@dotrino/vaultd 0.56.0 → 0.59.0

package/lib/src/enroll.js

@@ -277,7 +277,12 @@ export function createEnrollDesk ({
       pend.continuity = (okC && d.continuity.member === d.dpub) ? d.continuity : null
     }
     pend.from = from // la bóveda NO conoce el código: lo aprende cuando lo tipeas
-    if (d.label) pend.label = String(d.label).slice(0, 60)
+    // EL NOMBRE QUE PUSISTE AQUÍ MANDA. El aparato manda el suyo al enrolarse, y hasta
+    // ahora pisaba siempre al de la bóveda — como el aparato usa por defecto el apodo del
+    // PERFIL, acababas con varios dispositivos llamados igual que tú y sin forma de saber
+    // cuál era cuál. Si en `pair` le diste un nombre, ese es el nombre; el del aparato
+    // sigue valiendo como propuesta cuando no dijiste nada.
+    if (d.label && !pend.label) pend.label = String(d.label).slice(0, 60)
     // Camino A: de qué cuenta estamos hablando. Se guarda para poder comprobar, cuando
     // llegue el acta sellada, que es la que este dispositivo dijo que iba a entregar.
     if (intent === 'adopt' && typeof d.profileId === 'string') pend.profileId = d.profileId
@@ -359,7 +364,7 @@ export function createEnrollDesk ({
     pend.state = 'DONE'
     pending.delete(pend.token)
     fire(onPendingChange)
-    log('[vault] device approved: %s', pend.deviceId)
+    log(`[vault] device approved: ${pend.deviceId}`)
     return { ok: true, deviceId: pend.deviceId, cert }
   }
 

package/lib/src/service.js

@@ -23,8 +23,7 @@ import path from 'node:path'
 import { createHash } from 'node:crypto'
 import {
   makeDeviceKey, makeDeviceEncKey, importDeviceEncKey, signWithDevice, verifyDelegation,
-  verifyDeviceSig, makePairingCode, commitCode, pubkeyId
-} from '@dotrino/identity/capabilities'
+  verifyDeviceSig, makePairingCode, commitCode, pubkeyId, PEER_SKEW_MS } from '@dotrino/identity/capabilities'
 import { openWrap, wrapForMember, decryptWithCek } from '@dotrino/identity/content'
 import { verifyActa, sealKeyAt } from '@dotrino/identity/acta'
 import { MSG, secretsScope, isValidSecretsNs } from './protocol.js'
@@ -298,7 +297,7 @@ export async function enrollWithVault ({ qr, label = 'agent', expectedScope = nu
     const res = await enrolled
 
     if (res.code !== code) throw new Error('the vault echoed a code other than the one shown (possible malicious relay)')
-    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, ...(expectedScope ? { expectedScope } : {}) })
+    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, skewMs: PEER_SKEW_MS, ...(expectedScope ? { expectedScope } : {}) })
     if (!v.ok) throw new Error('invalid cert: ' + v.reason)
     if (res.cert.iss !== qr.iss) throw new Error('cert signed by a master other than the one in the QR')
 
@@ -440,7 +439,7 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
         client.sendByPubkey(masterPubkey, { type: MSG.RENEW, data, signature, cert })
         const res = await pending
         if (res.type === MSG.RENEWED && res.cert?.sub === device.publickey) {
-          const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, expectedScope: secretsScope(ns) })
+          const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, skewMs: PEER_SKEW_MS, expectedScope: secretsScope(ns) })
           if (v.ok) { cert = res.cert; if (dir && saved) writeServiceIdentity(dir, { ...saved, cert }) }
         }
       } catch (_) { /* la renovación no bloquea el fetch */ }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.56.0",
+  "version": "0.59.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -20,7 +20,7 @@
     "node": ">=20"
   },
   "dependencies": {
-    "@dotrino/identity": "^0.63.0",
+    "@dotrino/identity": "^0.64.0",
     "@dotrino/passmanager": "^0.9.0",
     "@dotrino/proxy-client": "^0.13.1",
     "ws": "^8.18.0"

