@dotrino/vaultd 0.97.0 → 0.105.1

package/src/tui/app.js

@@ -37,6 +37,7 @@ import { qrToString } from '../qr.js'
 import { dict, otherLang, loadLang, saveLang } from './i18n.js'
 import * as vc from '../vaultControl.js'
 import { VERSION } from '../version.js'
+import { DEVICE_CAPS } from '@dotrino/identity/acta'
 
 const sleep = (ms) => new Promise((r) => setTimeout(r, ms))
 
@@ -338,7 +339,18 @@ function pairModeRows (st, t) {
  * permiso que hay que entender para un servidor: dice si esa máquina se lleva tus claves
  * privadas sola o si te lo pregunta. Verlo apagado es la mitad del mensaje.
  */
-const CAPS_ORDER = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'sealer', 'unattended']
+/**
+ * EL ORDEN LO ELIGE ESTA PANTALLA; LA LISTA LA MANDA EL ACTA.
+ *
+ * Antes esto era una lista suelta escrita a mano, y por eso cada permiso nuevo se quedó
+ * invisible aquí durante semanas —`sealer`, `unattended` y `secrets`, tres veces el mismo
+ * fallo—. Ahora el orden se cura a mano, que es una decisión de diseño, pero lo que no
+ * esté nombrado se añade al final: un permiso puede salir en mal sitio, nunca desaparecer.
+ * `test/tui-permisos.test.mjs` exige además que todos tengan nombre en los dos idiomas.
+ */
+const ORDEN = ['sign', 'store', 'read', 'admin', 'approve', 'passwords', 'sealer', 'unattended', 'replica']
+const CAPS_ORDER = [...ORDEN.filter((c) => DEVICE_CAPS.includes(c)),
+  ...DEVICE_CAPS.filter((c) => !ORDEN.includes(c))]
 
 /**
  * Los permisos que se le pueden dar A ESTE miembro, en orden.
@@ -378,6 +390,8 @@ function capsRows (st, t) {
     // qué vas a firmar — que es justo lo que hace peligroso acumular cambios.
     const cambia = has.has(cap) !== real.has(cap)
     if (cambia) tocados++
+    // El título ES el nombre del permiso —el mismo que se teclea en `caps <ID> +administra`—
+    // así que no hay que repetirlo al lado. Lo que hace va debajo.
     const line = ` ${mark}${cambia ? t.bold('*') : ' '} ${cap === 'admin' ? t.bold(name) : name}`
     rows.push({ text: line, sel: true, meta: { cap } })
     const hint = typeof i.capHint[cap] === 'function' ? i.capHint[cap](member.cn) : i.capHint[cap]
@@ -1300,12 +1314,44 @@ async function onKeySecrets (term, st, key) {
     await revealValue(term, st, `ns:${cur.ns}`, cur.key, cur.public)
   } else if (ch === 't' && cur?.key) {
     await toggleVisibility(term, st, cur.public, () => vc.setSecretVisibility(cur.ns, cur.key, !cur.public, activeId(st), activePwd(st)))
+  } else if (ch === 'r' && cur?.key) {
+    await promptRenameVariable(term, st, cur)
   } else if (key.name === 'f5') {
     await refreshSecrets(term, st)
   }
   return true
 }
 
