@dotrino/vaultd 0.7.4 → 0.7.5

package/lib/src/enroll.js

@@ -108,13 +108,29 @@ export function createEnrollDesk ({
   const reply = (to, obj) => { try { send(to, obj) } catch (e) { log('[vault] no se pudo responder:', e.message) } }
   const isFresh = (d) => typeof d?.ts === 'number' && Math.abs(Date.now() - d.ts) <= FRESH_WINDOW_MS
 
-  /** Inicia un emparejamiento: token + nonce de sesión. NO firma nada todavía. */
-  function startPairing ({ scope = defaultScope, ttlMs = defaultTtlMs, label = '' } = {}) {
+  /**
+   * Inicia un emparejamiento: token + nonce de sesión. NO firma nada todavía.
+   *
+   * `mode` y `account` son LO QUE LA BÓVEDA DECLARA que va a pasar, y viajan en el QR
+   * para que el aparato pueda **decirlo antes de hacerlo** en vez de emparejar a
+   * ciegas (decisión V9 de `docs/vinculacion-de-cuentas.md`: pregunta el vault, el
+   * dispositivo muestra el proceso y sus consecuencias):
+   *
+   *   · `mode: 'join'`  → el dispositivo estrena una cuenta suya y entra a la de la
+   *                       bóveda. Es lo único que existe hoy.
+   *   · `mode: 'adopt'` → la bóveda se quedaría con la cuenta que trae el aparato
+   *                       (camino A). Reservado: todavía no hay protocolo.
+   *   · `account`       → cómo se llama la cuenta de la bóveda, para nombrarla en el
+   *                       aviso. Es ORIENTATIVO (un nombre que puso su dueño); la
+   *                       identidad de verdad de la cuenta es `iss`.
+   */
+  function startPairing ({ scope = defaultScope, ttlMs = defaultTtlMs, label = '', mode = 'join', account = '' } = {}) {
     pending.clear() // uno a la vez: una sesión nueva supersede a la anterior
     const token = randToken()
     const sn = randToken()
-    pending.set(token, { token, exp: Date.now() + PAIRING_TTL_MS, scope, ttlMs, label, sn, state: 'AWAITING_ENROLL' })
-    return { token, qr: { v: 2, iss, proxy, token, sn }, expiresInMs: PAIRING_TTL_MS }
+    const acct = String(account || '').slice(0, 40)
+    pending.set(token, { token, exp: Date.now() + PAIRING_TTL_MS, scope, ttlMs, label, sn, mode, account: acct, state: 'AWAITING_ENROLL' })
+    return { token, qr: { v: 2, iss, proxy, token, sn, m: mode, ...(acct ? { acct } : {}) }, expiresInMs: PAIRING_TTL_MS }
   }
 
   function stopPairing (token) { pending.delete(token) }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.7.4",
+  "version": "0.7.5",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/daemon.js

@@ -117,11 +117,13 @@ export async function runDaemon () {
       const isService = typeof pairReq?.service === 'string' && pairReq.service
       const scope = isService ? ['vault:secrets:' + pairReq.service] : ['vault:sign', 'vault:read', 'vault:store']
       const label = pairReq?.label || (isService ? 'servicio:' + pairReq.service : 'cli')
-      const { qr, expiresInMs } = vault.startPairing({ scope, label, ttlMs: DEVICE_TTL_MS })
       // `profile`/`profileName`: la CUENTA del vault a la que entra el dispositivo.
       // Con varias bóvedas en el mismo daemon, el QR sale de UNA y quien empareja
-      // tiene que verlo (lo muestran la TUI y `dotrino-vault pair`).
+      // tiene que verlo (lo muestran la TUI y `dotrino-vault pair`). El nombre viaja
+      // TAMBIÉN dentro del QR (`acct`) para que el dispositivo pueda anunciar qué va
+      // a pasar antes de hacerlo (V9 de docs/vinculacion-de-cuentas.md).
       const profileName = mgr.profiles.get(profileId)?.name || ''
+      const { qr, expiresInMs } = vault.startPairing({ scope, label, ttlMs: DEVICE_TTL_MS, mode: 'join', account: profileName })
       writeJson(pairFile, { v: 2, qr, expiresAt: Date.now() + expiresInMs, profile: profileId, profileName })
       // El token es un secreto efímero: no debe quedar en disco más allá de su
       // vida. Se borra al VENCER (aquí) y al APROBARSE (abajo, consumido).
@@ -217,7 +219,9 @@ export async function runDaemon () {
         rm(profileReqFile) // lleva la contraseña: fuera del disco cuanto antes
         let extra = {}
         try { extra = await handleProfileRequest(preq) }
-        catch (e) { extra = { error: e.message }; console.error('[vault] perfil: %s', e.message) }
+        // `code`: la TUI es bilingüe y traduce por código (un freno como el D12 tiene
+        // que leerse en el idioma de quien lo lee, no en el del daemon).
+        catch (e) { extra = { error: e.message, ...(e.code ? { code: e.code } : {}) }; console.error('[vault] perfil: %s', e.message) }
         dumpProfiles(extra)
       } else {
         dumpProfiles()

package/src/manager.js

@@ -13,6 +13,28 @@ import { openProfiles } from './profiles.js'
 import { installNodeGlobals } from './node-globals.js'
 import { dataDir, ensureDir } from './paths.js'
 
