@dotrino/vaultd 0.60.0 → 0.62.0

package/lib/src/index.js

@@ -26,6 +26,7 @@
  * No reimplementa nada del ecosistema.
  */
 import { verifyChain, verifyDeviceSig } from '@dotrino/identity/capabilities'
+import { memberCanSign } from '@dotrino/identity/acta'
 import { createEnrollDesk, deviceIdOf, DEVICE_TTL_MS, FRESH_WINDOW_MS } from './enroll.js'
 // Las constantes del protocolo salen del MISMO módulo que usa el daemon: si la lista
 // local se queda corta, el dispositivo deja de handle mensajes sin que nadie lo note.
@@ -205,6 +206,14 @@ export async function startDeviceVault (identity, { proxyUrl, client: injectedCl
   async function handleSign (from, p) {
     const chk = await authorise(from, p, SCOPE.SIGN)
     if (!chk) return
+    // MANDA EL ACTA, NO EL PAPEL. `authorise` mira el certificado, y quitarle `firma` a un
+    // aparato NO reemite ni revoca su cert: seguiría diciendo `vault:sign` hasta 30 días.
+    // Sin esto, retirarle el permiso lo cambiaba de firmar él a que firmara la bóveda por
+    // él — o sea, no se lo retiraba. Mismo arreglo que en el daemon (`src/vault.js`).
+    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+    if (record && !memberCanSign(record, chk.device)) {
+      return send(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member does not sign' })
+    }
     const toSign = p.data?.payload
     if (toSign == null) return send(from, { type: MSG.ERROR, error: 'data.payload required' })
     const { signature, publickey } = await identity.signData(toSign)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.60.0",
+  "version": "0.62.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -20,7 +20,7 @@
     "node": ">=20"
   },
   "dependencies": {
-    "@dotrino/identity": "^0.64.0",
+    "@dotrino/identity": "^0.65.0",
     "@dotrino/passmanager": "^0.9.0",
     "@dotrino/proxy-client": "^0.13.1",
     "ws": "^8.18.0"

package/src/daemon.js

@@ -340,6 +340,11 @@ export async function runDaemon () {
         finally { wipe(ak) }
         return { done: 'perfil desbloqueado' + note, autoLockMs: mgr.profiles.autoLockMs }
       }
+      // TECLEAR EN LA PANTALLA DE CONTROL CUENTA COMO USO. Sin esto, navegar por ella no
+      // tocaba el daemon —solo lo hacían las acciones—, así que el candado se cerraba a
+      // los 5 minutos de ABRIRLO aunque estuvieras delante trabajando. `ref()` ya estira
+      // el plazo; esta op no hace nada más, y por eso no devuelve ningún volcado.
+      case 'touch': { ref(); return { done: 'ok' } }
       case 'lock': { mgr.profiles.lock(ref()); return { done: 'perfil bloqueado' } }
       // PONER contraseña: los secretos pasan de abrirse con la llave de la máquina a
       // abrirse con la frase. Hay que volver a cerrar la copia maestra con la nueva, o

package/src/tui/app.js

@@ -552,6 +552,28 @@ function autoLockWakeIn (st, now = Date.now()) {
  * reabriría sola en cuanto alguien pulsara Enter (ver `reunlockSilently`), así que el
  * candado del daemon no habría cerrado nada.
  */
+/** Cada cuánto se le dice al daemon «sigo aquí». Muy por debajo del plazo del candado. */
+const TOUCH_MS = 60_000
+let ultimoToque = 0
+
+/**
+ * Le dice al daemon que sigues delante, sin pedirle nada. Se llama al teclear.
+ *
+ * No se espera (`await`): estirar el candado no puede meterse en medio de lo que estabas
+ * haciendo, y si se pierde un aviso, el siguiente llega un minuto después — con cinco de
+ * plazo, no pasa nada.
+ */
+function seguirAqui (st, api = vc) {
+  const ahora = Date.now()
+  if (ahora - ultimoToque < TOUCH_MS) return
+  const p = (st.state?.profiles || []).find((x) => x.current)
+  // Solo tiene sentido en un perfil con contraseña y abierto: sin candado no hay plazo
+  // que estirar, y cerrado no hay nada que mantener abierto.
+  if (!p?.protected || p.locked) return
+  ultimoToque = ahora
+  try { Promise.resolve(api.touchProfile(p.id)).catch(() => {}) } catch (_) {}
+}
+
 async function forgetAutoLocked (term, st, api = vc) {
   const ids = autoLockedIds(st)
   if (!ids.length) return false
@@ -1743,6 +1765,13 @@ export async function runTui () {
       if (st.confirm) { await onConfirmKey(st, key); continue }
       if (key.name === 'ctrl-c') { running = false; continue }
 