+/**
+ * RENOMBRAR: el mismo sobre con otro nombre. No pide la frase, porque lo único que hay que
+ * rehacer es la firma —el nombre va DENTRO de lo firmado— y de eso se encarga la llave de
+ * sellado, que trabaja con la bóveda cerrada.
+ *
+ * Se avisa de lo que de verdad importa y no se ve: para el servicio que la lee esto es un
+ * cambio de configuración, así que se va a reiniciar. Si su código busca el nombre viejo,
+ * dejará de encontrarlo — y eso no lo puede saber la bóveda.
+ */
+function promptRenameVariable (term, st, cur) {
+  const i = L(st)
+  return new Promise((listo) => {
+    setInput(st, {
+      label: i.renameLabel(cur.key),
+      hint: i.renameHint,
+      value: cur.key,
+      onSubmit: async (nuevo) => {
+        const nv = nuevo.trim()
+        st.input = null
+        if (!nv || nv === cur.key) { listo(); return }
+        if (!KEY_RE.test(nv)) { flash(st, i.keyInvalid, 'danger'); listo(); return }
+        const r = await guard(term, st, i.renaming, () => vc.renameSecret(cur.ns, cur.key, nv, activeId(st)))
+        if (r.ok) { flash(st, i.renamed(cur.key, nv)); st.secrets = r.v }
+        listo()
+      },
+      onCancel: () => { st.input = null; listo() }
+    })
+  })
+}
+
 /**
  * Hacer pública una variable es dejar que su valor SALGA de esta máquina, así que se
  * pregunta; volverla privada no expone nada y se aplica directo.
@@ -1349,6 +1395,8 @@ async function toggleVisibility (term, st, wasPublic, apply) {
     if (r.ok) { flash(st, wasPublic ? i.nowPrivate : i.nowPublic); st.secrets = r.v }
   }
   if (wasPublic) return run()
+  // Solo se pregunta al ABRIRLA. Volverla privada es la dirección segura y se hace sin
+  // confirmar: pedir permiso para cerrar algo solo entrena a decir que sí.
   setConfirm(st, { text: i.makePublicConfirm, onYes: run, onNo: () => { st.confirm = null } })
 }
 
@@ -1394,17 +1442,29 @@ async function onKeyDevVars (term, st, key) {
 }
 
 /**
- * Al crear una variable se PREGUNTA si su valor puede salir de esta máquina. Se pregunta
- * al crearla, y no después, porque es cuando quien la escribe sabe qué es: un puerto se
- * puede enseñar, una llave de producción no. La respuesta por defecto —Enter, o `n`— es
- * la privada.
+ * Al crear una variable se pregunta SI ES PRIVADA. Se pregunta al crearla, y no después,
+ * porque es cuando quien la escribe sabe qué es: un puerto se puede enseñar, una llave de
+ * producción no.
+ *
+ * OJO AL SENTIDO. Antes se preguntaba lo contrario («¿que se pueda ver?») y el defecto
+ * —Enter o Esc— caía en `onNo`, que era la privada, o sea la segura. Al dar la vuelta a la
+ * pregunta, ese mismo defecto pasaría a ser la PÚBLICA sin que nadie lo notara: cada
+ * variable nueva se entregaría sin pedir permiso. Por eso el defecto se declara aquí
+ * (`defaultYes`) en vez de heredarse del manejador de teclas.
  */
 function askVisibility (term, st, done) {
   const i = L(st)
+  // SE DEVUELVE LA PROMESA. `onConfirmKey` hace `await f?.()` para SERIALIZAR las
+  // operaciones contra el daemon —lo dice el comentario de `onInputKey`—, y soltarla aquí
+  // dejaba la escritura corriendo por fuera de esa serialización: se solapaba con el
+  // refresco periódico, los dos usan el mismo archivo de respuesta, el refresco lo borraba
+  // antes de que la escritura lo leyera y la pantalla se quedaba en «Guardando…» para
+  // siempre. El valor SÍ se había guardado, que es lo que lo hacía tan confuso.
   setConfirm(st, {
-    text: i.newVarPublicAsk,
-    onYes: () => { st.confirm = null; done(true) },
-    onNo: () => { st.confirm = null; done(false) }
+    text: i.newVarPrivateAsk,
+    defaultYes: true,
+    onYes: () => { st.confirm = null; return done(false) },   // privada
+    onNo: () => { st.confirm = null; return done(true) }      // pública
   })
 }
 
