@dotrino/vaultd 0.58.0 → 0.60.0

package/lib/src/enroll.js

@@ -277,7 +277,12 @@ export function createEnrollDesk ({
       pend.continuity = (okC && d.continuity.member === d.dpub) ? d.continuity : null
     }
     pend.from = from // la bóveda NO conoce el código: lo aprende cuando lo tipeas
-    if (d.label) pend.label = String(d.label).slice(0, 60)
+    // EL NOMBRE QUE PUSISTE AQUÍ MANDA. El aparato manda el suyo al enrolarse, y hasta
+    // ahora pisaba siempre al de la bóveda — como el aparato usa por defecto el apodo del
+    // PERFIL, acababas con varios dispositivos llamados igual que tú y sin forma de saber
+    // cuál era cuál. Si en `pair` le diste un nombre, ese es el nombre; el del aparato
+    // sigue valiendo como propuesta cuando no dijiste nada.
+    if (d.label && !pend.label) pend.label = String(d.label).slice(0, 60)
     // Camino A: de qué cuenta estamos hablando. Se guarda para poder comprobar, cuando
     // llegue el acta sellada, que es la que este dispositivo dijo que iba a entregar.
     if (intent === 'adopt' && typeof d.profileId === 'string') pend.profileId = d.profileId

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.58.0",
+  "version": "0.60.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/ctl.js

@@ -205,6 +205,17 @@ async function cmdPair (args = []) {
   // --approval: el aparato que entre pedirá tu aprobación (teléfono) en cada petición de
   // claves privadas. Por defecto NO pide; se cambia después con `caps <ID> +permiso`.
   const approval = args.includes('--approval')
+  // --name <n>: CÓMO SE VA A LLAMAR el aparato que entre, decidido aquí y antes de nada.
+  // Sin esto el nombre lo ponía el propio aparato, que por defecto usa el apodo del
+  // PERFIL: acababas con varios dispositivos llamados igual que tú, y para distinguirlos
+  // había que renombrarlos después —cuando ya no sabías cuál era cuál—.
+  const nIdx = args.indexOf('--name')
+  let label = null
+  if (nIdx >= 0) {
+    const v = args[nIdx + 1]
+    if (!v || v.startsWith('-')) { console.error('uso: dotrino-vault pair --name "teléfono de casa"'); process.exit(2) }
+    label = v.slice(0, 60)
+  }
   // --admin: el aparato que entre por esta invitación podrá ADMINISTRAR (la consola).
   // El QR no lleva nada: es una nota local de la bóveda y el permiso se aplica al aprobar
   // con el código que tecleas aquí. Ahorra el `caps <ID> +administra` de después, que en un
@@ -258,9 +269,11 @@ async function cmdPair (args = []) {
   // meter el dispositivo en una cuenta que ya vive aquí, se ESTRENA una (vacía) y
   // entra a ella; las demás no se tocan. En la TUI esto es una pregunta con sus
   // opciones; en la CLI es una bandera, para que siga sirviendo en un script.
+  // `--name` lleva su valor detrás: no puede confundirse con el nombre de la cuenta.
+  const consumido = (i) => nIdx >= 0 && i === nIdx + 1
   const naIdx = args.findIndex((a) => a === '--new-account')
   if (naIdx >= 0) {
-    const next = args[naIdx + 1]
+    const next = consumido(naIdx + 1) ? null : args[naIdx + 1]
     const name = (next && !next.startsWith('-')) ? next : `cuenta ${new Date().toISOString().slice(0, 10)}`
     const d = await profileRequest('add', { name, ...(pairKek ? { kek: pairKek } : {}) })
     if (d.error) { console.error('%s', d.error); process.exit(1) }
@@ -275,7 +288,7 @@ async function cmdPair (args = []) {
   const adIdx = args.findIndex((a) => a === '--adopt')
   const adopt = adIdx >= 0
   if (adopt) {
-    const next = args[adIdx + 1]
+    const next = consumido(adIdx + 1) ? null : args[adIdx + 1]
     const name = (next && !next.startsWith('-')) ? next : `cuenta del dispositivo`
     const d = await profileRequest('add', { name, adopt: true, ...(pairKek ? { kek: pairKek } : {}) })
     if (d.error) { console.error('%s', d.error); process.exit(1) }
@@ -298,7 +311,7 @@ async function cmdPair (args = []) {
 
