@dotrino/vaultd 0.7.2 → 0.7.4

package/README.md

@@ -103,9 +103,12 @@ los dispositivos/variables que estás viendo:
    **entrar** a uno — lo activa si no lo estaba). Ahí también creas una bóveda
    nueva, renombras, borras y pones/quitas/usas la contraseña (candado).
 2. Al entrar caes en sus **pestañas horizontales**, que cambias con `←→`:
-   - **Dispositivos (pares):** verlos, **emparejar** uno nuevo (muestra el QR y la
-     URL, y espera a que se conecte), **aprobar** con el código que muestra el
-     dispositivo, **rechazar** y **revocar**.
+   - **Dispositivos (pares):** verlos, **emparejar** uno nuevo, **aprobar** con el
+     código que muestra el dispositivo, **rechazar** y **revocar**. Al emparejar, la
+     bóveda **pregunta primero a qué cuenta entra el dispositivo** —a esta, o a una
+     cuenta nueva que se estrena para él— y recién después muestra el QR, que además
+     dice de qué cuenta salió. (En la CLI: `dotrino-vault pair --new-account
+     [nombre]`.)
    - **Scopes y variables (secretos):** ver los scopes y sus variables (nunca los
      valores), **agregar** una variable (con su scope) y **quitar** una variable o
      un scope entero.
@@ -114,6 +117,31 @@ los dispositivos/variables que estás viendo:
 sale desde cualquier pantalla. Las teclas de cada acción se listan en la barra
 inferior.
 
+**Idioma (`l`).** La TUI está en **español e inglés** y la tecla `l` conmuta entre
+los dos en cualquier pantalla (incluida la de "el daemon no está corriendo"). El
+idioma elegido se recuerda en `prefs.json` del dir de datos. Sin elección previa
+se toma del entorno (`DOTRINO_LANG`, o el locale `LC_ALL`/`LANG`), con el español
+por defecto.
+
+**Las teclas NO cambian con el idioma**: son mnemónicos en **inglés** y valen igual
+en español (solo se traduce la palabra que las explica en la barra de ayuda).
+
+| Tecla | Acción | Dónde |
+|---|---|---|
+| `Enter` | open — entrar a la bóveda | Bóvedas |
+| `n` | new — bóveda nueva / variable nueva | Bóvedas · Scopes |
+| `r` | rename (Bóvedas) · refresh (Dispositivos/Scopes) · restart (Emparejar) | — |
+| `d` | delete — borrar la bóveda | Bóvedas |
+| `p` | password (Bóvedas) · pair — emparejar (Dispositivos) | — |
+| `x` | quitar: contraseña · dispositivo pendiente · variable/scope | todas |
+| `u` / `k` | unlock / locK — candado de la bóveda | Bóvedas |
+| `a` | approve — aprobar el dispositivo | Dispositivos · Emparejar |
+| `v` | reVoke — revocar un dispositivo enrolado | Dispositivos |
+| `y` | yes — confirmar (también se acepta `s`) | confirmaciones |
+| `b` / `Esc` | back — volver | pestañas · Emparejar |
+| `l` | language — español ⇄ English | todas |
+| `q` | quit — salir | todas |
+
 ### Varios perfiles en el mismo PC
 
 Puedes tener varias identidades tuyas en la misma máquina (p. ej. personal y

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.7.2",
+  "version": "0.7.4",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/ctl.js

@@ -136,7 +136,7 @@ function showChallenge (pe) {
   console.log('  dispositivo : %s%s%s', B, pe.deviceId, Z)
   console.log('\n  Ingresa el código que MUESTRA el dispositivo (el vault no lo conoce):')
   console.log('    %sdotrino-vault approve <código>%s', B, Z)
-  console.log('  Si no reconocés este dispositivo:  dotrino-vault reject %s\n', pe.deviceId)
+  console.log('  Si no reconoces este dispositivo:  dotrino-vault reject %s\n', pe.deviceId)
 }
 