@@ -1554,7 +1614,14 @@ async function onConfirmKey (st, key) {
   // La tecla es `y` (yes) en los dos idiomas —como el resto, mnemónico inglés—;
   // `s` (sí) se sigue aceptando por costumbre, pero no se anuncia en la ayuda.
   if (ch === 's' || ch === 'y') { const f = cf.onYes; st.confirm = null; await f?.() }
-  else if (ch === 'n' || key.name === 'escape' || key.name === 'enter' || key.name === 'ctrl-c') { const f = cf.onNo; st.confirm = null; await f?.() }
+  else if (ch === 'n') { const f = cf.onNo; st.confirm = null; await f?.() }
+  // Enter y Esc toman el CAMINO SEGURO, y cuál es lo dice quien pregunta. Sin esto el
+  // defecto era siempre «no», y una pregunta formulada al revés lo volvía el peligroso.
+  else if (key.name === 'escape' || key.name === 'enter' || key.name === 'ctrl-c') {
+    const f = cf.defaultYes ? cf.onYes : cf.onNo
+    st.confirm = null
+    await f?.()
+  }
 }
 
 // --------------------------------- render ----------------------------------

package/src/tui/i18n.js

@@ -39,45 +39,57 @@ const es = {
   // PERMISOS de un dispositivo (§9.1: se dice el beneficio, no el scope del cert).
   titleCaps: 'Permisos del dispositivo',
   capsFor: (id, name) => `Permisos de ${id}${name ? ' · ' + name : ''}`,
-  capsNoMember: '  (este dispositivo ya no está en el acta)',
+  capsNoMember: '  (este dispositivo ya no está en el perfil)',
   capsApplyHint: 'Enter marca o desmarca · G guarda los cambios · Esc sale',
-  capsPending: (n) => `${n} cambio(s) sin guardar (*) · G para guardarlos en UNA sola acta · Esc para descartarlos`,
-  capsSaved: (n) => `${n} cambio(s) guardados en una sola acta`,
+  capsPending: (n) => `${n} cambio(s) sin guardar (*) · G para guardarlos todos de una vez · Esc para descartarlos`,
+  capsSaved: (n) => `${n} cambio(s) guardados de una vez`,
   capsNothing: 'No has cambiado nada',
   capsDiscard: '¿Descartar los cambios sin guardar?',
+  // EL NOMBRE DICE EL ACTO, NO LA CONSECUENCIA (dueño, 2026-09-02: «que digan exactamente
+  // lo que hacen y no lo que implican»). «Sellar el acta» y «Administrar el perfil» eran
+  // lo segundo: hay que saberse el modelo para traducirlos. Lo que hacen es admitir
+  // aparatos y conectar o quitar dispositivos, y eso es lo que se lee ahora.
+  // EL TÍTULO ES EL NOMBRE DEL PERMISO, no una descripción (dueño, 2026-09-03: «deben
+  // decir siempre lo que SON»). Antes puse frases —«Conectar y quitar dispositivos»— y el
+  // resultado fue una lista donde no se sabía qué permiso era cuál ni cómo nombrarlo para
+  // el CLI. Lo que hace cada uno va DEBAJO, que es su sitio.
   capName: {
-    // Lleva el cajón dentro: «las claves de proxy» dice QUÉ abre; «lee sus claves» te deja
-    // preguntándote cuáles. Solo se le ofrece a un servicio (los que tienen `cn`).
-    secrets: (cn) => `Leer las claves de «${cn}»`,
-    sign: 'Firmar como tú',
-    store: 'Guardar tus datos',
-    read: 'Leer tus datos',
-    admin: 'Administrar el perfil',
-    passwords: 'Pedir tus contraseñas',
-    approve: 'Aprobar pedidos',
-    sealer: 'Sellar el acta',
-    unattended: 'Recibir claves sin aprobación'
+    secrets: (cn) => `secretos «${cn}»`,
+    sign: 'firma',
+    store: 'guarda',
+    read: 'lee',
+    admin: 'administra',
+    passwords: 'contrasenas',
+    approve: 'aprueba',
+    sealer: 'sella',
+    unattended: 'desatendido',
+    replica: 'replica'
   },
+  // CADA PISTA SE SOSTIENE SOLA. Antes colgaban del título —«hacerlo desde ese aparato»
+  // continuaba a «Conectar y quitar dispositivos»—; ahora el título es la palabra que se
+  // teclea, así que la pista tiene que decir la frase entera.
   capHint: {
-    secrets: (cn) => `abrir SU cajón y ninguno más: las variables de «${cn}»`,
+    secrets: (cn) => `abrir el cajón de «${cn}» y ningún otro`,
     sign: 'usar tu identidad en las apps del ecosistema',
-    store: 'escribir en tu bóveda (perfil, contenido, datos sensibles)',
+    store: 'escribir en tu bóveda: perfil, contenido, datos',
     read: 'ver lo que guardaste',
-    admin: 'conectar y quitar dispositivos desde ese aparato, sin venir aquí',
-    passwords: 'el gestor: pedir una credencial por sitio, nunca la lista entera',
+    admin: 'conectar y quitar aparatos desde ahí, sin venir aquí. No puede cambiar permisos',
+    passwords: 'pedir una contraseña por sitio, nunca la lista entera',