package/src/client.js

@@ -11,7 +11,7 @@
  * estrictamente (firmado por la maestra que vio en el QR, y para SU clave) antes de
  * guardarlo. La maestra nunca sale del vault.
  */
-import { makeDeviceKey, signWithDevice, verifyDelegation, verifyDeviceSig, makePairingCode, commitCode, pubkeyId } from '@dotrino/identity/capabilities'
+import { makeDeviceKey, signWithDevice, verifyDelegation, verifyDeviceSig, makePairingCode, commitCode, pubkeyId, PEER_SKEW_MS } from '@dotrino/identity/capabilities'
 import { installNodeGlobals } from './node-globals.js'
 import { MSG } from './protocol.js'
 
@@ -84,7 +84,7 @@ export async function enroll ({ qr, label = '', dir, onChallenge, approveTimeout
     const res = await enrolled
 
     // VALIDACIÓN ESTRICTA antes de persistir (cierra inyección de cert / sustitución de maestra).
-    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey })
+    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, skewMs: PEER_SKEW_MS })
     if (!v.ok) throw new Error('invalid cert: ' + v.reason)
     if (res.cert.iss !== qr.iss) throw new Error('cert signed by a master other than the one you saw (possible malicious proxy)')
     if (res.cert.sub !== device.publickey) throw new Error('cert issued for a different device')
@@ -151,7 +151,7 @@ export async function requestRenew ({ masterPubkey, proxyUrl, device, cert, dir
     if (res.type === MSG.ERROR) throw new Error(res.error)
     // Se valida antes de devolverlo, igual que en el enrolamiento: un cert que no está
     // firmado por la maestra que ya conocemos, o que no es para esta llave, no se guarda.
-    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey })
+    const v = await verifyDelegation({ cert: res.cert, expectedSub: device.publickey, skewMs: PEER_SKEW_MS })
     if (!v.ok) throw new Error('invalid cert: ' + v.reason)
     if (res.cert.iss !== masterPubkey) throw new Error('cert signed by a master other than the pinned one')
     return { cert: res.cert }

package/src/ctl.js

@@ -68,6 +68,20 @@ const writeReq = (name, obj) => {
 }
 
 const R = '\x1b[31m', B = '\x1b[1m', Z = '\x1b[0m' // rojo / negrita / reset
+const D = '\x1b[2m' // apagado: para el dato que acompaña sin competir con el nombre
+
+/**
+ * La fecha en que entró un aparato, corta y en local. Sin hora: lo que se busca al mirar
+ * esta lista es «¿de cuándo es este?», no el minuto exacto — y una fecha larga en cada
+ * línea convierte la lista en un muro.
+ *
+ * En español, como el resto de esta CLI: con el idioma del sistema salía «Jul 29, 2026»
+ * en medio de una frase en español, que es peor que cualquiera de los dos por separado.
+ */
+function fechaCorta (ms) {
+  try { return new Date(ms).toLocaleDateString('es', { year: 'numeric', month: 'short', day: 'numeric' }) }
+  catch (_) { return '' }
+}
 // La versión se inyecta en build (esbuild --define); en dev cae a 'dev'.
 
