@dotrino/vaultd 0.75.1 → 0.77.0

package/lib/src/service.js

@@ -421,7 +421,7 @@ export async function registerEncKey ({ dir, ns, proxyUrl, masterPubkey, device,
  * Renueva el cert automáticamente si está por vencer (best-effort).
  * @returns {Promise<Record<string,string>>}  secretos KEY→valor
  */
-export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
+export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, timeoutMs = 30000, onPending, onCert, approvalTimeoutMs = APPROVAL_TIMEOUT_MS } = {}) {
   let saved = null
   if (dir) saved = readServiceIdentity(dir)
   // Sin `dir`: la identidad viene entera por parámetros — es el caso de un agente
@@ -465,7 +465,15 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
     recordar({ actaSeq: acta.seq })
   }
 
-    const renovar = typeof saved?.actaSeq === 'number' && typeof cert?.seq === 'number' && saved.actaSeq > cert.seq
+    // DOS MOTIVOS PARA PEDIR PAPEL NUEVO:
+    //   · el nuestro es del MODELO VIEJO (lleva `exp` y no `seq`). Ese hay que cambiarlo sí
+    //     o sí: se acepta por el repliegue de migración, pero muere en su fecha y con él el
+    //     servicio. Sin esta rama la migración no terminaba nunca — el disparador comparaba
+    //     `seq` contra `seq`, y un papel viejo no tiene ninguno, así que no saltaba jamás.
+    //   · o el acta que hemos visto va por delante del papel: el dueño cambió permisos.
+    const legado = !!cert && typeof cert.seq !== 'number'
+    const atrasado = typeof saved?.actaSeq === 'number' && typeof cert?.seq === 'number' && saved.actaSeq > cert.seq
+    const renovar = legado || atrasado
 
     // RENOVAR YA NO ES UNA TAREA DE CALENDARIO. El papel no vence: lo único que obliga a
     // pedir otro es que la bóveda diga que el nuestro se quedó atrás respecto del acta, y
@@ -481,6 +489,11 @@ export async function fetchSecrets ({ dir, ns, proxyUrl, masterPubkey, device, c
         if (res.type === MSG.RENEWED && res.cert?.sub === device.publickey) {
           cert = res.cert
           recordar({ cert })
+          // QUIEN NO PASA `dir` GUARDA ÉL. Un servicio que lleva su identidad en su propio
+          // archivo (`link.json`) y nos pasa el enlace a mano no tiene `saved`, así que
+          // `recordar` no escribe nada: sin esto renovaba en cada arranque y volvía a
+          // empezar, y su papel del modelo viejo no se cambiaba NUNCA.
+          try { onCert?.(cert) } catch (_) {}
         }
       } catch (_) { /* la renovación no bloquea el fetch */ }
     }
@@ -978,11 +991,11 @@ function fingerprintOf (secrets) {
  * servicio no opera hasta que esto resuelva — esa es la regla.
  * @returns {Promise<Record<string,string>>}
  */
-export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending } = {}) {
+export async function waitForSecrets ({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, retryMs = 5000, maxRetryMs = 60000, onRetry, onPending, onCert } = {}) {
   let delay = retryMs
   for (;;) {
     try {
-      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending })
+      return await fetchSecrets({ dir, ns, proxyUrl, masterPubkey, device, cert, enc, onPending, onCert })
     } catch (e) {
       // Lo NO transitorio no se arregla reintentando: falta de enrolamiento,
       // cert revocado/vencido o scope equivocado exigen re-emparejar → se corta.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.75.1",
+  "version": "0.77.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -20,7 +20,7 @@
     "node": ">=20"
   },
   "dependencies": {
-    "@dotrino/identity": "0.74.0",
+    "@dotrino/identity": "0.74.1",
     "@dotrino/passmanager": "^0.9.0",
     "@dotrino/proxy-client": "^0.13.1",
     "ws": "^8.18.0"

package/src/ctl.js

@@ -419,7 +419,14 @@ async function cmdJoin (rest) {
     process.exit(2)
   }
   const qr = parseInvite(texto)
-  if (!qr?.sn || !qr?.iss || !qr?.proxy) {
+  // QUÉ HACE FALTA DE VERDAD: el nonce de la sesión (`sn`) y una forma de alcanzar a la
+  // otra bóveda — la CITA del proxio (`conn`) en la invitación corta, o su llave (`iss`)
+  // en la larga. Quien la consume es `enrollDevice`, que sabe canjear la cita.
+  //
+  // Esto exigía `iss` SIEMPRE, y la invitación corta no lo lleva (la llave dejó de viajar
+  // cuando el QR se acortó, `lib/src/invite.js`). O sea que `join` rechazaba todas las
+  // invitaciones que emite `pair` hoy: el multivault entero no se podía montar.
+  if (!qr?.sn || !(qr?.conn || qr?.iss)) {
     console.error('Esa invitación no se entiende. Pega la línea completa que imprime «dotrino-vault pair».')
     process.exit(2)
   }

