@dotrino/vaultd 0.90.0 → 0.92.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.90.0",
+  "version": "0.92.0",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/daemon.js

@@ -225,7 +225,7 @@ export async function runDaemon () {
       }, expiresInMs + 1000).unref?.()
       console.log('[vault] pairing started (valid for %d min)', expiresInMs / 60000)
     } catch (e) {
-      console.error('[vault] no se pudo iniciar emparejamiento:', e.message)
+      console.error('[vault] could not start pairing:', e.message)
     }
   }
 
@@ -413,7 +413,7 @@ export async function runDaemon () {
             } catch (e) { console.error('[vault] could not grant admin: %s', e.message) }
           }
           pendingAdmin = false
-          console.log('[vault] aprobado %s', r.deviceId)
+          console.log('[vault] approved %s', r.deviceId)
           answer({ ok: true, deviceId: r.deviceId || null })
         } catch (e) {
           console.error('[vault] approval failed:', e.message)
@@ -440,7 +440,7 @@ export async function runDaemon () {
         rm(path.join(dir, 'caps-request.json'))
         try {
           await targetOf(capsReq)?.setCaps(capsReq.pub, capsReq.caps)
-          console.log('[vault] permissions updated: %s', capsReq.caps.join(', ') || '(ninguno)')
+          console.log('[vault] permissions updated: %s', capsReq.caps.join(', ') || '(none)')
         } catch (e) { console.error('[vault] could not change permissions:', e.message) }
       }
       // Quitar un dispositivo: se pide por `sub` (la llave del aparato). `nonce` sigue

package/src/manager.js

@@ -80,7 +80,7 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
   }
 
   const migrated = await profiles.migrate(mintKey)
-  if (migrated?.migrated) log('[vault] identidad mono-perfil migrada al perfil %s', migrated.id)
+  if (migrated?.migrated) log('[vault] single-profile identity migrated to profile %s', migrated.id)
 
   const running = new Map() // id -> instancia de startVault
 
@@ -121,7 +121,7 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
       id = await profiles.ensureNamedByKey(p.id, mintKey)
       if (id !== p.id) log('[vault] profile %s renamed to %s (the folder is named after its key)', p.id, id)
     } catch (e) { log('[vault] could not name the folder of %s after its key: %s', p.id, e.message) }
-    try { await open(id) } catch (e) { log('[vault] no se pudo abrir el perfil %s: %s', id, e.message) }
+    try { await open(id) } catch (e) { log('[vault] could not open profile %s: %s', id, e.message) }
   }
 
   const get = (id) => {
@@ -136,12 +136,37 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
    * Va aquí y no en `profiles.js` porque el registro de perfiles no sabe de bóvedas
    * corriendo: sabe de contraseñas. Quien tiene las dos cosas delante es esto.
    */
+  /**
+   * ABRIR DE VERDAD, NO SOLO QUITAR EL CANDADO.
+   *
+   * Esto decía `running.get(id)?.takeMasterKey?.()`, y con un `?.` de por medio un perfil
+   * que **no estaba corriendo** se marcaba desbloqueado sin abrir nada. Y hay un caso muy
+   * normal en el que no está corriendo: **su maestra está sellada bajo la contraseña**, así
+   * que al arrancar el servicio no hay frase con la que abrirlo y se queda fuera
+   * (`could not open profile …: vault locked`). Justo el perfil que más falta hace abrir
+   * era el único al que `unlock` no le hacía nada.
+   *
+   * Lo que se veía: `status` decía `🔓 desbloqueado` y **cada** petición contestaba
+   * `profile is not open`. La TUI se quedaba sin dispositivos, sin un error a la vista.
+   *
+   * Ahora se arranca si hace falta, y **si algo falla se vuelve a cerrar**: un candado que
+   * dice «abierto» sin estarlo es peor que uno cerrado, porque todo lo que venga detrás
+   * falla en otro sitio y por otro motivo.
+   */
   async function unlock (id, password) {
     const r = await profiles.unlock(id, password)
-    // `takeMasterKey` además la deja SELLADA la primera vez: un perfil que ya tenía
-    // contraseña guardaba la maestra bajo la llave de máquina, y se migra aquí, que es el
-    // único momento en que la llave del perfil está en la mano.
-    try { await running.get(id)?.takeMasterKey?.() } catch (e) { log('[vault] could not take the master key: %s', e.message) }
+    try {
+      // El orden importa: `profiles.unlock` ya dejó la llave del perfil disponible
+      // (`openKey`), así que ahora `startVault` sí puede abrir su maestra.
+      const v = running.get(id) || await open(id)
+      // `takeMasterKey` además la deja SELLADA la primera vez: un perfil que ya tenía
+      // contraseña guardaba la maestra bajo la llave de máquina, y se migra aquí, que es el
+      // único momento en que la llave del perfil está en la mano.
+      await v.takeMasterKey()
+    } catch (e) {
+      try { profiles.lock(id) } catch (_) {}
+      throw new Error(`unlocked the profile but could not open it, so it stays closed: ${e.message}`)
+    }
     return r
   }
 
@@ -179,7 +204,7 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
     async add (name, { adopt = false, kek = null } = {}) {
       const p = await profiles.add(name, { adopt, kek, mintKey })
       await open(p.id)
-      log('[vault] perfil creado%s: %s (%s)', adopt ? ' (a la espera de adoptar una cuenta)' : '', p.name || '(sin nombre)', p.id)
+      log('[vault] profile created%s: %s (%s)', adopt ? ' (waiting to adopt an account)' : '', p.name || '(no name)', p.id)
       return profiles.get(p.id)
     },
 