 /**
@@ -191,6 +205,17 @@ async function cmdPair (args = []) {
   // --approval: el aparato que entre pedirá tu aprobación (teléfono) en cada petición de
   // claves privadas. Por defecto NO pide; se cambia después con `caps <ID> +permiso`.
   const approval = args.includes('--approval')
+  // --name <n>: CÓMO SE VA A LLAMAR el aparato que entre, decidido aquí y antes de nada.
+  // Sin esto el nombre lo ponía el propio aparato, que por defecto usa el apodo del
+  // PERFIL: acababas con varios dispositivos llamados igual que tú, y para distinguirlos
+  // había que renombrarlos después —cuando ya no sabías cuál era cuál—.
+  const nIdx = args.indexOf('--name')
+  let label = null
+  if (nIdx >= 0) {
+    const v = args[nIdx + 1]
+    if (!v || v.startsWith('-')) { console.error('uso: dotrino-vault pair --name "teléfono de casa"'); process.exit(2) }
+    label = v.slice(0, 60)
+  }
   // --admin: el aparato que entre por esta invitación podrá ADMINISTRAR (la consola).
   // El QR no lleva nada: es una nota local de la bóveda y el permiso se aplica al aprobar
   // con el código que tecleas aquí. Ahorra el `caps <ID> +administra` de después, que en un
@@ -244,9 +269,11 @@ async function cmdPair (args = []) {
   // meter el dispositivo en una cuenta que ya vive aquí, se ESTRENA una (vacía) y
   // entra a ella; las demás no se tocan. En la TUI esto es una pregunta con sus
   // opciones; en la CLI es una bandera, para que siga sirviendo en un script.
+  // `--name` lleva su valor detrás: no puede confundirse con el nombre de la cuenta.
+  const consumido = (i) => nIdx >= 0 && i === nIdx + 1
   const naIdx = args.findIndex((a) => a === '--new-account')
   if (naIdx >= 0) {
-    const next = args[naIdx + 1]
+    const next = consumido(naIdx + 1) ? null : args[naIdx + 1]
     const name = (next && !next.startsWith('-')) ? next : `cuenta ${new Date().toISOString().slice(0, 10)}`
     const d = await profileRequest('add', { name, ...(pairKek ? { kek: pairKek } : {}) })
     if (d.error) { console.error('%s', d.error); process.exit(1) }
@@ -261,7 +288,7 @@ async function cmdPair (args = []) {
   const adIdx = args.findIndex((a) => a === '--adopt')
   const adopt = adIdx >= 0
   if (adopt) {
-    const next = args[adIdx + 1]
+    const next = consumido(adIdx + 1) ? null : args[adIdx + 1]
     const name = (next && !next.startsWith('-')) ? next : `cuenta del dispositivo`
     const d = await profileRequest('add', { name, adopt: true, ...(pairKek ? { kek: pairKek } : {}) })
     if (d.error) { console.error('%s', d.error); process.exit(1) }
@@ -284,7 +311,7 @@ async function cmdPair (args = []) {
 
   // La petición se escribe SIEMPRE (aunque no haya --service): lleva a qué perfil
   // se empareja el dispositivo.
-  writeReq('pair-request.json', { ...(service ? { service } : {}), ...(scope ? { scope } : {}), ...(adopt ? { mode: 'adopt' } : {}), ...(approval ? { approval: true } : {}), ...(admin ? { admin: true } : {}) })
+  writeReq('pair-request.json', { ...(service ? { service } : {}), ...(scope ? { scope } : {}), ...(adopt ? { mode: 'adopt' } : {}), ...(approval ? { approval: true } : {}), ...(admin ? { admin: true } : {}), ...(label ? { label } : {}) })
   sendSignal(s.pid, 'SIGUSR1')
 
   let pair = null
@@ -505,7 +532,14 @@ async function cmdMembers () {
   assertOpen(record)
   if (!record.members?.length) { console.log('Este perfil todavía no tiene acta.'); return }
 
