DEFAULT_CAPS = ['sign', 'read', 'store']
 function capChecklist (i, t, { cn = null, has, real = has }) {
   const rows = []
   let tocados = 0
-  for (const cap of capsForMember({ cn })) {
+  if (cn) rows.push({ text: t.muted(' ' + i.capsDrawer(cn)), sel: false }, { text: '', sel: false })
+  for (const cap of CAPS_ORDER) {
     const mark = has.has(cap) ? '[x]' : '[ ]'
-    // El nombre de `secrets` lleva el cajón dentro: «las claves de proxy» dice qué abre,
-    // «lee sus claves» te deja preguntándote cuáles.
-    const name = typeof i.capName[cap] === 'function' ? i.capName[cap](cn) : i.capName[cap]
+    const name = i.capName[cap]
     // LO QUE CAMBIA SE SEÑALA. Sin esto el borrador es indistinguible del acta y no sabes
     // qué vas a firmar — que es justo lo que hace peligroso acumular cambios.
     const cambia = has.has(cap) !== real.has(cap)
@@ -599,8 +653,7 @@ function capChecklist (i, t, { cn = null, has, real = has }) {
     // así que no hay que repetirlo al lado. Lo que hace va debajo.
     const line = ` ${mark}${cambia ? t.bold('*') : ' '} ${cap === 'admin' ? t.bold(name) : name}`
     rows.push({ text: line, sel: true, meta: { cap } })
-    const hint = typeof i.capHint[cap] === 'function' ? i.capHint[cap](cn) : i.capHint[cap]
-    rows.push({ text: t.muted('      ' + hint), sel: false })
+    rows.push({ text: t.muted('      ' + i.capHint[cap]), sel: false })
   }
   return { rows, tocados }
 }
@@ -1344,7 +1397,8 @@ async function onKeyDevices (term, st, key) {
       value: cur.label || '',
       onSubmit: async (raw) => {
         const name = String(raw || '').trim()
-        if (!name) return
+        st.input = null
+        if (!name) { flash(st, i.nameEmpty, 'danger'); return }
         const r = await guard(term, st, i.renaming, () => vc.setDeviceLabel(cur.sub, name, activeId(st)))
         if (r.ok) { applyDump(st, r.v); flash(st, i.deviceRenamed(name)) }
       }
@@ -1415,6 +1469,7 @@ async function onKeyLogins (term, st, key, api = vc) {
                   mask: true,
                   onSubmit: async (pw2) => {
                     if (pw1 !== pw2) { flash(st, i.loginPassMismatch, 'warn'); return }
+                    st.input = null
                     const r = await guard(term, st, i.loginCreating,
                       () => api.addLogin({ user, password: pw1, label }))
                     if (r.ok) {
@@ -1442,6 +1497,7 @@ async function onKeyLogins (term, st, key, api = vc) {
           mask: true,
           onSubmit: async (nueva) => {
             if (String(nueva || '').length < MIN_LOGIN_PASSWORD) { flash(st, i.loginPassShort, 'warn'); return }
+            st.input = null
             const r = await guard(term, st, i.loginChanging,
               () => api.passwdLogin({ user: cur.user, oldPassword: vieja, newPassword: nueva }))
             if (r.ok) { flash(st, i.loginChanged); await refreshLogins(term, st, api) }
@@ -1593,7 +1649,8 @@ async function onKeyPairCaps (term, st, key) {
     return true
   }
   if (ch === 'g') {
-    if (!pc.caps.length) { flash(st, i.pairCapsNone, 'warn'); return true }
+    // Un servicio puede entrar sin ningún permiso: su cajón lo abre el nombre.
+    if (!pc.caps.length && !pc.service) { flash(st, i.pairCapsNone, 'warn'); return true }
     const go = async () => {
       st.pairCaps = null
       const ok = await beginPairing(term, st, pc.profile, pc.service, pc.label, pc.caps)
@@ -1614,7 +1671,7 @@ async function onKeyPairCaps (term, st, key) {
 
