@dotrino/vaultd 0.93.0 → 0.93.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vaultd",
-  "version": "0.93.0",
+  "version": "0.93.1",
   "type": "module",
   "description": "Certificador personal de Dotrino: daemon headless que custodia la clave maestra y delega capacidades a tus dispositivos por el proxy. Tu CA propia.",
   "bin": {

package/src/ctl.js

@@ -573,7 +573,7 @@ async function cmdMembers () {
       m.addedAt ? `  ${D}· conectado el ${fechaCorta(m.addedAt)}${Z}` : '',
       marks.length ? '  [' + marks.join(' · ') + ']' : '', caps)
     // Un servicio SIN llave de cifrado no puede leer ninguna variable privada: van
-    // selladas a esa llave. Se dice aquí, junto a él, porque es el único sitio where_
+    // selladas a esa llave. Se dice aquí, junto a él, porque es el único sitio donde
     // se mira quién es quién — y en la lista de variables ya seria tarde.
     if (m.cn && !m.canSeal) console.log('      %ssin llave de cifrado: NO puede leer sus variables%s', R, Z)
   }
@@ -820,11 +820,11 @@ function cmdAtrest (rest) {
     // versión vieja dejó en claro, con el verificador de la contraseña dentro— meses
     // después de que su migración terminara. Se mira el perfil Y la raíz, porque el canal
     // local con la CLI vive arriba.
-    for (const [where_, d] of [['este perfil', dir], ['la raíz de la bóveda', vaultRoot]]) {
+    for (const [label, d] of [['este perfil', dir], ['la raíz de la bóveda', vaultRoot]]) {
       const loose = plaintextFilesIn(d)
       if (loose.length) {
         console.log('')
-        console.log(`${R}En claro en ${where_}:${Z} ` + loose.join(', '))
+        console.log(`${R}En claro en ${label}:${Z} ` + loose.join(', '))
         console.log('  Si es un respaldo de una migración terminada, bórralo: no lo cifra nadie.')
       }
     }
@@ -958,7 +958,7 @@ function cmdActivity (n = 30) {
 /**
  * `KEY=valor KEY2=valor2` — la forma de CARGAR VARIAS de una vez. Devuelve `null` si no
  * son todos pares, para que la forma clásica de tres argumentos (`set ns CLAVE valor`,
- * where_ el valor puede llevar espacios y hasta un `=`) siga funcionando igual.
+ * donde el valor puede llevar espacios y hasta un `=`) siga funcionando igual.
  */
 function asPairs (args) {
   if (!args.length) return null
@@ -1395,7 +1395,7 @@ function reportProfiles (d) {
 async function cmdProfile (rest) {
   const [sub, ...rawArgs] = rest
   // `--kms <archivo>` se saca ANTES de armar el nombre: el nombre se compone juntando
-  // los argumentos loose, así que si no se quita acabaría llamándose «midevault --kms
+  // los argumentos sueltos, así que si no se quita acabaría llamándose «midevault --kms
   // cfg.json».
   const kmsAt = rawArgs.indexOf('--kms')
   const kmsFile = kmsAt !== -1 ? rawArgs[kmsAt + 1] : null

package/src/vault.js

@@ -119,7 +119,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * Lo dice el ACTA, con el permiso `unattended`: quien lo tiene se las lleva solo; quien
    * no, espera a que un aparato con `approve` lo firme.