-  const CAP = { sign: 'firma', store: 'guarda', read: 'lee', secrets: 'lee sus claves', admin: `${B}administra el perfil${Z}`, approve: `${B}aprueba pedidos${Z}` }
+  // `sealer` y `passwords` faltaban y salían crudos, en inglés, entre los demás en
+  // español. Se resaltan como `admin` y `approve`: los cuatro cambian lo que ese aparato
+  // puede hacerle a la cuenta, y eso se lee de un vistazo o no se lee.
+  const CAP = {
+    sign: 'firma', store: 'guarda', read: 'lee', secrets: 'lee sus claves',
+    admin: `${B}administra el perfil${Z}`, approve: `${B}aprueba pedidos${Z}`,
+    sealer: `${B}sella el acta${Z}`, passwords: `${B}pide contraseñas${Z}`
+  }
   // El nombre del perfil es una pubkey JWK. Recortarla no la hace legible: la deja
   // pareciendo un error (`{"key_ops":["verify"],"e…`). Se muestra su huella corta, la
   // misma que se enseña al emparejar y en la lista de miembros.
@@ -519,7 +553,13 @@ async function cmdMembers () {
       m.cn ? `servicio «${m.cn}»` : null
     ].filter(Boolean)
     const caps = m.caps.length ? m.caps.map((c) => CAP[c] || c).join(', ') : '(sin permisos)'
-    console.log('  %s  %s%s\n      %s', m.id, who, marks.length ? '  [' + marks.join(' · ') + ']' : '', caps)
+    // CUÁNDO ENTRÓ. El nombre lo pone el propio aparato al emparejarse y muchas veces no
+    // distingue nada —dos teléfonos con el mismo apodo, o «cli» a secas—, así que la fecha
+    // es lo que deja reconocer cuál es cuál y ver si hay uno que no recuerdas haber
+    // conectado. El acta ya la guardaba (`addedAt`); solo no se enseñaba.
+    console.log('  %s  %s%s%s\n      %s', m.id, who,
+      m.addedAt ? `  ${D}· conectado el ${fechaCorta(m.addedAt)}${Z}` : '',
+      marks.length ? '  [' + marks.join(' · ') + ']' : '', caps)
     // Un servicio SIN llave de cifrado no puede leer ninguna variable privada: van
     // selladas a esa llave. Se dice aquí, junto a él, porque es el único sitio donde
     // se mira quién es quién — y en la lista de variables ya seria tarde.
@@ -1442,6 +1482,9 @@ function help () {
                       estrena una cuenta VACÍA en este vault y mete ahí al dispositivo
                       (sin la bandera entra a la cuenta activa, o a la de --profile)
   pair --service <ns> empareja un SERVICIO (proxy, geo…) con acceso SOLO a sus secretos
+  pair --name <nombre>  cómo se llamará el aparato que entre. Sin esto el nombre lo pone
+                      ÉL, y por defecto usa el apodo del perfil: acabas con varios
+                      dispositivos llamados igual que tú
   pair --approval       el aparato que entre pedirá tu aprobación (teléfono) al recibir claves
   pair --admin          el aparato que entre podrá ADMINISTRAR (es lo que es una consola).
                       El QR no lleva nada: el permiso se aplica al aprobar el código aquí

package/src/daemon.js

@@ -20,6 +20,7 @@ import { takeLock } from '../lib/src/lock.js'
 import { startVaultManager } from './manager.js'
 import { dataDir, writeJson, readJson } from './paths.js'
 import { parseInvite } from '../lib/src/invite.js'
+import { watchBinary } from './selfupdate.js'
 import { VERSION } from './version.js'
 
 const readJsonSafe = (f) => readJson(f, null)
@@ -742,7 +743,7 @@ export async function runDaemon () {
 
   // --- apagado limpio ---
   const shutdown = (sig) => {
-    console.log(`\n[vault] ${sig} → deteniendo…`)
+    console.log(`\n[vault] ${sig} → stopping…`)
     rm(pairFile); rm(pendingEnrollFile)
     try { mgr.close() } catch (_) {}
     process.exit(0)
@@ -803,6 +804,16 @@ export async function runDaemon () {
   }
   bootstrapJoin()
 
+  // ACTUALIZAR EL PAQUETE = ACTUALIZAR EL SERVICIO. El instalador no puede reiniciarnos
+  // (somos un servicio de USUARIO y él corre como root), así que lo hacemos nosotros: si
+  // el binario cambia en el disco, nos vamos y systemd nos levanta con el nuevo. Solo bajo
+  // systemd; ver `src/selfupdate.js` para por qué eso no es negociable.
+  const vigia = watchBinary({
+    log: console.log,
+    exit: () => shutdown('new binary installed')
+  })
+  if (vigia) console.log('[vault] watching for updates: a new binary restarts the service on its own')
+
   console.log('[vault] servicio listo.')
   return mgr
 }