+      // TECLEAR ES USO. El candado se cierra a los 5 min de no usarse, y hasta ahora
+      // «usar» solo contaba cuando algo pedía al daemon: podías estar media hora
+      // navegando esta pantalla y se cerraba igual, que es lo contrario de lo que se
+      // quería. Se avisa como mucho una vez por minuto —el plazo son cinco, así que
+      // sobra— para no escribir un archivo por tecla.
+      seguirAqui(st)
+
       const ch = key.name === 'char' ? key.ch.toLowerCase() : null
       // 'q' global sale.
       if (ch === 'q') { running = false; continue }
@@ -1785,4 +1814,4 @@ export async function runTui () {
 }
 
 // Solo para pruebas headless (render sin terminal real). No usar en runtime.
-export const __test = { render, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, pairModeRows, pairingBody, scrollBody, fitHelp, toggleLang, mergeMembersAndCerts }
+export const __test = { render, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, pairModeRows, pairingBody, scrollBody, fitHelp, toggleLang, mergeMembersAndCerts, seguirAqui, resetToque: () => { ultimoToque = 0 } }

package/src/vault.js

@@ -315,6 +315,32 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       expectedScope: SCOPE.SIGN, trustedIssuer: master, revoked: await revocationSet()
     })
     if (!chk.ok) return denyChain(from, chk, p, 'sign')
+
+    // MANDA EL ACTA, NO EL PAPEL. Esto miraba solo el certificado, y era el único
+    // mostrador que lo hacía —`approve` y los secretos ya preguntaban al acta—. El agujero
+    // que dejaba: `caps <ID> -firma` quita `sign` del acta pero NO reemite ni revoca el
+    // cert del aparato, que sigue diciendo `vault:sign` hasta 30 días. Entonces su
+    // `signData` local veía que ya no puede y se lo PEDÍA a la bóveda… que decía que sí.
+    // O sea que quitarle el permiso de firmar no se lo quitaba: lo cambiaba de firmar él
+    // a que firmaras tú por él.
+    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+    if (record && !Acta.memberCanSign(record, chk.device)) {
+      audit('rejected', { what: 'sign', reason: 'acta' })
+      return reply(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member does not sign' })
+    }
+
+    // Y CERRADA NO FIRMA NADA (dueño, 2026-08-31). La regla de antes —«el daemon sigue
+    // firmando con el perfil bloqueado, para que un reinicio no deje las apps muertas»— es
+    // ANTERIOR AL MODELO DE SOBRES y queda derogada: con los sobres la bóveda no necesita
+    // firmar nada para servir. Lo que hace abierta es rehacer los sobres.
+    //
+    // Y las apps no se quedan muertas por esto: un aparato al que el acta le da `sign`
+    // firma con SU llave y no pasa por aquí (ver `signData` en el pilar). Leer y guardar
+    // tampoco pasan por aquí, y siguen funcionando con el candado echado.
+    if (isLocked()) {
+      audit('rejected', { what: 'sign', reason: 'locked' })
+      return reply(from, { type: MSG.ERROR, error: 'vault locked: the master key does not sign while the vault is closed' })
+    }
     const toSign = p.data?.payload
     if (toSign == null) return reply(from, { type: MSG.ERROR, error: 'data.payload required' })
     const { signature, publickey } = await identity.signData(toSign)

package/src/vaultControl.js

@@ -224,6 +224,15 @@ export const renameProfile = (profile, name) => profileOp('rename', { profile, n
 export const removeProfile = (profile) => profileOp('rm', { profile })
 export const unlockProfile = (profile, password) => profileOp('unlock', { profile, password })
 export const lockProfile = (profile) => profileOp('lock', { profile })
+/**
+ * «Sigo aquí»: estira el plazo del bloqueo automático sin hacer nada más.
+ *
+ * La pantalla de control la usa al teclear. Sin esto, moverse por ella no tocaba el
+ * daemon —solo lo hacían las acciones—, así que el candado se cerraba a los 5 minutos de
+ * ABRIRLO aunque estuvieras delante. El plazo se cuenta desde el último uso, y teclear es
+ * uso.
+ */
+export const touchProfile = (profile) => profileOp('touch', { profile })
 // `current`: la contraseña que YA tenía el perfil. Hace falta para abrir la copia
 // maestra de los secretos y volver a cerrarla con la nueva — sin ese paso, cambiar la
 // contraseña dejaría las variables privadas ilegibles.