@dotrino/vaultd 0.79.0 → 0.80.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.79.0",
+  "version": "0.80.1",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {
@@ -20,7 +20,7 @@
     "node": ">=20"
   },
   "dependencies": {
-    "@dotrino/identity": "0.75.0",
+    "@dotrino/identity": "0.76.0",
     "@dotrino/passmanager": "^0.9.0",
     "@dotrino/proxy-client": "^0.13.1",
     "ws": "^8.18.0"

package/src/ctl.js

@@ -546,7 +546,11 @@ async function cmdMembers () {
   const CAP = {
     sign: 'firma', store: 'guarda', read: 'lee', secrets: 'lee sus claves',
     admin: `${B}administra el perfil${Z}`, approve: `${B}aprueba pedidos${Z}`,
-    sealer: `${B}sella el acta${Z}`, passwords: `${B}pide contraseñas${Z}`
+    sealer: `${B}sella el acta${Z}`, passwords: `${B}pide contraseñas${Z}`,
+    // Resaltado como los otros cuatro: dice si esa máquina se lleva tus claves privadas
+    // sola o si te lo pregunta. Sin traducción salía el identificador en crudo
+    // (`unattended`) en una lista que lee un humano.
+    unattended: `${B}recibe claves sin aprobación${Z}`
   }
   // El nombre del perfil es una pubkey JWK. Recortarla no la hace legible: la deja
   // pareciendo un error (`{"key_ops":["verify"],"e…`). Se muestra su huella corta, la

package/src/tui/app.js

@@ -340,6 +340,19 @@ function pairModeRows (st, t) {
  */
 const CAPS_ORDER = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'sealer', 'unattended']
 
+/**
+ * Los permisos que se le pueden dar A ESTE miembro, en orden.
+ *
+ * `secrets` solo existe para un SERVICIO (los que tienen `cn`), y por eso faltaba: la
+ * lista era fija y no cabía algo que depende de quién sea. Pero para un servicio es EL
+ * permiso —el que decide si abre su cajón— y no verlo aquí hacía creer que no existe,
+ * igual que pasaba con `unattended`. Se enseña primero, que es su importancia real.
+ *
+ * A un aparato SIN `cn` no se le ofrece: no hay cajón que abrir, el acta lo filtra
+ * (`allowedCaps`) y enseñar una casilla que no hace nada es peor que no enseñarla.
+ */
+const capsForMember = (member) => (member?.cn ? ['secrets', ...CAPS_ORDER] : CAPS_ORDER)
+
 function capsRows (st, t) {
   const i = L(st)
   const target = st.capsFor
@@ -347,20 +360,34 @@ function capsRows (st, t) {
   const member = (st.members || []).find((m) => m.pub === target.pub)
   if (!member) return [{ text: t.muted(i.capsNoMember), sel: false }]
 
-  const has = new Set(member.caps || [])
+  // EL BORRADOR manda sobre lo que hay en el acta: es lo que estás a punto de dejar.
+  const real = new Set(member.caps || [])
+  const has = st.capsDraft?.pub === member.pub ? new Set(st.capsDraft.caps) : real
+
   const rows = [
     { text: ' ' + t.bold(i.capsFor(target.deviceId, member.label || '')), sel: false },
     { text: '', sel: false }
   ]
-  for (const cap of CAPS_ORDER) {
+  let tocados = 0
+  for (const cap of capsForMember(member)) {
     const mark = has.has(cap) ? '[x]' : '[ ]'
-    const name = i.capName[cap]
-    const line = ` ${mark}  ${cap === 'admin' ? t.bold(name) : name}`
+    // El nombre de `secrets` lleva el cajón dentro: «las claves de proxy» dice qué abre,
+    // «lee sus claves» te deja preguntándote cuáles.
+    const name = typeof i.capName[cap] === 'function' ? i.capName[cap](member.cn) : i.capName[cap]
+    // LO QUE CAMBIA SE SEÑALA. Sin esto el borrador es indistinguible del acta y no sabes
+    // qué vas a firmar — que es justo lo que hace peligroso acumular cambios.
+    const cambia = has.has(cap) !== real.has(cap)
+    if (cambia) tocados++
+    const line = ` ${mark}${cambia ? t.bold('*') : ' '} ${cap === 'admin' ? t.bold(name) : name}`
     rows.push({ text: line, sel: true, meta: { cap } })
-    rows.push({ text: t.muted('      ' + i.capHint[cap]), sel: false })
+    const hint = typeof i.capHint[cap] === 'function' ? i.capHint[cap](member.cn) : i.capHint[cap]
+    rows.push({ text: t.muted('      ' + hint), sel: false })
   }
   rows.push({ text: '', sel: false })
-  rows.push({ text: t.muted(' ' + i.capsApplyHint), sel: false })
+  rows.push({
+    text: tocados ? ' ' + t.bold(i.capsPending(tocados)) : t.muted(' ' + i.capsApplyHint),
+    sel: false
+  })
   return rows
 }
 