package/src/profiles.js

@@ -222,6 +222,10 @@ export function openProfiles (root = dataDir(), { autoLockMs = AUTO_LOCK_MS, onA
       // la llave— es largo, y nadie va a teclear 24 caracteres para decir `--profile`. El
       // trozo que sí se lee y se reconoce es la huella de delante (`0571-465F`), que es la
       // misma que sale en `members`. Ambiguo se rechaza, no se adivina.
+      // El id que tenía antes de que la carpeta se llamara como su llave (ver
+      // `ensureNamedByKey`): un cliente abierto durante la actualización sigue usándolo.
+      const viejo = data.profiles.find((p) => p.wasId && p.wasId.toLowerCase() === needle)
+      if (viejo) return viejo.id
       const porPrefijo = data.profiles.filter((p) => p.id.toLowerCase().startsWith(needle))
       if (porPrefijo.length === 1) return porPrefijo[0].id
       if (porPrefijo.length > 1) throw new Error(`"${ref}" matches ${porPrefijo.length} profiles; give more of the id (dotrino-vault profile ls)`)
@@ -380,7 +384,15 @@ export function openProfiles (root = dataDir(), { autoLockMs = AUTO_LOCK_MS, onA
       }
       fs.renameSync(dir, dirOf(quiere))
       const p = find(id)
-      if (p) p.id = quiere
+      if (p) {
+        p.id = quiere
+        // EL NOMBRE VIEJO SE RECUERDA. Quien tenía una consola o una TUI abierta durante
+        // la actualización sigue pidiendo por el id de antes, y sin esto cada petición
+        // suya contestaba «ese perfil no existe» —que es verdad y no ayuda nada—. Se
+        // traduce en `resolve`, así que el cliente viejo sigue funcionando hasta que se
+        // reinicie, que es cuando dejará de preguntarlo.
+        p.wasId = id
+      }
       if (data.current === id) data.current = quiere
       if (unlocked.has(id)) { unlocked.set(quiere, unlocked.get(id)); unlocked.delete(id) }
       save()

package/src/selfupdate.js

@@ -0,0 +1,86 @@
+/**
+ * selfupdate.js — ACTUALIZAR EL PAQUETE TENÍA QUE SIGNIFICAR ACTUALIZAR EL SERVICIO.
+ *
+ * No lo significaba, y el resultado era una bóveda que decía correr una versión y corría
+ * otra. Pasó de verdad (dueño, 2026-08-31): el `.deb` puso 0.56.0 en el disco y el daemon
+ * siguió ocho versiones atrás durante días, sin que nada fallara de forma visible —
+ * `status` lo avisaba en una línea que nadie mira, y el aviso del instalador se pierde
+ * entre el resto de la salida.
+ *
+ * POR QUÉ EL INSTALADOR NO PUEDE HACERLO. La unidad es de USUARIO (`systemctl --user`) y
+ * el `postinst` del paquete corre como root. Root no tiene la sesión del usuario: para
+ * reiniciarle el servicio tendría que averiguar qué usuarios lo tienen puesto, buscar su
+ * `XDG_RUNTIME_DIR` y entrar en su bus. Es frágil, y con varios usuarios en la máquina es
+ * además decidir por ellos. Por eso el instalador solo lo dice.
+ *
+ * ASÍ QUE LO HACE EL DAEMON. Mira su propio binario y, cuando cambia, se va limpiamente;
+ * systemd lo levanta otra vez (`Restart=always`) y esa vez arranca el nuevo. Es la única
+ * vía que no necesita root, funciona con cualquier número de usuarios y no depende de que
+ * nadie se acuerde de nada.
+ *
+ * LAS DOS CONDICIONES, y ninguna es opcional:
+ *
+ *   1. **Que haya quien nos levante.** Si nadie nos reinicia, irse es apagar la bóveda del
+ *      usuario para siempre — el peor final posible para una mejora de comodidad. Se exige
+ *      `INVOCATION_ID`, que systemd pone en el entorno del servicio: sin eso, no se toca
+ *      nada. Un `npx`, un contenedor o un arranque a mano quedan fuera a propósito.
+ *   2. **Que el archivo esté quieto.** Un `.deb` a medio escribir cambia de tamaño varias
+ *      veces; irse en ese instante deja a systemd arrancando un binario truncado. Por eso
+ *      la huella nueva tiene que verse en DOS pasadas seguidas: si aún se está copiando,
+ *      la segunda no coincide y se vuelve a esperar.
+ */
+import fs from 'node:fs'
+import path from 'node:path'
+
+/**
+ * Cada cuánto se mira. No hay prisa: un minuto de retraso en actualizar no le duele a
+ * nadie, y este mismo plazo hace de espera — la huella nueva tiene que verse DOS veces
+ * seguidas, así que un archivo a medio escribir no llega a contar.
+ */
+export const CHECK_MS = 60_000
+
+/** Huella barata del archivo: tamaño + fecha. No hace falta leerlo entero (son 125 MB). */
+function fingerprint (file) {
+  try { const s = fs.statSync(file); return `${s.size}:${Math.round(s.mtimeMs)}` } catch (_) { return null }
+}
+
+/**
+ * ¿Estamos corriendo el binario autosuficiente, bajo un systemd que nos va a levantar?
+ *
+ * `process.execPath` es el binario cuando es un SEA, y es `node` cuando se corre desde el
+ * repo o por npx. En ese segundo caso vigilar no tiene sentido: actualizar el paquete no
+ * cambia `node`, y lo que habría que mirar es otra cosa.
+ */
+export function shouldWatch (env = process.env, execPath = process.execPath) {
+  if (!env.INVOCATION_ID) return false                    // nadie garantiza el reinicio
+  return /dotrino-vaultd/.test(path.basename(execPath))   // el binario, no `node`
+}
+
+/**
+ * Vigila el binario propio y termina el proceso cuando cambie.
+ * @returns {{stop:()=>void}|null} `null` si no procede vigilar.
+ */
+export function watchBinary ({ log = console.log, exit = (c) => process.exit(c), env = process.env, execPath = process.execPath, checkMs = CHECK_MS } = {}) {
+  if (!shouldWatch(env, execPath)) return null
+  const inicial = fingerprint(execPath)
+  if (!inicial) return null
+
+  let quieto = null // huella del candidato, para exigir que se repita
+
+  const t = setInterval(() => {
+    const ahora = fingerprint(execPath)
+    if (!ahora || ahora === inicial) { quieto = null; return }
+    if (quieto !== ahora) { quieto = ahora; return } // primera vez que se ve: esperar
+    clearInterval(t)
+    log('[vault] the binary changed on disk: restarting to run the new version')
+    // Se sale con 0 y limpiamente: systemd lo trata como una parada normal y vuelve a
+    // arrancar por `Restart=always`. El apagado del daemon ya suelta el candado y cierra
+    // el transporte, así que la bóveda no queda ni con el candado puesto ni a medias.
+    exit(0)
+  }, Math.max(1000, checkMs))
+  t.unref?.()
+
+  return { stop: () => clearInterval(t) }
+}
+
+export default { watchBinary, shouldWatch, CHECK_MS }