    *
-   * Antes era al revés y vivía aquí: una list_ local de «estos SÍ piden permiso», así que
+   * Antes era al revés y vivía aquí: una lista local de «estos SÍ piden permiso», así que
    * un aparato nuevo nacía pudiendo llevarse las claves y nadie elegía eso — se elegía por
    * omisión. Ahora hay que conceder a propósito quién puede llevárselas solo, y **si falta
    * el dato se pide permiso**, que es lo que hay que hacer cuando no se sabe (dueño,
@@ -135,7 +135,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   }
   // LA BÓVEDA DE CONTRASEÑAS: entradas y su llave, en el dir del perfil y cifradas en
   // reposo como todo lo demás. QUIÉN PUEDE PEDIR LO DICE EL ACTA (capacidad
-  // `passwords`), como cualquier otro permiso: aquí no hay una segunda list_ de
+  // `passwords`), como cualquier otro permiso: aquí no hay una segunda lista de
   // aparatos. Tenerla obligaba a acordarse de dos sitios al quitar un aparato, y era
   // además un emparejamiento paralelo al del ecosistema.
   const passwordsFile = path.join(dir, 'passwords.json')
@@ -464,7 +464,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    *
    * Sustituye a `trustedIssuer: master`, que comparaba contra UNA llave fija y por eso el
    * multivault no podía existir — una segunda selladora sellaba el acta y luego sus papeles
-   * los rechazaban los diez mostradores. Ahora se compara contra la list_ que dice el acta.
+   * los rechazaban los diez mostradores. Ahora se compara contra la lista que dice el acta.
    *
    * Sin acta se devuelven nulos a propósito: `verifyDelegation` responde `no-acta` y el
    * mostrador deniega. Es lo contrario de un repliegue — no hay con qué decidir, así que no
@@ -664,7 +664,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * exactamente lo que el acta nombra, así que decir quién pregunta no necesita más.
    *
    * La respuesta es sí o no, y nada más: al que sigue dentro no se le manda el acta —no la
-   * pidió, y contarle el perfil entero a quien no trae papel es dar de más—. Al que ya no
+   * pidió, y contarle el perfil entero a quien no trae papel es attach de más—. Al que ya no
    * está se le manda el aviso FIRMADO de expulsión, que es lo único que le borra la cuenta.
    * Que un desconocido pregunte no cuesta nada: lo que se le puede contestar es un aviso a
    * nombre de SU propia llave, que no le sirve contra nadie más (`verifyRevoke` exige que
@@ -710,7 +710,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       audit('devices', { device: await deviceIdOf(chk.device).catch(() => null), solo: 'revocaciones' })
       return reply(from, { type: MSG.DEVICES_RESULT, devices: [], revoked, acta: record })
     }
-    // El acta viaja con la list_: así cada dispositivo se entera de los cambios de
+    // El acta viaja con la lista: así cada dispositivo se entera de los cambios de
     // política (quién manda, quién puede qué) sin un canal aparte.
     // Si el dispositivo estuvo apagado y viene con un `seq` viejo, se le manda la CADENA
     // que falta (ventana de retención, §1.3) para que compruebe el encadenamiento en vez
@@ -728,7 +728,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     }
     // `sub` (pubkey completa) va incluida: es la DIRECCIÓN de cada dispositivo en el
     // proxy → permite a las apps AUTODESCUBRIR tus máquinas (p. ej. la terminal
-    // list_ tus agentes sin pegar nada). Solo la ve quien presenta un cert tuyo válido.
+    // lista tus agentes sin pegar nada). Solo la ve quien presenta un cert tuyo válido.
     const devices = await Promise.all(issued.map(async (x) => ({
       deviceId: x.sub ? await deviceIdOf(x.sub) : null, sub: x.sub || null, label: x.label || '', scope: x.scope, exp: x.exp, nonce: x.nonce
     })))
@@ -773,7 +773,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     const prev = (issued || []).find((x) => x.nonce === p.cert.nonce)
     // EL SCOPE SALE DEL ACTA, no del cert viejo. El acta es la política (lo que el dueño
     // decidió con `caps`); el cert es su reflejo, y solo dura 30 días para poder cambiar.
-    // Copiar `p.cert.scope` congelaba la política en el momento del emparejamiento: dar
+    // Copiar `p.cert.scope` congelaba la política en el momento del emparejamiento: attach
     // `administra` no llegaba nunca al cert (la consola remota no podía funcionar) y
     // QUITARLO tampoco surtía efecto hasta que el cert caducara, hasta un mes después.