@@ -929,6 +956,8 @@ async function onKeyDevices (term, st, key) {
     })
   } else if (ch === 'c' && cur?.sub) {
     st.capsFor = { pub: cur.sub, deviceId: cur.deviceId }
+    // Borrador limpio al entrar: arrastrar el de otro aparato sería firmar lo que no viste.
+    st.capsDraft = null
     st.sel.caps = 0
     await refreshMembers(term, st)
     st.screen = 'caps'
@@ -1003,9 +1032,19 @@ async function beginPairing (term, st, profile, service = null, label = null) {
 }
 
 /**
- * Enter marca o desmarca un permiso y lo aplica en el acto. Sin botón de «guardar»: cada
- * cambio se sella en el acta y se avisa a los demás aparatos, así que acumularlos en
- * pantalla solo serviría para que el acta y lo que ves dijeran cosas distintas.
+ * UN BORRADOR QUE SE GUARDA O SE DESCARTA (dueño, 2026-09-01).
+ *
+ * Antes cada Enter sellaba un acta. Cambiar cuatro permisos eran cuatro actas, cuatro
+ * avisos a todos los aparatos y cuatro renovaciones de certificado — absurdo, y encima
+ * dejaba la cuenta pasando por estados intermedios que nadie quiso (un aparato con
+ * `admin` pero todavía sin `read`, por ejemplo).
+ *
+ * Ahora Enter mueve un borrador LOCAL —nada firmado, nada avisado— y `G` lo aplica de
+ * golpe. `applyChanges` ya tomaba una LISTA de cambios y producía UNA acta: el borrador es
+ * esa lista, sin firmar, hasta que confirmas.
+ *
+ * Lo que se cambia va marcado con `*` y contado abajo: un borrador que no se distingue del
+ * acta es peor que no tenerlo, porque firmas sin saber qué.
  */
 async function onKeyCaps (term, st, key) {
   const i = L(st)
@@ -1015,31 +1054,51 @@ async function onKeyCaps (term, st, key) {
   const cur = sels[Math.min(st.sel.caps || 0, sels.length - 1)]
   const ch = key.name === 'char' ? key.ch.toLowerCase() : null
 
-  if (key.name === 'escape' || ch === 'b') { st.screen = 'devices'; st.capsFor = null; return true }
-  if (key.name === 'f5') { await refreshMembers(term, st); return true }
-  if ((key.name !== 'enter' && ch !== ' ') || !cur) return true
-
   const member = (st.members || []).find((m) => m.pub === st.capsFor?.pub)
-  if (!member) return true
-  const caps = new Set(member.caps || [])
-  const giving = !caps.has(cur.cap)
-  if (giving) caps.add(cur.cap); else caps.delete(cur.cap)
-
-  const apply = async () => {
-    const r = await guard(term, st, i.applyingCaps, () => vc.setDeviceCaps(member.pub, [...caps], activeId(st)))
-    if (!r.ok) return
-    applyDump(st, r.v)
-    await refreshMembers(term, st)
-    flash(st, giving ? i.capGiven(i.capName[cur.cap]) : i.capTaken(i.capName[cur.cap]))
+  if (!member) {
+    if (key.name === 'escape' || ch === 'b') { st.screen = 'devices'; st.capsFor = null }
+    return true
   }
+  const real = new Set(member.caps || [])
+  if (st.capsDraft?.pub !== member.pub) st.capsDraft = { pub: member.pub, caps: [...real] }
+  const draft = new Set(st.capsDraft.caps)
+  const sucio = [...new Set([...draft, ...real])].some((c) => draft.has(c) !== real.has(c))
 