   // La petición se escribe SIEMPRE (aunque no haya --service): lleva a qué perfil
   // se empareja el dispositivo.
-  writeReq('pair-request.json', { ...(service ? { service } : {}), ...(scope ? { scope } : {}), ...(adopt ? { mode: 'adopt' } : {}), ...(approval ? { approval: true } : {}), ...(admin ? { admin: true } : {}) })
+  writeReq('pair-request.json', { ...(service ? { service } : {}), ...(scope ? { scope } : {}), ...(adopt ? { mode: 'adopt' } : {}), ...(approval ? { approval: true } : {}), ...(admin ? { admin: true } : {}), ...(label ? { label } : {}) })
   sendSignal(s.pid, 'SIGUSR1')
 
   let pair = null
@@ -1469,6 +1482,9 @@ function help () {
                       estrena una cuenta VACÍA en este vault y mete ahí al dispositivo
                       (sin la bandera entra a la cuenta activa, o a la de --profile)
   pair --service <ns> empareja un SERVICIO (proxy, geo…) con acceso SOLO a sus secretos
+  pair --name <nombre>  cómo se llamará el aparato que entre. Sin esto el nombre lo pone
+                      ÉL, y por defecto usa el apodo del perfil: acabas con varios
+                      dispositivos llamados igual que tú
   pair --approval       el aparato que entre pedirá tu aprobación (teléfono) al recibir claves
   pair --admin          el aparato que entre podrá ADMINISTRAR (es lo que es una consola).
                       El QR no lleva nada: el permiso se aplica al aprobar el código aquí

package/src/tui/app.js

@@ -127,6 +127,10 @@ function mergeMembersAndCerts (members, issued) {
       label: m.label || cert?.label || '',
       isMaster: !!m.isMaster,
       cn: m.cn || null,
+      // CUÁNDO ENTRÓ. Venía en el acta y se perdía aquí, así que la lista no podía
+      // enseñarlo por mucho que se quisiera. El nombre lo pone el propio aparato y muchas
+      // veces no distingue nada: la fecha es lo que deja reconocer cuál es cuál.
+      addedAt: m.addedAt || null,
       // El master es la propia bóveda: no tiene (ni necesita) certificado. Un servicio
       // tampoco lleva uno de dispositivo. Marcarlos «sin acceso» sería una alarma falsa.
       noAccess: !cert && !m.isMaster && !m.cn
@@ -260,6 +264,7 @@ function deviceRows (st, t) {
     const label = d.label || t.muted(i.noLabel)
     const vars = devVarsOf(st, d.sub).length
     const debt = debtOf(st, d.sub)
+    const desde = d.addedAt ? t.muted(`  ${i.deviceSince}:${fmtExp(d.addedAt)}`) : ''
     const extra = (d.certCount > 1 ? t.muted(`  certs:${d.certCount}`) : '') +
       (vars ? t.muted(`  vars:${vars}`) : '') +
       // EN DEUDA: en el acta y sin poder abrir lo suyo. Va en color de aviso al lado de
@@ -272,7 +277,7 @@ function deviceRows (st, t) {
       : d.isMaster
         ? t.muted(i.thisVault)
         : t.muted('scope:' + shortScope(d.scope)) + '  ' + t.muted('exp:' + fmtExp(d.exp))
-    rows.push({ text: ` ${t.bold(d.deviceId)}  ${label}  ${status}${extra}`, sel: true, meta: d })
+    rows.push({ text: ` ${t.bold(d.deviceId)}  ${label}${desde}  ${status}${extra}`, sel: true, meta: d })
   }
   const revoked = st.devices?.revoked || []
   if (revoked.length) {
@@ -318,7 +323,17 @@ function pairModeRows (st, t) {
  * una marca de si los tiene. El de administrar va aparte y avisado: es el único que deja
  * a ese aparato meter y sacar dispositivos sin venir aquí.
  */
-const CAPS_ORDER = ['sign', 'store', 'read', 'admin', 'passwords']
+/**
+ * TODOS los permisos que el acta reconoce para un aparato, en el orden en que se leen: de
+ * lo cotidiano a lo que cambia quién manda.
+ *
+ * `approve` y `sealer` faltaban, y solo se podían conceder por la CLI. Un permiso que
+ * existe y no se ve en la pantalla que se llama «permisos» hace creer que no existe — y
+ * `sealer` es justo el que hay que entender para el multivault. Se ven siempre, aunque en
+ * un teléfono normal `sealer` no lo vaya a usar nadie: verlo apagado explica el modelo
+ * (dueño, 2026-08-31).
+ */
+const CAPS_ORDER = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'sealer']
 
 function capsRows (st, t) {
   const i = L(st)
@@ -918,12 +933,41 @@ async function descartarCuenta (term, st, id, volverA) {
   if (r.ok) flash(st, i.accountDiscarded)
 }
 
