@ingeniomaps/cauce 0.86.0 → 0.87.0

package/CHANGELOG.md

@@ -14,6 +14,26 @@ desde este repositorio no va, porque el que lee no puede actuar sobre eso. Cuand
 unas pocas líneas casi siempre es porque cuenta cómo se descubrió el problema o por qué se eligió el
 diseño — eso vive en el commit y en el código.
 
+## [0.87.0] - 2026-09-14
+
+### Corregido
+
+- **El aviso de credenciales sin dueño mira el `.env.example` entero y ya no sus primeras cuarenta
+  variables.** `check` te avisa de las credenciales que ningún contrato declara, y el escaneo cortaba en
+  cuarenta variables por servicio **antes** de mirar qué era cada una. En un servicio grande eso no
+  recortaba una lista: apagaba el análisis, y qué credencial se veía terminaba dependiendo de en qué línea
+  del archivo había caído.
+
+  El riesgo estaba escrito como aceptado y sin medir desde que el tope existe. Medirlo contra una instancia
+  real lo convirtió en dos nombres: un servicio con 61 variables tenía tres credenciales pasado el corte y
+  **dos que ningún contrato declaraba**, en las líneas 43 y 60. Lo único que salía era el aviso de que había
+  cortado.
+
+  Ahora el tope recorta lo que se **lista** y no lo que se mira: las credenciales se buscan sobre el archivo
+  entero, y `scan` sigue mostrando cuarenta y diciendo cuántas más hay. Si tenés un servicio con más de
+  cuarenta variables, contá con avisos nuevos en el próximo `check` — son credenciales que ya estaban y que
+  nadie estaba mirando.
+
 ## [0.86.0] - 2026-09-12
 
 ### Corregido

package/engine/cli/wiring.js

@@ -143,7 +143,13 @@ function scan(target, cli) {
   for (const service of result.services.slice(0, MAX_LISTED)) {
     // El proyecto que vive en la raíz se nombra por su carpeta: `.` a secas no dice de cuál se habla.
     const label = service.path === '.' ? `. (${path.basename(service.root || result.root)})` : service.path
-    const expects = service.env ? `\n    espera ${service.env.names.join(', ')} (${service.env.file})` : ''
+    // La lista llega entera —quien busca credenciales la necesita así, ver `core/scan.js`— y el recorte
+    // de pantalla se aplica acá, junto al de servicios de arriba y por la misma razón.
+    const shown = service.env ? service.env.names.slice(0, service.env.names.length - service.env.truncated) : []
+    const expects = service.env
+      ? `\n    espera ${shown.join(', ')}${service.env.truncated ? ` y ${service.env.truncated} más` : ''} `
+        + `(${service.env.file})`
+      : ''
     console.log(
       `${label} [${(service.runtimes || []).join(', ')}]${SC.commandsLine(service.commands)}${expects}`,
     )

package/engine/core/onboarding.js

@@ -127,7 +127,9 @@ function orphanCredentials(root) {
     for (const name of env.names || []) {
       if (sensitiveKey(name) && !named(contracts, name)) orphans.push({ name, service: service.path })
     }
-    if (env.truncated) cut.push(`${service.path} (${env.truncated} de ${env.names.length + env.truncated})`)
+    // `names` llega entero desde el 134 —el tope recorta lo que se lista, no lo que se mira—, así que el
+    // total es su largo a secas: sumarle `truncated` contaría dos veces lo mismo.
+    if (env.truncated) cut.push(`${service.path} (${env.truncated} de ${env.names.length})`)
   }
   const warnings = []
   if (orphans.length) {
@@ -141,11 +143,12 @@ function orphanCredentials(root) {
       + 'organization/workspace.md o en una fila de planning/HUMAN_ACTIONS.md; el criterio es el nombre, así '
       + 'que una credencial con nombre de configuración no aparece acá')
   }
-  // El escaneo corta cada ejemplo en un tope, y lo que quedó afuera no se miró: con el filtro, puede ser
-  // justo la credencial.
+  // El tope recorta lo que se **lista**, no lo que se mira: las credenciales de arriba salen del ejemplo
+  // entero. Esto se sigue diciendo porque un corte que no se anuncia hace pasar lo listado por todo lo que
+  // hay —y hasta el 134 además cegaba el análisis, que es de donde viene la redacción vieja—.
   if (cut.length) {
-    warnings.push(`sin revisar por credenciales sin dueño, pasado el tope de variables por servicio: `
-      + `${cut.join(', ')} — lo que quedó afuera puede incluir una credencial que nadie carga`)
+    warnings.push(`pasado el tope de variables por servicio: ${cut.join(', ')} — el ejemplo se lista `
+      + 'recortado; las credenciales se buscan igual sobre el archivo entero')
   }
   return warnings
 }

