@dotrino/vaultd 0.159.0 → 0.160.0

package/lib/src/core/libVersion.js

@@ -5,4 +5,4 @@
  * si no coincide con la del paquete: una versión anunciada que no es la que corre es peor
  * que no anunciar ninguna.
  */
-export const LIB_VERSION = '0.87.0'
+export const LIB_VERSION = '0.88.0'

package/lib/src/core/passwords.js

@@ -23,7 +23,6 @@ import { SealedStore, SealedResponder } from '@dotrino/passmanager'
 import { verifyDeviceSig } from '@dotrino/identity/capabilities'
 
 export const PASSWORDS_CAP = 'passwords'
-export const PASSKEYS_CAP = 'passkeys'
 
 /**
  * @param {object} opts

package/lib/src/core/vault.js

@@ -311,14 +311,14 @@ export async function startVault ({ platform, proxyUrl, log = console.log, onEnr
    * eso se filtran explícitamente aquí, que es donde se construye la lista, y no en quien la
    * consume (`sealed-passwords.md` §2.1).
    *
-   * `main` son los aparatos con `contraseñas`; `passkeys`, los que además pueden abrir la
-   * privada de una passkey (§2.8). Un miembro sin llave de cifrado no puede recibir nada: se
+   * `main` y `passkeys` (la generación aparte de la privada de una passkey) son los MISMOS:
+   * los aparatos con `contraseñas`. Hubo un permiso `passkeys` aparte y se fusionó en ese
+   * (dueño, 2026-10-16: «realmente deberían ser uno solo»); `kind` se queda por el formato. Un miembro sin llave de cifrado no puede recibir nada: se
    * queda fuera y se ve en `incompleteMembers`.
    */
   const noEsLaBoveda = (pub) => pub !== master && pub !== commKey.pub()
-  const passwordRecipients = (kind = 'main') => (actaCache?.members || [])
+  const passwordRecipients = (_kind = 'main') => (actaCache?.members || [])
     .filter((m) => m.encPub && noEsLaBoveda(m.pub) && Acta.memberCan(actaCache, m.pub, 'passwords'))
-    .filter((m) => kind !== 'passkeys' || Acta.memberCan(actaCache, m.pub, 'passkeys'))
     .map((m) => ({ pub: m.pub, encPub: m.encPub }))
 
   /**

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.159.0",
+  "version": "0.160.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -22,11 +22,11 @@
   },
   "dependencies": {
     "@dotrino/compat": "0.4.0",
-    "@dotrino/identity": "^0.117.2",
+    "@dotrino/identity": "^0.118.0",
     "@dotrino/opaque": "0.1.0",
-    "@dotrino/passmanager": "0.17.0",
+    "@dotrino/passmanager": "0.18.1",
     "@dotrino/proxy-client": "^0.36.1",
-    "@dotrino/roadmap": "0.4.13",
+    "@dotrino/roadmap": "0.4.20",
     "@dotrino/store": "0.11.0",
     "@dotrino/update": "0.9.0",
     "sigstore": "5.0.0",

package/src/ctl.js

@@ -785,12 +785,9 @@ const CAP_BY_WORD = {
   // `contraseñas`: el gestor (la extensión, la app del teléfono) puede PEDIR
   // credenciales de a una. Se acepta con y sin tilde: nadie escribe la ñ en una CLI.
   contrasenas: 'passwords', 'contraseñas': 'passwords',
-  // `passkeys`: además de las contraseñas, puede abrir la LLAVE PRIVADA de una passkey.
-  // Va aparte porque una passkey copiada sirve hasta que la borres en cada sitio donde
-  // la registraste — de una contraseña, al menos, se puede cambiar
-  // (`dotrino-passmanager/docs/sealed-passwords.md` §2.8). Sin `contraseñas` no
-  // significa nada: la passkey vive en una entrada de contraseñas.
-  passkeys: 'passkeys', llaves: 'passkeys',
+  // `contraseñas` cubre también las PASSKEYS: hubo un `passkeys` aparte y se fusionó en este
+  // (dueño, 2026-10-16). Quien escriba la palabra vieja recibe lo que hoy significa.
+  passkeys: 'passwords',
   // `desatendido`: RECIBE CLAVES PRIVADAS SIN QUE NADIE APRUEBE. Sin él, la bóveda no
   // entrega nada hasta que un aparato con `aprueba` lo firme (una vez por arranque).
   //
@@ -2340,7 +2337,7 @@ function help () {
   pair --quiet          escupe SOLO la invitación (una línea) y termina: sin QR y sin
                       esperar. Para desplegar (un contenedor no mira un QR en pantalla)
   pair --scope <lista>  los PERMISOS con los que entra, cualquiera de los de caps (firma,lee,guarda,administra,
-                      aprueba,contrasenas,passkeys,sella,desatendido,replica) y secrets:<ns>. Sin esto: firma,lee,guarda.
+                      aprueba,contrasenas,sella,desatendido,replica) y secrets:<ns>. Sin esto: firma,lee,guarda.
                       Entra al acta ya con ellos. Se combina con --service: --service eco --scope firma
   secret set <ns> <CLAVE> <valor>   variable del scope <ns>: la comparten TODOS los
                                     aparatos del perfil que sirven ese namespace