@@ -209,7 +234,7 @@ export async function startVaultManager ({ root = dataDir(), proxyUrl, log = con
       const res = profiles.remove(id) // valida: no es el único, no está bloqueado
       try { running.get(id)?.close() } catch (_) {}
       running.delete(id)
-      log('[vault] perfil borrado: %s (%s)', res.name || '(sin nombre)', id)
+      log('[vault] profile deleted: %s (%s)', res.name || '(no name)', id)
       return res
     },
 

package/src/passwords.js

@@ -79,7 +79,7 @@ export function createPasswordDesk (opts = {}) {
       // el criterio del vault es apuntar la operación, no el payload.
       audit('passwords', { op: r.op, outcome: r.outcome, device: (r.from || '').slice(0, 24) })
       if (r.outcome !== 'served') {
-        log('[vault] passwords: %s %s', r.op, r.outcome)
+        log(`[vault] passwords: ${r.op} ${r.outcome}`)
       }
     },
   })

package/src/transport.js

@@ -73,7 +73,7 @@ export async function createTransport ({ identity, dir, url = DEFAULT_PROXY, com
         // quedaba en el log era el del repliegue. Así que cuando la consola decía «no
         // contesta», no había forma de saber desde aquí si la bóveda estaba atada al proxio
         // o no. Una línea por reconexión es barata; no tenerla cuesta una hora de sondeos.
-        log('[vault] identified on the proxy with the communication key · record #%s', record?.seq ?? '?')
+        log(`[vault] identified on the proxy with the communication key · record #${record?.seq ?? '?'}`)
         return
       }
     }
@@ -82,12 +82,26 @@ export async function createTransport ({ identity, dir, url = DEFAULT_PROXY, com
     // comunicación en el acta se identifica con la maestra, como siempre. Exige el perfil
     // ABIERTO —la maestra bajo llave no firma— y por eso se dice en voz alta: mientras se
     // esté aquí, cerrar el perfil deja la bóveda sin voz.
-    const publickey = await masterPubkeyOf(identity)
-    if (!publickey) return
-    const data = { op: 'identify', publickey, token: client.token, ts: Date.now() }
-    const { signature } = await identity.signData(data)
-    log('[vault] identifying with the master key: this vault is not in its own record yet (open the profile once to fix it)')
-    await client.identify({ data, signature, acta: record })
+    //
+    // QUEDARSE SIN VOZ NO ES NO ARRANCAR, y aquí eran lo mismo. Un perfil con la maestra
+    // sellada y sin llave de comunicación todavía llegaba hasta este `signData`, que tira
+    // `vault locked`; el error subía por `createTransport` hasta `startVault` y **el perfil
+    // entero se quedaba sin abrir**. Al dueño le pasó el 2026-09-02: su perfil principal no
+    // arrancaba, `unlock` lo marcaba abierto igual y cada petición contestaba «profile is
+    // not open», con la TUI vacía y sin un error a la vista.
+    //
+    // Se dice y se sigue. Sin red se puede vivir hasta que alguien teclee la frase; sin
+    // bóveda, no.
+    try {
+      const publickey = await masterPubkeyOf(identity)
+      if (!publickey) return
+      const data = { op: 'identify', publickey, token: client.token, ts: Date.now() }
+      const { signature } = await identity.signData(data)
+      log('[vault] identifying with the master key: this vault is not in its own record yet (open the profile once to fix it)')
+      await client.identify({ data, signature, acta: record })
+    } catch (e) {
+      log(`[vault] cannot identify on the proxy yet: ${e.message} — the profile still opens; unlock it once and it gets its own communication key`)
+    }
   }
   await identify()
   // Re-identificar al reconectar (el token cambia).

package/src/vault.js

@@ -345,7 +345,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       // Escribir aparte y renombrar: a medio convertir, la bitácora sería ilegible entera.
       fs.writeFileSync(activityFile + '.tmp', convertidas.join('\n'), { mode: 0o600 })
       fs.renameSync(activityFile + '.tmp', activityFile)
-      log('[vault] activity log: %d line(s) sealed at rest', convertidas.filter(Boolean).length)
+      // Sin `%d`: el `log` de la bóveda no formatea, así que el placeholder salía literal.
+      log(`[vault] activity log: ${convertidas.filter(Boolean).length} line(s) sealed at rest`)
     }
     // Y el modo, que hasta 0.89 se creaba 0664: legible por cualquier usuario.
     if ((fs.statSync(activityFile).mode & 0o077) !== 0) fs.chmodSync(activityFile, 0o600)
@@ -1187,7 +1188,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       audit,
       log,
     }).start()
-    log('[vault] passwords: serving %d device(s)', passwordDevices().length)
+    log(`[vault] passwords: serving ${passwordDevices().length} device(s)`)
   }
   try {
     // El acta ANTES de mirarla: es ella la que dice si hay a quién responder, y sin
@@ -1201,7 +1202,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // Ni código de enlace ni pegar nada: un gestor entra como cualquier otro aparato.
     else log('[vault] passwords: no device may ask yet · pair one with `dotrino-vault pair --scope contrasenas`')
   } catch (e) {
-    log('[vault] passwords: no se pudo levantar (%s); el resto sigue igual', e.message)
+    log(`[vault] passwords: could not start (${e.message}); everything else keeps going`)
   }
 
   log(`[vault] listo · id ${fp} · ${store.getTree().children.length} nodos`)