+/**
+ * PRIMERO EL NOMBRE, y luego el QR.
+ *
+ * Sin preguntarlo, el nombre lo pone el propio aparato al enrolarse, y por defecto usa el
+ * apodo del PERFIL: te quedaban tres dispositivos llamados igual que tú y ninguna forma de
+ * saber cuál era cuál sin renombrarlos después —cuando ya no te acordabas—. Se pregunta
+ * ANTES porque después ya estás mirando un QR con el teléfono en la mano.
+ *
+ * Enter en blanco sigue valiendo: deja que lo diga el aparato, que es el comportamiento de
+ * siempre para quien no quiera decidirlo.
+ */
+function beginPairingNamed (term, st, profile, service = null, after = null) {
+  const i = L(st)
+  setInput(st, {
+    label: i.nameDeviceLabel,
+    hint: i.nameDeviceHint,
+    onSubmit: async (nombre) => {
+      st.input = null
+      const ok = await beginPairing(term, st, profile, service, (nombre || '').trim().slice(0, 60) || null)
+      // `after` es para quien tenga que limpiar si el emparejamiento no llega a abrirse
+      // (la cuenta que nació para él). Va aquí porque con el nombre de por medio ya no se
+      // puede mirar el valor de retorno desde fuera.
+      if (after) await after(ok)
+    },
+    onCancel: () => { st.input = null }
+  })
+  return true
+}
+
 /**
  * Abre el emparejamiento contra `profile` y salta a la pantalla del QR. Con `service`,
  * el QR es el de un SERVICIO de ese namespace (cert limitado a sus variables).
  */
-async function beginPairing (term, st, profile, service = null) {
-  const r = await guard(term, st, L(st).startingPairing, () => vc.startPairing({ profile, ...(service ? { service } : {}) }))
+async function beginPairing (term, st, profile, service = null, label = null) {
+  const r = await guard(term, st, L(st).startingPairing, () => vc.startPairing({ profile, ...(service ? { service } : {}), ...(label ? { label } : {}) }))
   // `service` se pega al estado porque el daemon no lo devuelve: la pantalla del QR
   // tiene que poder decir qué se está entregando, que no es lo mismo un aparato tuyo
   // que una máquina que solo va a leer la configuración del proxy.
@@ -983,7 +1027,7 @@ async function onKeyPairMode (term, st, key) {
   if (key.name === 'escape' || ch === 'b') { st.screen = 'devices'; return true }
   if (key.name !== 'enter' || !cur) return true
 
-  if (cur.mode === 'here') { await beginPairing(term, st, activeId(st)); return true }
+  if (cur.mode === 'here') { return beginPairingNamed(term, st, activeId(st)) }
 
   // SERVICIO: entra a la cuenta activa, pero con un certificado que solo sirve para
   // pedir las variables de SU namespace. El nombre del ns es el que luego pide el
@@ -1025,8 +1069,10 @@ async function onKeyPairMode (term, st, key) {
       // Si el emparejamiento no llega a abrirse, la cuenta que se creó PARA él se va con
       // él: si no, cada intento fallido dejaba una cuenta vacía —y encima activa— que
       // luego había que ir a borrar a mano adivinando cuál era.
-      if (!await beginPairing(term, st, created)) await descartarCuenta(term, st, created, previa)
-      else st.pairing.born = { id: created, from: previa }
+      beginPairingNamed(term, st, created, null, async (ok) => {
+        if (!ok) await descartarCuenta(term, st, created, previa)
+        else st.pairing.born = { id: created, from: previa }
+      })
     },
     onCancel: () => { st.input = null }
   })