package/src/service.js

@@ -40,6 +40,16 @@ export function daemonCommand () {
   return { cmd: process.execPath, args: [path.join(here, '..', 'bin', 'dotrino-vaultd.js')] }
 }
 
+/**
+ * La orden para volver a correr ESTA misma invocación (la TUI tras actualizar). En el binario
+ * (SEA) `process.argv[1]` es otra vez el ejecutable, así que `argv.slice(1)` le pasaba su
+ * propia ruta como primer argumento: `sea-entry.js` no lo reconocía y arrancaba el DAEMON en
+ * la terminal en vez de la TUI (2026-10-16, al pasar a 0.159.0).
+ */
+export function selfCommand (argv = process.argv, sea = !!globalThis.__DOTRINO_SEA__) {
+  return { cmd: process.execPath, args: argv.slice(sea ? 2 : 1) }
+}
+
 /** Dónde escribe el daemon suelto lo que diría por consola. */
 export const daemonLogFile = () => path.join(dataDir(), 'daemon.log')
 

package/src/tui/app.js

@@ -647,7 +647,7 @@ function pairModeRows (st, t) {
  * esté nombrado se añade al final: un permiso puede salir en mal sitio, nunca desaparecer.
  * `test/tui-permisos.test.mjs` exige además que todos tengan nombre en los dos idiomas.
  */
-const ORDEN = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'passkeys', 'sealer', 'unattended', 'replica']
+const ORDEN = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'sealer', 'unattended', 'replica']
 const CAPS_ORDER = [...ORDEN.filter((c) => DEVICE_CAPS.includes(c)),
   ...DEVICE_CAPS.filter((c) => !ORDEN.includes(c))]
 
@@ -3006,7 +3006,8 @@ export async function runTui () {
   // TRAS ACTUALIZAR Y REINICIAR, esta pantalla también se vuelve a abrir: es el binario
   // anterior el que sigue en memoria. Se lanza el nuevo en esta misma terminal.
   if (st.relaunch) {
-    const r = spawnSync(process.execPath, process.argv.slice(1), { stdio: 'inherit' })
+    const { cmd, args } = service.selfCommand()
+    const r = spawnSync(cmd, args, { stdio: 'inherit' })
     process.exit(r.status ?? 0)
   }
 }

package/src/tui/i18n.js

@@ -123,7 +123,6 @@ const es = {
     read: 'lee',
     admin: 'administra',
     passwords: 'contrasenas',
-    passkeys: 'passkeys',
     approve: 'aprueba',
     sealer: 'sella',
     unattended: 'desatendido',
@@ -140,7 +139,6 @@ const es = {
     passwords: 'pedir una contraseña por sitio, nunca la lista entera',
     // Una passkey copiada sirve hasta que la borres en cada sitio: de una contraseña, al
     // menos, se puede cambiar. Por eso es una decisión aparte.
-    passkeys: 'abrir además las passkeys guardadas, que son llaves y no se pueden cambiar. Sin «contrasenas» no hace nada',
     approve: 'dar el visto bueno cuando otro aparato pide claves privadas',
     // Sellar solo significa algo en un aparato que HAGA de bóveda (otra máquina con el
     // daemon, o un navegador que se puso de bóveda). En un teléfono normal se concede y no
@@ -619,7 +617,6 @@ const en = {
     read: 'read',
     admin: 'admin',
     passwords: 'passwords',
-    passkeys: 'passkeys',
     approve: 'approve',
     sealer: 'sealer',
     unattended: 'unattended',
@@ -632,7 +629,6 @@ const en = {
     read: 'see what you saved',
     admin: 'connect and remove devices from there, without coming here. It cannot change permissions',
     passwords: 'ask for one password per site, never the whole list',
-    passkeys: 'also open saved passkeys, which are keys and cannot be changed. Without «passwords» it does nothing',
     approve: 'give the go-ahead when another device asks for private keys',
     sealer: 'admit devices and change permissions on its own when this vault is away. Only useful on another VAULT',
     unattended: 'take private keys without asking you. Off, it must be approved from a device with «approve» every time it starts',