package/src/tui/app.js

@@ -918,12 +918,41 @@ async function descartarCuenta (term, st, id, volverA) {
   if (r.ok) flash(st, i.accountDiscarded)
 }
 
+/**
+ * PRIMERO EL NOMBRE, y luego el QR.
+ *
+ * Sin preguntarlo, el nombre lo pone el propio aparato al enrolarse, y por defecto usa el
+ * apodo del PERFIL: te quedaban tres dispositivos llamados igual que tú y ninguna forma de
+ * saber cuál era cuál sin renombrarlos después —cuando ya no te acordabas—. Se pregunta
+ * ANTES porque después ya estás mirando un QR con el teléfono en la mano.
+ *
+ * Enter en blanco sigue valiendo: deja que lo diga el aparato, que es el comportamiento de
+ * siempre para quien no quiera decidirlo.
+ */
+function beginPairingNamed (term, st, profile, service = null, after = null) {
+  const i = L(st)
+  setInput(st, {
+    label: i.nameDeviceLabel,
+    hint: i.nameDeviceHint,
+    onSubmit: async (nombre) => {
+      st.input = null
+      const ok = await beginPairing(term, st, profile, service, (nombre || '').trim().slice(0, 60) || null)
+      // `after` es para quien tenga que limpiar si el emparejamiento no llega a abrirse
+      // (la cuenta que nació para él). Va aquí porque con el nombre de por medio ya no se
+      // puede mirar el valor de retorno desde fuera.
+      if (after) await after(ok)
+    },
+    onCancel: () => { st.input = null }
+  })
+  return true
+}
+
 /**
  * Abre el emparejamiento contra `profile` y salta a la pantalla del QR. Con `service`,
  * el QR es el de un SERVICIO de ese namespace (cert limitado a sus variables).
  */
-async function beginPairing (term, st, profile, service = null) {
-  const r = await guard(term, st, L(st).startingPairing, () => vc.startPairing({ profile, ...(service ? { service } : {}) }))
+async function beginPairing (term, st, profile, service = null, label = null) {
+  const r = await guard(term, st, L(st).startingPairing, () => vc.startPairing({ profile, ...(service ? { service } : {}), ...(label ? { label } : {}) }))
   // `service` se pega al estado porque el daemon no lo devuelve: la pantalla del QR
   // tiene que poder decir qué se está entregando, que no es lo mismo un aparato tuyo
   // que una máquina que solo va a leer la configuración del proxy.
@@ -983,7 +1012,7 @@ async function onKeyPairMode (term, st, key) {
   if (key.name === 'escape' || ch === 'b') { st.screen = 'devices'; return true }
   if (key.name !== 'enter' || !cur) return true
 