 /** Abre la pantalla de permisos del emparejamiento; el QR sale al pulsar G. */
 function choosePairCaps (st, { profile, service = null, label = null, after = null }) {
-  st.pairCaps = { profile, service, label, after, caps: service ? ['secrets'] : [...PAIR_DEFAULT_CAPS] }
+  st.pairCaps = { profile, service, label, after, caps: service ? [] : [...PAIR_DEFAULT_CAPS] }
   st.sel.paircaps = 0
   st.scroll.paircaps = { value: 0 }
   st.screen = 'paircaps'
@@ -2505,6 +2562,8 @@ function render (term, st) {
       ? t.muted(i.updateWaiting(u.version, dia(u.askedAt + 24 * 60 * 60 * 1000)))
       : t.warn(i.updateNotApproved(u.version, dia(u.askedAt))))
   }
+  // Hay versión nueva y se dijo que no (o todavía no se preguntó): se queda dicho aquí.
+  if (!lines[2] && st.update?.release) lines[2] = ' ' + t.warn(i.updateAvailable(st.update.release.version))
   // Dispositivos/Scopes son pestañas de la bóveda activa (se entra desde Bóvedas);
   // el resto muestra su título simple.
   lines[3] = INNER_TABS.includes(st.screen) ? ' ' + renderTabs(st, t) : ' ' + t.title('» ' + title(i, st.screen))
@@ -2645,11 +2704,14 @@ export async function runTui () {
     st.state = vc.readState()
     st.daemonUp = true
     await refreshAll(term, st)
+    checkForUpdate(st)
 
     let running = true
     while (running) {
       st.state = vc.readState()
       st.daemonUp = vc.daemonAlive()
+      // El aviso de versión nueva sale cuando no hay otra cosa preguntando.
+      if (st.update?.offer && !st.input && !st.confirm) offerUpdate(term, st)
       // ¿Se cerró sola mientras nadie miraba? Olvida su contraseña y sal de su contenido.
       await forgetAutoLocked(term, st)
       // caducar el flash a los ~4 s
@@ -2659,7 +2721,10 @@ export async function runTui () {
       const base = (st.screen === 'pairing' || st.screen === 'join' || (st.screen === 'devices' && !st.input && !st.confirm)) ? 800 : 0
       // Despertar a tiempo del bloqueo automático, además del sondeo de la pantalla.
       const wake = autoLockWakeIn(st)
-      const tick = base && wake ? Math.min(base, wake) : (base || wake)
+      let tick = base && wake ? Math.min(base, wake) : (base || wake)
+      // Mientras se mira si hay versión nueva hay que despertar sin tecla, o el aviso no
+      // saldría hasta que tocaras algo.
+      if (st.update?.checking) tick = tick ? Math.min(tick, 500) : 500
       const key = await term.readKey(tick)
 
       if (key.name === 'resize') continue
@@ -2731,7 +2796,13 @@ export async function runTui () {
     for (const id of st.unlockedHere) { try { await vc.lockProfile(id) } catch (_) {} }
     term.close()
   }
+  // TRAS ACTUALIZAR Y REINICIAR, esta pantalla también se vuelve a abrir: es el binario
+  // anterior el que sigue en memoria. Se lanza el nuevo en esta misma terminal.
+  if (st.relaunch) {
+    const r = spawnSync(process.execPath, process.argv.slice(1), { stdio: 'inherit' })
+    process.exit(r.status ?? 0)
+  }
 }
 
 // Solo para pruebas headless (render sin terminal real). No usar en runtime.
-export const __test = { render, settingsRows, onKeySettings, doorRows, onKeyDoors, pairCapsRows, onKeyPairCaps, onKeyDevices, draftChanges, saveCapsDrafts, onKeySecrets, loginRows, onKeyLogins, refreshLogins, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, onKeyCaps, pairModeRows, pairingBody, scrollBody, fitHelp, wrapHelp, wrapWords, joinBody, onKeyJoin, promptJoin, onKeyProfiles, onInputKey, toggleLang, mergeMembersAndCerts, seguirAqui, resetToque: () => { ultimoToque = 0 } }
+export const __test = { checkForUpdate, offerUpdate, installUpdate, render, settingsRows, onKeySettings, doorRows, onKeyDoors, pairCapsRows, onKeyPairCaps, onKeyDevices, draftChanges, saveCapsDrafts, onKeySecrets, loginRows, onKeyLogins, refreshLogins, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, onKeyCaps, pairModeRows, pairingBody, scrollBody, fitHelp, wrapHelp, wrapWords, joinBody, onKeyJoin, promptJoin, onKeyProfiles, onInputKey, toggleLang, mergeMembersAndCerts, seguirAqui, resetToque: () => { ultimoToque = 0 } }