     // Si el miembro ya no está en el acta, no se renueva nada: lo echaron.
@@ -1059,7 +1059,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * NUNCA. El pedido solo se veía si al dueño se le ocurría abrir la app por su cuenta.
    *
    * El aviso no lleva nada que no esté ya en el pedido, y el timbre que sale de aquí sigue
-   * sin contenido: quien lo recibe pregunta por la list_, no la lee del aviso.
+   * sin contenido: quien lo recibe pregunta por la lista, no la lee del aviso.
    */
   async function notifyApprovers (pend, record) {
     try {
@@ -1170,7 +1170,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       cek: await passwordsKey(),
       // UNA sola condición, y es del ACTA: el aparato tiene la capacidad `passwords`.
       // Quitársela —o quitar el aparato— le corta esto en la siguiente pasada, sin
-      // que haya una segunda list_ que acordarse de tocar.
+      // que haya una segunda lista que acordarse de tocar.
       isAllowed: (pub) => !!actaCache && Acta.memberCan(actaCache, pub, 'passwords'),
       encPubOf: (pub) => (actaCache?.members || []).find((m) => m.pub === pub)?.encPub || null,
       // EN VIVO, no del caché: conceder o quitar `unattended` tiene que surtir efecto en
@@ -1348,11 +1348,11 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       // Esto avisaba únicamente por `issued` —las delegaciones que emitió esta bóveda—, y
       // eso deja fuera exactamente el caso del multivault: la segunda bóveda entró por
       // `join`, así que la delegación la emitió la PRIMERA. Cuando la segunda sellaba un
-      // acta nueva (admitir un aparato con su permiso `sella`), su list_ de emitidas no
+      // acta nueva (admitir un aparato con su permiso `sella`), su lista de emitidas no
       // tenía a la primera dentro y el cambio no llegaba a ninguna parte: las dos bóvedas
       // quedaban con actas distintas y la del dueño sin enterarse de nada.
       //
-      // El acta es la list_ de quién es del perfil: esa es la list_ correcta. `issued` se
+      // El acta es la lista de quién es del perfil: esa es la lista correcta. `issued` se
       // suma porque cubre a quien tiene cert y todavía no aparece ahí.
       const miembros = (await identity.profileMembers?.().catch(() => null))?.members || []
       const yo = identity.me?.publickey || null
@@ -1417,7 +1417,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       // podría abrirlas, porque su envoltura no existe. Dos cerrojos para lo mismo, a
       // propósito: que uno falle no basta para leerlas.
       //
-      // Se sella la list_ ENTERA, no solo los valores: el proxy tampoco tiene por qué
+      // Se sella la lista ENTERA, no solo los valores: el proxy tampoco tiene por qué
       // aprender cómo se llaman tus variables ni qué servicios corres.
       return {
         enc: await identity.sealContent(JSON.stringify({
@@ -1438,7 +1438,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       }
     },
     /**
-     * PARA QUIÉN ENVOLVER. Lo contesta la bóveda porque la list_ sale del ACTA
+     * PARA QUIÉN ENVOLVER. Lo contesta la bóveda porque la lista sale del ACTA
      * (`recipientsOf`), y tener dos sitios respondiendo a «quién puede abrir este cajón» es
      * exactamente cómo se acaba dejando fuera a alguien sin que nadie se entere.
      */
@@ -1622,7 +1622,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
   // listar y borrar no la piden (ver `secretsStore.js`).
   /**
    * Los miembros que deben poder abrir un cajón: los SERVICIOS de ese namespace
-   * (miembros del acta con ese `cn`). La bóveda NO entra en la list_ — envolverle la
+   * (miembros del acta con ese `cn`). La bóveda NO entra en la lista — envolverle la
    * CEK a ella misma sería devolverle la capacidad de leerlo todo, que es justo lo
    * que este diseño quita.