-  if (cur.mode === 'here') { await beginPairing(term, st, activeId(st)); return true }
+  if (cur.mode === 'here') { return beginPairingNamed(term, st, activeId(st)) }
 
   // SERVICIO: entra a la cuenta activa, pero con un certificado que solo sirve para
   // pedir las variables de SU namespace. El nombre del ns es el que luego pide el
@@ -1025,8 +1054,10 @@ async function onKeyPairMode (term, st, key) {
       // Si el emparejamiento no llega a abrirse, la cuenta que se creó PARA él se va con
       // él: si no, cada intento fallido dejaba una cuenta vacía —y encima activa— que
       // luego había que ir a borrar a mano adivinando cuál era.
-      if (!await beginPairing(term, st, created)) await descartarCuenta(term, st, created, previa)
-      else st.pairing.born = { id: created, from: previa }
+      beginPairingNamed(term, st, created, null, async (ok) => {
+        if (!ok) await descartarCuenta(term, st, created, previa)
+        else st.pairing.born = { id: created, from: previa }
+      })
     },
     onCancel: () => { st.input = null }
   })

package/src/tui/i18n.js

@@ -140,6 +140,8 @@ const es = {
   cantRemoveMaster: 'Esta bóveda es la que manda: no se quita a sí misma.',
   revokedCount: (n) => `  Revocados: ${n}`,
   startingPairing: 'Iniciando emparejamiento…',
+  nameDeviceLabel: '¿Cómo se va a llamar este aparato?',
+  nameDeviceHint: 'Enter para dejar que lo diga él (usará tu apodo, y así no se distinguen)',
   noPending: 'No hay ningún dispositivo pendiente',
   noPendingToReject: 'No hay ningún dispositivo pendiente para rechazar',
   rejecting: 'Rechazando…',
@@ -435,6 +437,8 @@ const en = {
   cantRemoveMaster: 'This vault is the Master: it does not remove itself.',
   revokedCount: (n) => `  Revoked: ${n}`,
   startingPairing: 'Starting pairing…',
+  nameDeviceLabel: 'What will this device be called?',
+  nameDeviceHint: 'Enter to let it say (it will use your nickname, and then they all look alike)',
   noPending: 'No device is waiting',
   noPendingToReject: 'No device is waiting to be rejected',
   rejecting: 'Rejecting…',

package/src/vaultControl.js

@@ -604,10 +604,10 @@ export function pairUrl (qr) {
   return { url: inviteUrl(qr), code, payload: JSON.stringify(qr), b64: code }
 }
 
-export async function startPairing ({ profile, service } = {}) {
+export async function startPairing ({ profile, service, label } = {}) {
   requireAlive()
   rm(F.pair); rm(F.pending)
-  await writeReq(F.pairReq, service ? { service } : {}, profile)
+  await writeReq(F.pairReq, { ...(service ? { service } : {}), ...(label ? { label } : {}) }, profile)
   signalOrCleanup('SIGUSR1', [F.pairReq])
   for (let i = 0; i < 50; i++) {
     await sleep(100)