+/**
+ * D12 (`docs/acta-de-perfil.md`): la bóveda **no** borra una cuenta que ella manda si
+ * quedan otros miembros — antes tiene que pasarle el acta a un dispositivo conectado.
+ * Es D6 ("perder el master es perder la cuenta") leído al derecho: con más miembros,
+ * el que borra no la pierde solo para él.
+ *
+ * Pura a propósito (recibe el veredicto ya calculado) para poder probar la regla sin
+ * levantar un vault entero.
+ */
+export function assertCanRemove ({ isMaster, memberCount, name = '' }) {
+  if (!isMaster || memberCount <= 1) return true
+  const otros = memberCount - 1
+  const e = new Error(
+    `la cuenta "${name}" la manda esta bóveda y tiene ${otros} dispositivo(s) más: ` +
+    'pásale primero el mando a uno que esté conectado. Si la borras así, se quedan ' +
+    'con su llave y sin nadie que pueda volver a firmar el acta.'
+  )
+  e.code = 'MASTER_WITH_MEMBERS'
+  e.members = memberCount
+  throw e
+}
+
 export async function startVaultManager ({ root = dataDir(), proxyUrl, log = console.log, onEnrollChallenge } = {}) {
   ensureDir(root)
   // El keypair de transporte del proxy-client es del PROCESO, no de la identidad:
@@ -76,6 +98,21 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
     /** Borra el perfil: cierra su conexión y elimina su maestra y sus datos. */
     async remove (ref) {
       const id = profiles.resolve(ref)
+      // FRENO D12 (acta-de-perfil.md): si esta bóveda MANDA la cuenta y quedan otros
+      // miembros, borrarla los deja con su llave y sin nadie que pueda volver a sellar
+      // el acta: la cuenta muere para todos, en silencio. Primero se le pasa el mando
+      // a un dispositivo conectado. (En el dispositivo no hay tal freno: allí borrar
+      // se lleva su llave y su copia, y la cuenta sigue viva donde vive el master.)
+      const v = running.get(id)
+      if (v) {
+        const [soyMaster, acta] = await Promise.all([
+          v.isMaster().catch(() => false),
+          v.profileMembers().catch(() => ({ members: [] }))
+        ])
+        assertCanRemove({ isMaster: soyMaster, memberCount: (acta?.members || []).length, name: profiles.get(id)?.name || id })
+      } else {
+        log('[vault] perfil %s no está abierto: se borra sin poder comprobar su acta', id)
+      }
       const res = profiles.remove(id) // valida: no es el único, no está bloqueado
       try { running.get(id)?.close() } catch (_) {}
       running.delete(id)

package/src/tui/app.js

@@ -50,7 +50,8 @@ function humanErr (e, st) {
     NO_REPLY: t.errNoReply,
     NOT_APPLIED: t.errNotApplied,
     NOT_DELETED: t.errNotDeleted,
-    PAIR_FAILED: t.errPairFailed
+    PAIR_FAILED: t.errPairFailed,
+    MASTER_WITH_MEMBERS: t.errMasterWithMembers
   }
   return byCode[e?.code] || e?.message || String(e)
 }

package/src/tui/i18n.js

@@ -179,7 +179,8 @@ const es = {
   errNoReply: 'El daemon no respondió.',
   errNotApplied: 'El daemon no aplicó el cambio (revisa los logs del servicio).',
   errNotDeleted: 'El daemon no borró la variable (revisa los logs del servicio).',
-  errPairFailed: 'El daemon no inició el emparejamiento.'
+  errPairFailed: 'El daemon no inició el emparejamiento.',
+  errMasterWithMembers: 'Esta cuenta la manda esta bóveda y tiene otros dispositivos: pásale primero el mando a uno que esté conectado. Si la borras así, se quedan con su llave y sin nadie que pueda volver a firmar el acta.'
 }
 
 // ---------------------------------- inglés ----------------------------------
@@ -333,7 +334,8 @@ const en = {
   errNoReply: 'The daemon did not answer.',
   errNotApplied: 'The daemon did not apply the change (check the service logs).',
   errNotDeleted: 'The daemon did not delete the variable (check the service logs).',
-  errPairFailed: 'The daemon did not start the pairing.'
+  errPairFailed: 'The daemon did not start the pairing.',
+  errMasterWithMembers: 'This vault is in charge of this account and it has other devices: hand the lead over to one that is online first. If you delete it like this, they keep their key with nobody able to sign the record again.'
 }
 
 // --------------------------- selección y persistencia -----------------------

package/src/vault.js

@@ -296,6 +296,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // Acta del perfil (quién es del perfil y qué puede cada uno): lo que muestran
     // `dotrino-vault members` y la consola de vault.dotrino.com.
     profileMembers: () => identity.profileMembers(),
+    // ¿Es ESTA bóveda la que sella el acta? Lo usa el freno de borrado (D12).
+    isMaster: () => identity.isMaster(),
     setCaps: (pub, caps) => identity.setCaps(pub, caps),
     revokeDevice: (nonce) => desk.revoke(nonce),
     close () { try { client.close() } catch (_) {} identity.destroy() }

package/src/vaultControl.js

@@ -149,7 +149,7 @@ async function profileOp (op, { profile, name, password } = {}) {
   signalOrCleanup('SIGUSR2', [F.profileReq])
   const d = await waitFor(F.profilesList)
   if (!d) throw coded('el daemon no respondió', 'NO_REPLY')
-  if (d.error) throw new Error(d.error)
+  if (d.error) throw coded(d.error, d.code) // p.ej. MASTER_WITH_MEMBERS (freno D12)
   return d // { profiles:[{id,name,protected,locked,current,fingerprint,iss,createdAt}], current, done? }
 }