     approve: 'dar el visto bueno cuando otro aparato pide claves privadas',
     // Sellar solo significa algo en un aparato que HAGA de bóveda (otra máquina con el
     // daemon, o un navegador que se puso de bóveda). En un teléfono normal se concede y no
     // lo usa nadie. Se enseña igual, y se dice: verlo desactivado explica el modelo;
     // esconderlo hacía creer que no existe (dueño, 2026-08-31).
-    sealer: 'admitir aparatos y cambiar permisos él solo, si esta bóveda no está. Solo sirve en otra BÓVEDA',
-    unattended: 'llevarse claves privadas SIN preguntarte. Apagado, cada vez que arranque tienes que aprobarlo desde un aparato con «Aprobar»'
+    sealer: 'admitir aparatos y cambiar permisos él solo cuando esta bóveda no está. Solo sirve en otra BÓVEDA',
+    unattended: 'llevarse claves privadas sin preguntarte. Apagado, hay que aprobarlo desde un aparato con «aprueba» cada vez que arranque',
+    // El replicador reparte y no puede nada más: no abre lo que entrega ni cambia nada.
+    replica: 'repartir los sobres que esta bóveda ya firmó, tal como salieron: no puede abrirlos ni cambiar nada. Solo sirve en otra máquina'
   },
   confirmAdmin: (id) => `¿Dejar que ${id} conecte y quite dispositivos sin venir aquí?`,
   capGiven: (n) => `Concedido: ${n}`,
   capTaken: (n) => `Quitado: ${n}`,
   applyingCaps: 'Aplicando…',
-  loadingMembers: 'Cargando el acta…',
+  loadingMembers: 'Cargando los dispositivos…',
   helpCaps: ['↑↓', 'Enter marcar', 'G guardar', 'F5 refrescar', 'Esc dispositivos', 'l English', 'q salir'],
   // Perfil del usuario (lo que sincronizan los dispositivos). Solo lectura: se edita en
   // el aparato, no en la máquina donde vive la bóveda.
@@ -152,7 +164,7 @@ const es = {
   noDevices: '  (sin dispositivos enrolados — pulsa P para emparejar uno)',
   noLabel: '(sin etiqueta)',
   // Está en el acta y no puede entrar: o le retiraron el certificado, o se le venció.
-  deviceNoAccess: 'SIN ACCESO — está en el acta pero no puede entrar',
+  deviceNoAccess: 'SIN ACCESO — está en el perfil pero no puede entrar',
   deviceDebt: (n) => `no abre ${n}`,
   thisVault: 'esta bóveda (manda ella)',
   cantRemoveMaster: 'Esta bóveda es la que manda: no se quita a sí misma.',
@@ -165,7 +177,7 @@ const es = {
   noPendingToReject: 'No hay ningún dispositivo pendiente para rechazar',
   rejecting: 'Rechazando…',
   deviceRejected: 'Dispositivo rechazado',
-  revokeConfirm: (id) => `¿Quitar ${id} del perfil? Sale del acta y se le retiran los certificados ya. Lo que tenga guardado se le borra cuando se conecte: si está apagado, sigue ahí hasta entonces.`,
+  revokeConfirm: (id) => `¿Quitar ${id} del perfil? Pierde el acceso ahora mismo. Lo que tenga guardado se le borra cuando se conecte: si está apagado, sigue ahí hasta entonces.`,
   revoking: 'Revocando…',
   deviceRevoked: (id) => `Revocado ${id}`,
   approveLabel: (id) => `Código que MUESTRA el dispositivo ${id}`,
@@ -213,11 +225,19 @@ const es = {
   },
   loadNothing: 'No se cargó nada:',
   varPublic: 'pública',
-  newVarPublicAsk: '¿Que su valor se pueda VER desde la consola remota? (las demás no salen de esta máquina)',
-  makePublicConfirm: '¿Dejar que su valor se vea desde la consola remota?',
-  changingVisibility: 'Cambiando visibilidad…',
-  nowPublic: 'Ahora su valor se puede ver desde la consola remota',
-  nowPrivate: 'Ahora su valor no sale de esta máquina',
+  // LA PREGUNTA ES LA PREGUNTA, sin explicar la consecuencia (dueño, 2026-09-02:
+  // «debe decir: ¿la variable es privada? y punto»). Antes decía «¿que su valor se pueda
+  // VER desde la consola remota?», que además ya era FALSO: desde el 2026-09-02 las dos se
+  // guardan cifradas igual y `pública` solo dice que se entrega sin pedirte permiso.
+  newVarPrivateAsk: '¿Es privada?',
+  makePublicConfirm: '¿Hacerla pública?',
+  changingVisibility: 'Cambiando…',
+  renameLabel: (k) => `Nuevo nombre para ${k}`,
+  renameHint: 'MAYUSCULAS_CON_GUION_BAJO · el valor no se toca · Esc cancela',
+  renaming: 'Renombrando…',
+  renamed: (a, b) => `${a} ahora se llama ${b} — el servicio que la lee se reinicia; si busca el nombre viejo, ya no lo encuentra`,
+  nowPublic: 'Pública: se entrega sin pedirte permiso',
+  nowPrivate: 'Privada: para entregarla te pide permiso',
 