package/src/tui/i18n.js

@@ -28,6 +28,15 @@ const es = {
   daemonStopped: 'DETENIDO',
   updateWaiting: (version, until) => `⬆ la ${version} espera tu aprobación hasta ${until} UTC: mira Pedidos en tu teléfono`,
   updateNotApproved: (version, when) => `⬆ se pidió permiso para la ${version} el ${when} UTC y no se aprobó: no se vuelve a pedir · dotrino-vault update`,
+  updateAvailable: (version) => `⬆ hay la versión ${version}: instálala con  dotrino-vault update`,
+  updateOffer: (version, current) => `Hay la versión ${version} y esta es la ${current}. ¿Instalarla ahora?`,
+  updateInstalling: (version) => `Bajando la ${version} y comprobando la firma…`,
+  updateFailed: (reason) => `No se instaló nada: ${reason}`,
+  updateNeedsCommand: 'Esta instalación no se puede cambiar desde aquí. Sal y corre:  dotrino-vault update',
+  updateNoteFailed: (reason) => `Instalada, pero no se pudo dejar el aviso para tus aprobadores: ${reason}`,
+  updateRestartOffer: (version) => `Instalada la ${version}. ¿Reiniciar ahora la bóveda y esta pantalla? Cierra las bóvedas abiertas`,
+  updateRestarting: 'Reiniciando la bóveda…',
+  updateRestartLater: (version) => `La ${version} queda instalada: la bóveda se reinicia sola en un par de minutos`,
   daemonStale: (running, installed) => `⚠ el servicio corre ${running} y el binario instalado es ${installed}: reinícialo (systemctl --user restart dotrino-vault)`,
   activeVault: 'Bóveda activa: ',
   noName: '(sin nombre)',
@@ -79,6 +88,7 @@ const es = {
   // PERMISOS de un dispositivo (§9.1: se dice el beneficio, no el scope del cert).
   titleCaps: 'Permisos del dispositivo',
   capsFor: (id, name) => `Permisos de ${id}${name ? ' · ' + name : ''}`,
+  capsDrawer: (cn) => `Es el servicio «${cn}»: abre el cajón «${cn}» y ningún otro.`,
   capsNoMember: '  (este dispositivo ya no está en el perfil)',
   capsApplyHint: 'Enter marca o desmarca · G guarda · Esc vuelve a la lista sin perder lo marcado',
   capsPending: (n) => `${n} cambio(s) sin guardar en este aparato (*) · G guarda todo en una sola acta`,
@@ -104,7 +114,6 @@ const es = {
   // resultado fue una lista donde no se sabía qué permiso era cuál ni cómo nombrarlo para
   // el CLI. Lo que hace cada uno va DEBAJO, que es su sitio.
   capName: {
-    secrets: (cn) => `secretos «${cn}»`,
     sign: 'firma',
     store: 'guarda',
     read: 'lee',
@@ -120,7 +129,6 @@ const es = {
   // continuaba a «Conectar y quitar dispositivos»—; ahora el título es la palabra que se
   // teclea, así que la pista tiene que decir la frase entera.
   capHint: {
-    secrets: (cn) => `abrir el cajón de «${cn}» y ningún otro`,
     sign: 'usar tu identidad en las apps del ecosistema',
     store: 'escribir en tu bóveda: perfil, contenido, datos',
     read: 'ver lo que guardaste',
@@ -517,6 +525,15 @@ const en = {
   daemonStopped: 'STOPPED',
   updateWaiting: (version, until) => `⬆ ${version} is waiting for your approval until ${until} UTC: check Requests on your phone`,
   updateNotApproved: (version, when) => `⬆ approval for ${version} was asked on ${when} UTC and not given: it will not ask again · dotrino-vault update`,
+  updateAvailable: (version) => `⬆ version ${version} is out: install it with  dotrino-vault update`,
+  updateOffer: (version, current) => `Version ${version} is out and this is ${current}. Install it now?`,
+  updateInstalling: (version) => `Downloading ${version} and checking its signature…`,
+  updateFailed: (reason) => `Nothing was installed: ${reason}`,
+  updateNeedsCommand: 'This install cannot be changed from here. Quit and run:  dotrino-vault update',
+  updateNoteFailed: (reason) => `Installed, but the note for your approvers could not be written: ${reason}`,
+  updateRestartOffer: (version) => `${version} is installed. Restart the vault and this screen now? It locks the open vaults`,
+  updateRestarting: 'Restarting the vault…',
+  updateRestartLater: (version) => `${version} is installed: the vault restarts by itself in a couple of minutes`,
   daemonStale: (running, installed) => `⚠ the service runs ${running} but the installed binary is ${installed}: restart it (systemctl --user restart dotrino-vault)`,
   activeVault: 'Active vault: ',
   tooSmall: 'Terminal too small',
@@ -564,6 +581,7 @@ const en = {
   tabMe: 'Profile',
   titleCaps: 'Device permissions',
   capsFor: (id, name) => `Permissions for ${id}${name ? ' · ' + name : ''}`,
+  capsDrawer: (cn) => `It is the “${cn}” service: it opens the “${cn}” drawer and no other.`,
   capsNoMember: '  (this device is no longer in the record)',
   capsApplyHint: 'Enter ticks or unticks · G saves · Esc goes back to the list keeping your ticks',
   capsPending: (n) => `${n} unsaved change(s) on this device (*) · G saves everything in ONE record`,
@@ -583,7 +601,6 @@ const en = {
   // El título es el NOMBRE del permiso, el mismo que se teclea. Ver la nota en el bloque
   // español: describirlo dejaba una lista donde no se sabía qué permiso era cuál.
   capName: {
-    secrets: (cn) => `secrets «${cn}»`,
     sign: 'sign',
     store: 'store',
     read: 'read',
@@ -597,7 +614,6 @@ const en = {
   },
   // Cada pista se sostiene sola: el título es la palabra, no una frase que continuar.
   capHint: {
-    secrets: (cn) => `open the «${cn}» drawer and no other`,
     sign: 'use your identity across the ecosystem apps',
     store: 'write to your vault: profile, content, data',
     read: 'see what you saved',