package/engine/core/scan.js

@@ -107,7 +107,12 @@ function manifestsOf(dir) {
 // diciendo «la credencial del proveedor» en vez de nombrarla.
 const ENV_EXAMPLES = ['.env.example', '.env.sample', '.env.template', '.env.dist']
 
-// Un ejemplo con cientos de variables es un archivo generado, no un contrato: se corta y se dice.
+// Un ejemplo con cientos de variables es un archivo generado, no un contrato: se corta lo que **se
+// lista** y se dice cuánto. Lo que no se corta es lo que se **mira**: hasta el 134 este número recortaba
+// las dos cosas, así que una credencial en la posición 41 no existía para quien busca credenciales sin
+// dueño —medido en una instancia real: dos, sobre las 61 variables de un servicio, y el único aviso era
+// que se había cortado—. Quién recorta para imprimir está en `cli/wiring.js`, junto al otro recorte de
+// ese mismo comando.
 const ENV_MAX = 40
 
 function expectedEnv(dir) {
@@ -122,7 +127,7 @@ function expectedEnv(dir) {
       .map((line) => line.replace(/^export\s+/, '').split('=')[0].trim())
       .filter((key) => /^[A-Za-z_][A-Za-z0-9_]*$/.test(key))
     if (!names.length) return null
-    return { file: name, names: names.slice(0, ENV_MAX), truncated: Math.max(0, names.length - ENV_MAX) }
+    return { file: name, names, truncated: Math.max(0, names.length - ENV_MAX) }
   }
   return null
 }

package/engine/core/trails.js

@@ -14,6 +14,20 @@ const GRANT = 'planning/.grant-log'
 const LOCAL = [VERIFY, PUSH, GRANT]
 
 const { spawnSync } = require('node:child_process')
+const { mode } = require('./ownership')
+
+// A quién le toca esta pregunta. Los rastros los escribe Cauce **dentro de una instancia**, así que en una
+// raíz que no lo es no existen ni van a existir, y avisar ahí es hablar de algo imposible: el molde de este
+// repositorio lo recibía una vez por corrida, con `check template/planning` (caso 133).
+//
+// Se mira el modo declarado y no el nombre de la carpeta, porque las tres formas de no ser una instancia
+// son la misma pregunta: `toolkit` —acá se fabrica Cauce—, `{{MODE}}` sin renderizar —el molde, que es la
+// raíz que dispara el falso positivo— y la ausencia de configuración. Un modo ilegible o fuera del enum
+// también cae del lado silencioso, y eso no esconde nada: `check` ya los denuncia como error y sale 1.
+const INSTANCE = new Set(['embedded', 'sidecar'])
+const forInstance = (root) => {
+  try { return INSTANCE.has(mode(root)) } catch { return false }
+}
 
 // Cuáles de esos rastros **git no está ignorando** en esta instancia.
 //
@@ -43,6 +57,7 @@ function unignored(root) {
 // son exactamente lo que hay que pegar, que es lo único accionable — el archivo es de la empresa y Cauce
 // no lo edita.
 function warnings(root) {
+  if (!forInstance(root)) return []
   const missing = unignored(root)
   if (!missing.length) return []
   return [`${missing.length} rastro(s) local(es) que git no ignora (${missing.join(', ')}); `

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ingeniomaps/cauce",
-  "version": "0.86.0",
+  "version": "0.87.0",
   "description": "Sistema portable de planificación y ejecución verificable para cualquier proyecto",
   "keywords": [
     "planning",