   // variables de UN aparato (Dispositivos → tecla e). Las del scope las comparten todos
   // los aparatos que sirven ese namespace; estas las lee solo él, y le ganan.
@@ -288,7 +308,7 @@ const es = {
   deviceRenamed: (n) => `Ahora se llama «${n}»`,
   helpSecrets: ({ hasSecrets } = {}) => [
     '←→ pestaña', '↑↓', 'n nueva variable', 'i cargar varias',
-    ...(hasSecrets ? ['v ver valor', 't pública/privada', 'x quitar (variable/scope)'] : []),
+    ...(hasSecrets ? ['v ver valor', 't pública/privada', 'r renombrar', 'x quitar (variable/scope)'] : []),
     'F5 refrescar', 'Esc bóvedas', 'l English', 'q salir'
   ],
   helpDevVars: ({ hasVars } = {}) => [
@@ -332,11 +352,11 @@ const es = {
   // El código NO es la contraseña de la bóveda: son los seis dígitos que el aparato
   // enseña en su pantalla. Si no coincide, la bóveda no firma nada y el aparato sigue
   // esperando ahí, así que se puede volver a intentar con A.
-  errWrongCode: 'El código no coincide con el que muestra el dispositivo: no se emitió ningún certificado. Míralo otra vez y pulsa A.',
+  errWrongCode: 'El código no coincide con el que muestra el dispositivo: no ha entrado nadie. Míralo otra vez y pulsa A.',
   errProfileLocked: 'Bóveda bloqueada: ábrela con su contraseña',
   errWrongPassword: (n) => `Contraseña incorrecta${n ? ` — van ${n} intentos fallidos` : ''}`,
   errTooManyTries: (s) => `Demasiados intentos: espera ${s || '?'} s antes de volver a probar`,
-  errMasterWithMembers: 'Esta bóveda es el Master de esta cuenta y hay otros dispositivos: pásale primero el Master a uno que esté conectado. Si la borras así, se quedan con su llave y sin nadie que pueda volver a firmar el acta.'
+  errMasterWithMembers: 'Esta bóveda es la que manda en esta cuenta y hay otros dispositivos: pásale primero el mando a uno que esté conectado. Si la borras así, se quedan con su llave y sin nadie que pueda volver a darles permisos.'
 }
 