package/src/tui/i18n.js

@@ -46,14 +46,22 @@ const es = {
     store: 'Guardar tus datos',
     read: 'Leer tus datos',
     admin: 'Administrar el perfil',
-    passwords: 'Pedir tus contraseñas'
+    passwords: 'Pedir tus contraseñas',
+    approve: 'Aprobar pedidos',
+    sealer: 'Sellar el acta'
   },
   capHint: {
     sign: 'usar tu identidad en las apps del ecosistema',
     store: 'escribir en tu bóveda (perfil, contenido, datos sensibles)',
     read: 'ver lo que guardaste',
     admin: 'conectar y quitar dispositivos desde ese aparato, sin venir aquí',
-    passwords: 'el gestor: pedir una credencial por sitio, nunca la lista entera'
+    passwords: 'el gestor: pedir una credencial por sitio, nunca la lista entera',
+    approve: 'dar el visto bueno cuando otro aparato pide claves privadas',
+    // Sellar solo significa algo en un aparato que HAGA de bóveda (otra máquina con el
+    // daemon, o un navegador que se puso de bóveda). En un teléfono normal se concede y no
+    // lo usa nadie. Se enseña igual, y se dice: verlo desactivado explica el modelo;
+    // esconderlo hacía creer que no existe (dueño, 2026-08-31).
+    sealer: 'admitir aparatos y cambiar permisos él solo, si esta bóveda no está. Solo sirve en otra BÓVEDA'
   },
   confirmAdmin: (id) => `¿Dejar que ${id} conecte y quite dispositivos sin venir aquí?`,
   capGiven: (n) => `Concedido: ${n}`,
@@ -140,6 +148,9 @@ const es = {
   cantRemoveMaster: 'Esta bóveda es la que manda: no se quita a sí misma.',
   revokedCount: (n) => `  Revocados: ${n}`,
   startingPairing: 'Iniciando emparejamiento…',
+  deviceSince: 'desde',
+  nameDeviceLabel: '¿Cómo se va a llamar este aparato?',
+  nameDeviceHint: 'Enter para dejar que lo diga él (usará tu apodo, y así no se distinguen)',
   noPending: 'No hay ningún dispositivo pendiente',
   noPendingToReject: 'No hay ningún dispositivo pendiente para rechazar',
   rejecting: 'Rechazando…',
@@ -345,14 +356,18 @@ const en = {
     store: 'Save your data',
     read: 'Read your data',
     admin: 'Manage the profile',
-    passwords: 'Ask for your passwords'
+    passwords: 'Ask for your passwords',
+    approve: 'Approve requests',
+    sealer: 'Seal the record'
   },
   capHint: {
     sign: 'use your identity across the ecosystem apps',
     store: 'write to your vault (profile, content, sensitive data)',
     read: 'see what you saved',
     admin: 'connect and remove devices from that device, without coming here',
-    passwords: 'the manager: ask for one credential per site, never the whole list'
+    passwords: 'the manager: ask for one credential per site, never the whole list',
+    approve: 'give the go-ahead when another device asks for private keys',
+    sealer: 'admit devices and change permissions on its own if this vault is gone. Only useful on another VAULT'
   },
   confirmAdmin: (id) => `Let ${id} connect and remove devices without coming here?`,
   capGiven: (n) => `Granted: ${n}`,
@@ -435,6 +450,9 @@ const en = {
   cantRemoveMaster: 'This vault is the Master: it does not remove itself.',
   revokedCount: (n) => `  Revoked: ${n}`,
   startingPairing: 'Starting pairing…',
+  deviceSince: 'since',
+  nameDeviceLabel: 'What will this device be called?',
+  nameDeviceHint: 'Enter to let it say (it will use your nickname, and then they all look alike)',
   noPending: 'No device is waiting',
   noPendingToReject: 'No device is waiting to be rejected',
   rejecting: 'Rejecting…',

package/src/vaultControl.js

@@ -604,10 +604,10 @@ export function pairUrl (qr) {
   return { url: inviteUrl(qr), code, payload: JSON.stringify(qr), b64: code }
 }
 
-export async function startPairing ({ profile, service } = {}) {
+export async function startPairing ({ profile, service, label } = {}) {
   requireAlive()
   rm(F.pair); rm(F.pending)
-  await writeReq(F.pairReq, service ? { service } : {}, profile)
+  await writeReq(F.pairReq, { ...(service ? { service } : {}), ...(label ? { label } : {}) }, profile)
   signalOrCleanup('SIGUSR1', [F.pairReq])
   for (let i = 0; i < 50; i++) {
     await sleep(100)