-  // Administrar se PREGUNTA: es el permiso que deja a ese aparato admitir y expulsar
-  // dispositivos sin pasar por aquí. Los otros tres se marcan y ya.
-  if (cur.cap === 'admin' && giving) {
-    setConfirm(st, { text: i.confirmAdmin(st.capsFor.deviceId), onYes: apply })
+  const salir = () => { st.screen = 'devices'; st.capsFor = null; st.capsDraft = null }
+  if (key.name === 'escape' || ch === 'b') {
+    // SALIR CON CAMBIOS SIN GUARDAR SE PREGUNTA. Tirarlos callando es perder trabajo sin
+    // decirlo, y es justo lo que un borrador no debe hacer.
+    if (sucio) setConfirm(st, { text: i.capsDiscard, onYes: async () => { salir() } })
+    else salir()
     return true
   }
-  await apply()
+  if (key.name === 'f5') { st.capsDraft = null; await refreshMembers(term, st); return true }
+
+  // GUARDAR: UNA sola acta con todo lo que hayas tocado.
+  if (ch === 'g') {
+    if (!sucio) { flash(st, i.capsNothing); return true }
+    const cuantos = [...new Set([...draft, ...real])].filter((c) => draft.has(c) !== real.has(c)).length
+    const guardar = async () => {
+      const r = await guard(term, st, i.applyingCaps, () => vc.setDeviceCaps(member.pub, [...draft], activeId(st)))
+      if (!r.ok) return
+      applyDump(st, r.v)
+      st.capsDraft = null
+      await refreshMembers(term, st)
+      flash(st, i.capsSaved(cuantos))
+    }
+    // Administrar se PREGUNTA, y se pregunta AL GUARDAR: es cuando pasa a ser verdad.
+    if (draft.has('admin') && !real.has('admin')) {
+      setConfirm(st, { text: i.confirmAdmin(st.capsFor.deviceId), onYes: guardar })
+      return true
+    }
+    await guardar()
+    return true
+  }
+
+  if ((key.name !== 'enter' && ch !== ' ') || !cur) return true
+  // Enter solo mueve el BORRADOR: no firma, no avisa, no se puede equivocar caro.
+  if (draft.has(cur.cap)) draft.delete(cur.cap); else draft.add(cur.cap)
+  st.capsDraft = { pub: member.pub, caps: [...draft] }
   return true
 }
 
@@ -1819,4 +1878,4 @@ export async function runTui () {
 }
 
 // Solo para pruebas headless (render sin terminal real). No usar en runtime.
-export const __test = { render, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, pairModeRows, pairingBody, scrollBody, fitHelp, toggleLang, mergeMembersAndCerts, seguirAqui, resetToque: () => { ultimoToque = 0 } }
+export const __test = { render, activeLocked, autoLockedIds, autoLockWakeIn, forgetAutoLocked, autoLockMin, refreshAll, ensureUnlocked, profileRows, deviceRows, secretRows, devVarRows, meRows, capsRows, onKeyCaps, pairModeRows, pairingBody, scrollBody, fitHelp, toggleLang, mergeMembersAndCerts, seguirAqui, resetToque: () => { ultimoToque = 0 } }