package/src/update.js

@@ -16,11 +16,22 @@ import { execFileSync } from 'node:child_process'
 import { latestVersion, isNewer, CHECK_EVERY_MS } from '@dotrino/update'
 import { pickAsset, download, verifyArtifact as verify, fetchVerified } from '@dotrino/update/fetch'
 import { VERSION } from './version.js'
+import { ipcWrite } from './ipc.js'
 
 export const REPO = 'imdotrino/dotrino-vault'
 export { isNewer, CHECK_EVERY_MS, download }
 
 /** La última release del vault. `{ ok:false, reason }` si no se pudo mirar, que NO es «al día». */
+/**
+ * DEJA DICHO QUE SE INSTALÓ una versión nueva, para que el servicio se lo cuente a quien
+ * aprueba cuando arranque con ella (`anunciarActualizacion` en daemon.js). Es el mismo
+ * marcador que deja el servicio cuando se actualiza solo, y lo dejan igual el comando
+ * `update` y la TUI.
+ */
+export function noteUpdated (dir, { from, to }) {
+  ipcWrite(path.join(dir, 'updated.json'), { v: 1, from, to, at: Date.now() })
+}
+
 export const latestRelease = (opts = {}) =>
   latestVersion({ source: 'github', repo: REPO, product: 'dotrino-vault', version: VERSION, ...opts })