 // ---------------------------------- inglés ----------------------------------
@@ -362,35 +382,41 @@ const en = {
   capsNoMember: '  (this device is no longer in the record)',
   capsApplyHint: 'Enter ticks or unticks · G saves · Esc leaves',
   capsPending: (n) => `${n} unsaved change(s) (*) · G to save them in ONE record · Esc to discard`,
-  capsSaved: (n) => `${n} change(s) saved in a single record`,
+  capsSaved: (n) => `${n} change(s) saved in one go`,
   capsNothing: 'You have not changed anything',
   capsDiscard: 'Discard the unsaved changes?',
+  // El título es el NOMBRE del permiso, el mismo que se teclea. Ver la nota en el bloque
+  // español: describirlo dejaba una lista donde no se sabía qué permiso era cuál.
   capName: {
-    secrets: (cn) => `Read the «${cn}» keys`,
-    sign: 'Sign as you',
-    store: 'Save your data',
-    read: 'Read your data',
-    admin: 'Manage the profile',
-    passwords: 'Ask for your passwords',
-    approve: 'Approve requests',
-    sealer: 'Seal the record',
-    unattended: 'Take keys without approval'
+    secrets: (cn) => `secrets «${cn}»`,
+    sign: 'sign',
+    store: 'store',
+    read: 'read',
+    admin: 'admin',
+    passwords: 'passwords',
+    approve: 'approve',
+    sealer: 'sealer',
+    unattended: 'unattended',
+    replica: 'replica'
   },
+  // Cada pista se sostiene sola: el título es la palabra, no una frase que continuar.
   capHint: {
+    secrets: (cn) => `open the «${cn}» drawer and no other`,
     sign: 'use your identity across the ecosystem apps',
-    store: 'write to your vault (profile, content, sensitive data)',
+    store: 'write to your vault: profile, content, data',
     read: 'see what you saved',
-    admin: 'connect and remove devices from that device, without coming here',
-    passwords: 'the manager: ask for one credential per site, never the whole list',
+    admin: 'connect and remove devices from there, without coming here. It cannot change permissions',
+    passwords: 'ask for one password per site, never the whole list',
     approve: 'give the go-ahead when another device asks for private keys',
-    sealer: 'admit devices and change permissions on its own if this vault is gone. Only useful on another VAULT',
-    unattended: 'take private keys WITHOUT asking you. Off, you must approve it from a device with «Approve» every time it starts'
+    sealer: 'admit devices and change permissions on its own when this vault is away. Only useful on another VAULT',
+    unattended: 'take private keys without asking you. Off, it must be approved from a device with «approve» every time it starts',
+    replica: 'hand out the envelopes this vault already signed, exactly as they left: it cannot open them or change anything. Only useful on another machine'
   },
   confirmAdmin: (id) => `Let ${id} connect and remove devices without coming here?`,
   capGiven: (n) => `Granted: ${n}`,
   capTaken: (n) => `Removed: ${n}`,
   applyingCaps: 'Applying…',
-  loadingMembers: 'Loading the record…',
+  loadingMembers: 'Loading the devices…',
   helpCaps: ['↑↓', 'Enter tick', 'G save', 'F5 refresh', 'Esc devices', 'l Español', 'q quit'],
   loadingProfile: 'Loading profile…',
   noProfile: '  (this vault has no profile yet)',
@@ -474,7 +500,7 @@ const en = {
   noPendingToReject: 'No device is waiting to be rejected',
   rejecting: 'Rejecting…',
   deviceRejected: 'Device rejected',
-  revokeConfirm: (id) => `Remove ${id} from the profile? It leaves the record and its certificates are withdrawn right away. What it has stored is erased when it connects: if it is switched off, it stays there until then.`,
+  revokeConfirm: (id) => `Remove ${id} from the profile? It loses access right away. What it has stored is erased when it connects: if it is switched off, it stays there until then.`,
   revoking: 'Revoking…',
   deviceRevoked: (id) => `Revoked ${id}`,
   approveLabel: (id) => `Code SHOWN by device ${id}`,
@@ -519,11 +545,15 @@ const en = {
   },
   loadNothing: 'Nothing was loaded:',
   varPublic: 'public',
-  newVarPublicAsk: 'Let its value be SEEN from the remote console? (the rest never leave this machine)',
-  makePublicConfirm: 'Let its value be seen from the remote console?',
-  changingVisibility: 'Changing visibility…',
-  nowPublic: 'Its value can now be seen from the remote console',
-  nowPrivate: 'Its value no longer leaves this machine',
+  newVarPrivateAsk: 'Is it private?',
+  makePublicConfirm: 'Make it public?',
+  changingVisibility: 'Changing…',
+  renameLabel: (k) => `New name for ${k}`,
+  renameHint: 'UPPERCASE_WITH_UNDERSCORES · the value is not touched · Esc cancels',
+  renaming: 'Renaming…',
+  renamed: (a, b) => `${a} is now ${b} — the service that reads it restarts; if it looks for the old name, it will not find it`,
+  nowPublic: 'Public: handed over without asking you',
+  nowPrivate: 'Private: handing it over asks you first',
 
