@dotrino/vaultd 0.61.0 → 0.62.0

package/lib/src/index.js

@@ -26,6 +26,7 @@
  * No reimplementa nada del ecosistema.
  */
 import { verifyChain, verifyDeviceSig } from '@dotrino/identity/capabilities'
+import { memberCanSign } from '@dotrino/identity/acta'
 import { createEnrollDesk, deviceIdOf, DEVICE_TTL_MS, FRESH_WINDOW_MS } from './enroll.js'
 // Las constantes del protocolo salen del MISMO módulo que usa el daemon: si la lista
 // local se queda corta, el dispositivo deja de handle mensajes sin que nadie lo note.
@@ -205,6 +206,14 @@ export async function startDeviceVault (identity, { proxyUrl, client: injectedCl
   async function handleSign (from, p) {
     const chk = await authorise(from, p, SCOPE.SIGN)
     if (!chk) return
+    // MANDA EL ACTA, NO EL PAPEL. `authorise` mira el certificado, y quitarle `firma` a un
+    // aparato NO reemite ni revoca su cert: seguiría diciendo `vault:sign` hasta 30 días.
+    // Sin esto, retirarle el permiso lo cambiaba de firmar él a que firmara la bóveda por
+    // él — o sea, no se lo retiraba. Mismo arreglo que en el daemon (`src/vault.js`).
+    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+    if (record && !memberCanSign(record, chk.device)) {
+      return send(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member does not sign' })
+    }
     const toSign = p.data?.payload
     if (toSign == null) return send(from, { type: MSG.ERROR, error: 'data.payload required' })
     const { signature, publickey } = await identity.signData(toSign)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.61.0",
+  "version": "0.62.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -20,7 +20,7 @@
     "node": ">=20"
   },
   "dependencies": {
-    "@dotrino/identity": "^0.64.0",
+    "@dotrino/identity": "^0.65.0",
     "@dotrino/passmanager": "^0.9.0",
     "@dotrino/proxy-client": "^0.13.1",
     "ws": "^8.18.0"

package/src/vault.js

@@ -315,6 +315,32 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       expectedScope: SCOPE.SIGN, trustedIssuer: master, revoked: await revocationSet()
     })
     if (!chk.ok) return denyChain(from, chk, p, 'sign')
+
+    // MANDA EL ACTA, NO EL PAPEL. Esto miraba solo el certificado, y era el único
+    // mostrador que lo hacía —`approve` y los secretos ya preguntaban al acta—. El agujero
+    // que dejaba: `caps <ID> -firma` quita `sign` del acta pero NO reemite ni revoca el
+    // cert del aparato, que sigue diciendo `vault:sign` hasta 30 días. Entonces su
+    // `signData` local veía que ya no puede y se lo PEDÍA a la bóveda… que decía que sí.
+    // O sea que quitarle el permiso de firmar no se lo quitaba: lo cambiaba de firmar él
+    // a que firmaras tú por él.
+    const record = (await identity.profileActa?.().catch(() => null))?.acta || null
+    if (record && !Acta.memberCanSign(record, chk.device)) {
+      audit('rejected', { what: 'sign', reason: 'acta' })
+      return reply(from, { type: MSG.ERROR, error: 'unauthorized: acta — this member does not sign' })
+    }
+
+    // Y CERRADA NO FIRMA NADA (dueño, 2026-08-31). La regla de antes —«el daemon sigue
+    // firmando con el perfil bloqueado, para que un reinicio no deje las apps muertas»— es
+    // ANTERIOR AL MODELO DE SOBRES y queda derogada: con los sobres la bóveda no necesita
+    // firmar nada para servir. Lo que hace abierta es rehacer los sobres.
+    //
+    // Y las apps no se quedan muertas por esto: un aparato al que el acta le da `sign`
+    // firma con SU llave y no pasa por aquí (ver `signData` en el pilar). Leer y guardar
+    // tampoco pasan por aquí, y siguen funcionando con el candado echado.
+    if (isLocked()) {
+      audit('rejected', { what: 'sign', reason: 'locked' })
+      return reply(from, { type: MSG.ERROR, error: 'vault locked: the master key does not sign while the vault is closed' })
+    }
     const toSign = p.data?.payload
     if (toSign == null) return reply(from, { type: MSG.ERROR, error: 'data.payload required' })
     const { signature, publickey } = await identity.signData(toSign)