    */
@@ -1630,7 +1630,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     const record = (await identity.profileActa?.().catch(() => null))?.acta
     if (!record) return []
     // LLEVAR EL `cn` NO ES PODER LEER. El acta manda también aquí: un miembro entra en la
-    // list_ si además puede leer los secretos de ese cajón (`memberCanReadSecrets`).
+    // lista si además puede leer los secretos de ese cajón (`memberCanReadSecrets`).
     //
     // Sin esa segunda mitad, el `cn` era la única puerta y `cn` es un texto libre: la LLAVE
     // DE COMUNICACIÓN de la bóveda entra en el acta con `cn: 'vault'` y `caps: ['sign']`,
@@ -1648,7 +1648,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * ningún sitio, que es todo el punto del §8.2 — la capacidad de leer se muda de una
    * frase que se escribe en cualquier parte a una llave que no sale del aparato.
    *
-   * La bóveda NO entra en la list_, ni aquí ni en `nsMembers`: envolverle la llave a
+   * La bóveda NO entra en la lista, ni aquí ni en `nsMembers`: envolverle la llave a
    * ella misma sería devolverle la capacidad de leerlo todo, que es justo lo que este
    * diseño quita. Hay un test que lo afirma.
    */
@@ -1841,7 +1841,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * hay quien la teclee.
    *
    * Que no puedan leer es CORRECTO y no se relaja. Lo que se arregla aquí es que se
-   * vea: hasta ahora un servicio recién enrolado aparecía en la list_ como cualquier
+   * vea: hasta ahora un servicio recién enrolado aparecía en la lista como cualquier
    * otro y arrancaba sin configuración, repitiendo un error en su propio log que nadie
    * mira. Con esto, la consola y la TUI pueden decir exactamente qué falta y qué hacer
    * (`dotrino-vault secret settle`, que sí pide la frase).
@@ -1860,7 +1860,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
       // «Ver» de la consola le fallaría sin explicar por qué.
       // Un aparato que administra NO debe tener envoltura de los cajones con dueño
       // (`recipientsOf`), así que no se le cuenta como falta: lo que ahí falta es a
-      // propósito y ponerlo en la list_ sería pedir que se «arregle» lo correcto.
+      // propósito y ponerlo en la lista sería pedir que se «arregle» lo correcto.
       const ownedNs = new Set((record?.members || []).filter((x) => x.cn).map((x) => x.cn))
       const drawers = m.cn
         ? [`ns:${m.cn}`, `dev:${m.pub}`]
@@ -1960,7 +1960,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * único que la frase guarda (§8.3).
    *
    * No lanza: devuelve qué pasó con cada cajón, porque una deuda que no se puede saldar
-   * tiene que seguir viéndose en la list_ en vez de tumbar la operación entera.
+   * tiene que seguir viéndose en la lista en vez de tumbar la operación entera.
    */
   /**
    * PIDE AL SERVICIO QUE REPARTA la llave de su cajón a un miembro nuevo (§8.11).
@@ -2236,8 +2236,8 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     const out = { drawers: 0, wrapped: 0, dropped: 0, sinLlave: [], failed: [] }
     for (const owner of secrets.owners?.() || []) {
       const before = new Set(secrets.recipientsIn(owner))
-      // POR VISIBILIDAD, no una list_ fija: una pública lleva además la envoltura de quien
-      // administra. Con una sola list_ se le daría también la de una privada con dueño, que
+      // POR VISIBILIDAD, no una lista fija: una pública lleva además la envoltura de quien
+      // administra. Con una sola lista se le daría también la de una privada con dueño, que
       // es justo lo que no puede pasar.
       const members = (esPublica) => recipientsOf(owner, { public: esPublica })
       try {
@@ -2300,7 +2300,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     if (!owed) return null
     // QUIÉN RECIBE ENVOLTURA LO DICE `recipientsOf`, Y SOLO ÉL.