   // variables de UN aparato (Dispositivos → tecla e)
   titleDevVars: 'Device variables',
@@ -580,7 +610,7 @@ const en = {
   deviceRenamed: (n) => `Now called "${n}"`,
   helpSecrets: ({ hasSecrets } = {}) => [
     '←→ tab', '↑↓', 'n new variable', 'i load several',
-    ...(hasSecrets ? ['v show value', 't public/private', 'x remove (variable/scope)'] : []),
+    ...(hasSecrets ? ['v show value', 't public/private', 'r rename', 'x remove (variable/scope)'] : []),
     'F5 refresh', 'Esc vaults', 'l Español', 'q quit'
   ],
   helpDevVars: ({ hasVars } = {}) => [
@@ -618,7 +648,7 @@ const en = {
   errNotApplied: 'The daemon did not apply the change (check the service logs).',
   errNotDeleted: 'The daemon did not delete the variable (check the service logs).',
   errPairFailed: 'The daemon did not start the pairing.',
-  errWrongCode: 'The code does not match the one shown by the device: no certificate was issued. Check it and press A again.',
+  errWrongCode: 'The code does not match the one shown by the device: nobody got in. Check it and press A again.',
   errProfileLocked: 'Vault locked: open it with its password',
   errWrongPassword: (n) => `Wrong password${n ? ` — ${n} failed attempts so far` : ''}`,
   errTooManyTries: (s) => `Too many attempts: wait ${s || '?'} s before trying again`,