 async function cmdPair (args = []) {
@@ -144,7 +144,7 @@ async function cmdPair (args = []) {
   try { fs.rmSync(pairFile, { force: true }) } catch (_) {}
   try { fs.rmSync(pendingFile, { force: true }) } catch (_) {}
   // --service <ns>: emparejar un SERVICIO (proxy, geo…) con cert limitado a
-  // vault:secrets:<ns> (no puede firmar como vos ni leer tus datos).
+  // vault:secrets:<ns> (no puede firmar como tú ni leer tus datos).
   const svcIdx = args.indexOf('--service')
   let service = null
   if (svcIdx >= 0) {
@@ -153,6 +153,20 @@ async function cmdPair (args = []) {
       console.error('uso: dotrino-vault pair --service <ns>   (ns en minúsculas, p.ej. proxy)'); process.exit(2)
     }
   }
+  // `--new-account [nombre]`: la otra respuesta a «¿a qué cuenta entra?». En vez de
+  // meter el dispositivo en una cuenta que ya vive aquí, se ESTRENA una (vacía) y
+  // entra a ella; las demás no se tocan. En la TUI esto es una pregunta con sus
+  // opciones; en la CLI es una bandera, para que siga sirviendo en un script.
+  const naIdx = args.findIndex((a) => a === '--new-account')
+  if (naIdx >= 0) {
+    const next = args[naIdx + 1]
+    const name = (next && !next.startsWith('-')) ? next : `cuenta ${new Date().toISOString().slice(0, 10)}`
+    const d = await profileRequest('add', { name })
+    if (d.error) { console.error('%s', d.error); process.exit(1) }
+    if (!d.id) { console.error('El daemon no dijo qué cuenta creó.'); process.exit(1) }
+    PROFILE = d.id // el emparejamiento y los comandos siguientes apuntan a ELLA
+    console.log('Cuenta nueva: %s  (%s)', name, d.id)
+  }
   // La petición se escribe SIEMPRE (aunque no haya --service): lleva a qué perfil
   // se empareja el dispositivo.
   writeReq('pair-request.json', service ? { service } : {})
@@ -166,11 +180,16 @@ async function cmdPair (args = []) {
   const b64 = Buffer.from(payload, 'utf8').toString('base64').replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')
   const url = PROFILE_URL + b64
   const mins = Math.round((pair.expiresAt - Date.now()) / 60000)
-  console.log('\nEscaneá este QR con el dispositivo que querés conectar (válido %d min):\n', mins)
+  // QUÉ CUENTA se comparte: el vault puede tener varias bóvedas y este QR sale de
+  // UNA (la activa, o la de --profile). Decirlo evita enrolar el dispositivo en la
+  // equivocada; es la misma línea que muestra la TUI.
+  const acct = pair.profileName || pair.profile
+  if (acct) console.log('\nCuenta que se comparte: %s%s', acct, pair.profileName && pair.profile ? `  (${pair.profile})` : '')
+  console.log('\nEscanea este QR con el dispositivo que quieres conectar (válido %d min):\n', mins)
   console.log(qrToString(url)) // el QR abre vault.dotrino.com/dispositivos y empareja solo
   console.log(`${R}${B}⚠ Este código deja LEER tus datos y FIRMAR con tu identidad.${Z}`)
-  console.log(`${R}  NO lo compartas con nadie, ni con "soporte". Solo escaneálo en TU dispositivo.${Z}`)
-  console.log('\nO abrí esta dirección en el dispositivo:\n  ' + url)
+  console.log(`${R}  NO lo compartas con nadie, ni con "soporte". Solo escanéalo en TU dispositivo.${Z}`)
+  console.log('\nO abre esta dirección en el dispositivo:\n  ' + url)
   console.log('\nO pega este código en vault.dotrino.com/dispositivos :\n  ' + payload)
 
   // --save [archivo]: escribe la invitación (.dpair) para transferirla y abrirla en profile.
@@ -534,6 +553,9 @@ function help () {
   tui                 interfaz de terminal a pantalla completa (bóvedas, pares, secretos)
   status              estado del servicio + fingerprint
   pair [--save <f>]   inicia un emparejamiento (QR + espera); --save escribe la invitación (.dpair)
+  pair --new-account [nombre]
+                      estrena una cuenta VACÍA en este vault y mete ahí al dispositivo
+                      (sin la bandera entra a la cuenta activa, o a la de --profile)
   pair --service <ns> empareja un SERVICIO (proxy, geo…) con acceso SOLO a sus secretos
   secret set <ns> <CLAVE> <valor>   guarda un secreto para el servicio <ns>
   secret rm <ns> <CLAVE>            borra un secreto

package/src/daemon.js

@@ -118,7 +118,11 @@ export async function runDaemon () {
       const scope = isService ? ['vault:secrets:' + pairReq.service] : ['vault:sign', 'vault:read', 'vault:store']
       const label = pairReq?.label || (isService ? 'servicio:' + pairReq.service : 'cli')
       const { qr, expiresInMs } = vault.startPairing({ scope, label, ttlMs: DEVICE_TTL_MS })
-      writeJson(pairFile, { v: 2, qr, expiresAt: Date.now() + expiresInMs, profile: profileId })
+      // `profile`/`profileName`: la CUENTA del vault a la que entra el dispositivo.
+      // Con varias bóvedas en el mismo daemon, el QR sale de UNA y quien empareja
+      // tiene que verlo (lo muestran la TUI y `dotrino-vault pair`).
+      const profileName = mgr.profiles.get(profileId)?.name || ''
+      writeJson(pairFile, { v: 2, qr, expiresAt: Date.now() + expiresInMs, profile: profileId, profileName })
       // El token es un secreto efímero: no debe quedar en disco más allá de su
       // vida. Se borra al VENCER (aquí) y al APROBARSE (abajo, consumido).
       const tok = qr.token
@@ -152,7 +156,9 @@ export async function runDaemon () {
     const ref = () => mgr.resolve(req.profile || mgr.currentId())
     switch (req.op) {
       case 'list': return {} // el volcado de perfiles ya se hace abajo
-      case 'add': { const p = await mgr.add(req.name); return { done: `perfil creado: ${p.name || p.id}` } }
+      // `id`: quien la crea necesita saber CUÁL quedó, no adivinar por nombre (dos
+      // cuentas pueden llamarse igual). Lo usa «emparejar en una cuenta nueva».
+      case 'add': { const p = await mgr.add(req.name); return { done: `perfil creado: ${p.name || p.id}`, id: p.id } }
       case 'rm': { const r = await mgr.remove(req.profile); return { done: `perfil borrado: ${r.name || r.id}` } }
       case 'rename': { const p = mgr.profiles.rename(ref(), req.name); return { done: `perfil renombrado: ${p.name}` } }
       case 'use': { const p = mgr.profiles.setCurrent(ref()); return { done: `perfil activo: ${p.name || p.id}` } }