     //
-    // Antes cada llamador traía su propia list_ (`nsMembers`, o el miembro suelto), y todas
+    // Antes cada llamador traía su propia lista (`nsMembers`, o el miembro suelto), y todas
     // se dejaban fuera a los SELLADORES — que `recipientsOf` sí incluye. Resultado: escribir
     // una variable envolvía para el servicio y dejaba al sellador con la generación vieja
     // (dueño, 2026-09-01: «al envolver hay que envolver siempre para todos los selladores,
@@ -2406,9 +2406,9 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
    * pública, y no se puede leer. Eso es cierto y se arregla abriendo la bóveda; inventarse
    * un valor o esconder la fila sería peor.
    */
-  const withEnvelopes = (list_, kind, caller) => {
-    if (!caller) return list_
-    const dar = (owner, k) => {
+  const withEnvelopes = (entries, kind, caller) => {
+    if (!caller) return entries
+    const attach = (owner, k) => {
       if (!k.public) return k
       const e = secrets.entryOf?.(owner, k.key)
       const wrap = e?.gen != null ? secrets.wrapOf?.(owner, e.gen, caller) : null
@@ -2416,10 +2416,10 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     }
     if (kind === 'ns') {
       const out = {}
-      for (const [ns, keys] of Object.entries(list_)) out[ns] = keys.map((k) => dar(`ns:${ns}`, k))
+      for (const [ns, keys] of Object.entries(entries)) out[ns] = keys.map((k) => attach(`ns:${ns}`, k))
       return out
     }
-    return list_.map((row) => ({ ...row, keys: row.keys.map((k) => dar(`dev:${row.pub}`, k)) }))
+    return entries.map((row) => ({ ...row, keys: row.keys.map((k) => attach(`dev:${row.pub}`, k)) }))
   }
 
   function listSecrets () {
@@ -2549,10 +2549,10 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     stopPairing: desk.stopPairing,
     listPending: desk.listPending,
     // ¿Pide permiso este aparato para recibir claves privadas? Lo dice el ACTA
-    // (`unattended`), no una list_ de esta máquina — por eso ya no hay `setApproval` ni
+    // (`unattended`), no una lista de esta máquina — por eso ya no hay `setApproval` ni
     // `supervised`: se concede y se quita como cualquier otro permiso, con `caps`.
     needsApproval: async (pub) => needsApproval(pub, await refreshActa()),
-    // La bóveda de contraseñas (`passwords.js`). Aquí SÍ se list_: es donde está la
+    // La bóveda de contraseñas (`passwords.js`). Aquí SÍ se lista: es donde está la
     // llave. Lo que no puede es listarla un aparato.
     passwordDevices,
     passwordsVault: () => passwords?.vault || null,
@@ -2599,7 +2599,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     // desbloquear: deja `secrets.json.v3.bak` para poder volver.
     /**
      * Convierte el archivo de secretos al formato nuevo. `membersOf` es opcional y lo
-     * normal es NO pasarlo: por defecto se usa la misma list_ de destinatarios que
+     * normal es NO pasarlo: por defecto se usa la misma lista de destinatarios que
      * cualquier escritura —los servicios del cajón MÁS los aparatos que administran—.
      *
      * Pasarla a mano fue un error real: la conversión envolvía solo a los servicios, y
@@ -2644,7 +2644,7 @@ export async function startVault ({ dir = dataDir(), proxyUrl, log = console.log
     isMaster: () => identity.isMaster(),
     setCaps: async (pub, caps) => {
       const r = await identity.setCaps(pub, caps)
-      // ¿SE QUEDÓ ALGUNO POR EL CAMINO? El acta tiene una list_ CERRADA de permisos y
+      // ¿SE QUEDÓ ALGUNO POR EL CAMINO? El acta tiene una lista CERRADA de permisos y
       // `cleanCaps` descarta los que no conoce — correcto al recibir un acta ajena, y
       // pésimo aquí: conceder `+sella` con una versión del pilar que no sabe qué es
       // devolvía «Listo», resellaba el acta y no concedía nada. Costó una tarde en un