package/src/daemon.js

@@ -791,7 +791,10 @@ export async function runDaemon () {
 
     let qr = null
     try { qr = parseInvite(texto) } catch (_) {}
-    if (!qr?.sn || !qr?.iss || !qr?.proxy) {
+    // Lo mismo que `dotrino-vault join` (ver `ctl.js`): basta `sn` + la cita del proxio o
+    // la llave. Exigir `iss` dejaba fuera a la invitación corta, que es la única que emite
+    // `pair` hoy — así que este camino de despliegue no había forma de que funcionara.
+    if (!qr?.sn || !(qr?.conn || qr?.iss)) {
       console.error('[vault] the invitation in DOTRINO_JOIN is not valid; ignoring it')
       return
     }
@@ -799,7 +802,7 @@ export async function runDaemon () {
     const hecho = readJsonSafe(marca)
     if (hecho?.sn === qr.sn) return // ya se usó: un reinicio no vuelve a pedir entrar
 
-    writeJson(marca, { at: Date.now(), sn: qr.sn, iss: qr.iss })
+    writeJson(marca, { at: Date.now(), sn: qr.sn, ...(qr.iss ? { iss: qr.iss } : {}) })
     writeJson(path.join(dir, 'join-request.json'), {
       qr,
       label: 'bóveda',

package/src/vault.js

@@ -688,7 +688,6 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   // cert fresco (misma sub-clave y scope) sin QR ni aprobación — sigue siendo el
   // mismo dispositivo enrolado, solo extiende la ventana. Un cert vencido o
   // revocado NO puede renovarse (ahí sí toca re-emparejar con aprobación).
-  const RENEW_TTL_MS = 30 * 24 * 60 * 60 * 1000
   async function handleRenew (from, p) {
     if (!isFresh(p.data)) { audit('rejected', { what: 'renew', reason: 'stale' }); return staleReply(from) }
     const chk = await verifyChain({ data: p.data, signature: p.signature, cert: p.cert, ...(await contextoActa()), revoked: await revocationSet() })
@@ -714,9 +713,22 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       audit('rejected', { what: 'renew', device: await deviceIdOf(p.cert.sub), reason: 'not-a-member' })
       return reply(from, { type: MSG.ERROR, error: 'unauthorized: the record no longer lists this device' })
     }
-    const { cert } = await identity.signDelegation(p.cert.sub, scope, { ttlMs: RENEW_TTL_MS, label: prev?.label || '' })
-    audit('renew', { device: await deviceIdOf(p.cert.sub), label: prev?.label || '', scope })
-    log(`[vault] cert renewed for ${await deviceIdOf(p.cert.sub)} (30 days)`)
+    // RENOVAR NO RETIRA EL PAPEL ANTERIOR (`supersede: false`), y esto costó dos servicios.
+    //
+    // Retirarlo al emitir parece limpio —un aparato, un papel— pero convierte cualquier
+    // renovación que falle DESPUÉS de emitirse en una expulsión permanente: la máquina se
+    // queda con el papel viejo, que acaba de quedar revocado, y ya no puede ni pedir otro.
+    // Pasó dos veces en la migración del VPS (el registro de selladores y el bot social):
+    // el papel nuevo salió, la respuesta no llegó a guardarse, y al reintentar la bóveda
+    // contestaba `unauthorized: revoked`. Re-emparejar a mano, con TTY, por una renovación.
+    //
+    // Que convivan dos papeles del mismo aparato ya no es el problema que era: ninguno
+    // vence, pero lo que pueden hacer lo decide el ACTA en cada mostrador, así que el
+    // viejo no autoriza nada que el nuevo no autorice. Y quitar el aparato de verdad sigue
+    // siendo `revokeDevice`, que los retira TODOS de una vez.
+    const { cert } = await identity.signDelegation(p.cert.sub, scope, { label: prev?.label || '', supersede: false })
+    audit('renew', { device: await deviceIdOf(p.cert.sub), label: prev?.label || '', scope, seq: cert.seq })
+    log(`[vault] cert renewed for ${await deviceIdOf(p.cert.sub)} · record #${cert.seq}`)
     // El acta viaja con el papel: sin ella quien lo recibe no puede comprobar que lo firmó
     // una selladora del perfil, que es lo que sustituyó a «lo firmó la maestra».
     reply(from, { type: MSG.RENEWED, cert, acta: record })