package/src/tui/i18n.js

@@ -40,8 +40,15 @@ const es = {
   titleCaps: 'Permisos del dispositivo',
   capsFor: (id, name) => `Permisos de ${id}${name ? ' · ' + name : ''}`,
   capsNoMember: '  (este dispositivo ya no está en el acta)',
-  capsApplyHint: 'Enter marca o desmarca. Cada cambio se aplica y se avisa a tus otros aparatos.',
+  capsApplyHint: 'Enter marca o desmarca · G guarda los cambios · Esc sale',
+  capsPending: (n) => `${n} cambio(s) sin guardar (*) · G para guardarlos en UNA sola acta · Esc para descartarlos`,
+  capsSaved: (n) => `${n} cambio(s) guardados en una sola acta`,
+  capsNothing: 'No has cambiado nada',
+  capsDiscard: '¿Descartar los cambios sin guardar?',
   capName: {
+    // Lleva el cajón dentro: «las claves de proxy» dice QUÉ abre; «lee sus claves» te deja
+    // preguntándote cuáles. Solo se le ofrece a un servicio (los que tienen `cn`).
+    secrets: (cn) => `Leer las claves de «${cn}»`,
     sign: 'Firmar como tú',
     store: 'Guardar tus datos',
     read: 'Leer tus datos',
@@ -52,6 +59,7 @@ const es = {
     unattended: 'Recibir claves sin aprobación'
   },
   capHint: {
+    secrets: (cn) => `abrir SU cajón y ninguno más: las variables de «${cn}»`,
     sign: 'usar tu identidad en las apps del ecosistema',
     store: 'escribir en tu bóveda (perfil, contenido, datos sensibles)',
     read: 'ver lo que guardaste',
@@ -70,7 +78,7 @@ const es = {
   capTaken: (n) => `Quitado: ${n}`,
   applyingCaps: 'Aplicando…',
   loadingMembers: 'Cargando el acta…',
-  helpCaps: ['↑↓', 'Enter marcar', 'F5 refrescar', 'Esc dispositivos', 'l English', 'q salir'],
+  helpCaps: ['↑↓', 'Enter marcar', 'G guardar', 'F5 refrescar', 'Esc dispositivos', 'l English', 'q salir'],
   // Perfil del usuario (lo que sincronizan los dispositivos). Solo lectura: se edita en
   // el aparato, no en la máquina donde vive la bóveda.
   loadingProfile: 'Cargando el perfil…',
@@ -352,8 +360,13 @@ const en = {
   titleCaps: 'Device permissions',
   capsFor: (id, name) => `Permissions for ${id}${name ? ' · ' + name : ''}`,
   capsNoMember: '  (this device is no longer in the record)',
-  capsApplyHint: 'Enter ticks or unticks. Each change applies and your other devices are told.',
+  capsApplyHint: 'Enter ticks or unticks · G saves · Esc leaves',
+  capsPending: (n) => `${n} unsaved change(s) (*) · G to save them in ONE record · Esc to discard`,
+  capsSaved: (n) => `${n} change(s) saved in a single record`,
+  capsNothing: 'You have not changed anything',
+  capsDiscard: 'Discard the unsaved changes?',
   capName: {
+    secrets: (cn) => `Read the «${cn}» keys`,
     sign: 'Sign as you',
     store: 'Save your data',
     read: 'Read your data',
@@ -378,7 +391,7 @@ const en = {
   capTaken: (n) => `Removed: ${n}`,
   applyingCaps: 'Applying…',
   loadingMembers: 'Loading the record…',
-  helpCaps: ['↑↓', 'Enter tick', 'F5 refresh', 'Esc devices', 'l Español', 'q quit'],
+  helpCaps: ['↑↓', 'Enter tick', 'G save', 'F5 refresh', 'Esc devices', 'l Español', 'q quit'],
   loadingProfile: 'Loading profile…',
   noProfile: '  (this vault has no profile yet)',
   noProfileHint: '  Edit your name or photo on a paired device and press F5.',