@mmmbuto/nexuscrew 0.9.16 → 0.9.18

package/lib/nodes/identity.js

@@ -28,7 +28,7 @@
 // secondo scrittore — la proprieta' regge per assenza, non per controllo, e la
 // differenza va detta invece che lasciata credere.
 //
-// Rilievo dell'audit indipendente: una funzione provata e senza chiamanti e' il
+// Rilievo della revisione indipendente: una funzione provata e senza chiamanti e' il
 // segnale piu' forte che una garanzia esista, ed e' il piu' facile da dare per
 // sbaglio.
 const fs = require('node:fs');
@@ -79,14 +79,11 @@ function readKeyFile(p) {
       + 'la chiave privata e\' leggibile oltre il proprietario, va rigenerata a mano');
   }
   // UN FILE CHE ESISTE MA NON E' USABILE FA RUMORE, NON SI SOSTITUISCE.
-  // La prima stesura tornava `null` per uno schema sbagliato — cioe' «genera
-  // pure una chiave nuova» — e LANCIAVA su un JSON corrotto, perche' il parse
-  // stava fuori dal try. Due esiti opposti per due modi di essere illeggibile,
-  // e quello comodo era il piu' pericoloso: rigenerare cambia l'identita' di
-  // questo nodo, e ogni peer che aveva legato la vecchia si ritrova per sempre
-  // con una chiave che non corrisponde. Meglio fermarsi e farlo sapere.
-  // Rilievo dell'audit indipendente; risolto nel verso opposto a quello
-  // proposto, perche' la coerenza va cercata sul ramo sicuro.
+  // Uno schema errato e un JSON corrotto sono due forme dello stesso stato non
+  // usabile: entrambi devono fare rumore e nessuno deve autorizzare una nuova
+  // chiave. Rigenerare cambia l'identita' del nodo e lascia ogni peer gia'
+  // associato con una chiave che non corrisponde. Il ramo sicuro si ferma e
+  // rende esplicita la causa senza sostituire il file.
   let parsed;
   try {
     parsed = JSON.parse(fs.readFileSync(p, 'utf8'));
@@ -136,10 +133,10 @@ function writeKeyFile(p, privateKeyPem) {
 // ensureNodeKey: idempotente. La prima chiamata genera, le successive leggono.
 // `created` distingue i due casi per chi vuole registrarlo una volta sola.
 // `afterWriteSeam` e' un seam di prova, come `sessionExistsSeam` e `fleetSeam`
-// altrove: viene chiamato subito dopo la scrittura e serve a far accadere la
-// corsa in modo deterministico. Senza, il test della corsa e' verde per
-// costruzione — il file esiste gia' e il percorso di CREAZIONE non viene mai
-// eseguito. L'ho scoperto perche' il controllo negativo non falliva.
+// altrove: viene chiamato subito dopo la scrittura e rende deterministico il
+// punto della corsa. Senza il seam, il test puo' osservare un file gia'
+// esistente e non esercitare mai il percorso di CREAZIONE; il controllo
+// negativo deve quindi fissare esplicitamente quel punto.
 function ensureNodeKey({ home, keyPath, afterWriteSeam } = {}) {
   const p = keyPath || keyPathFor(home);
   const existing = readKeyFile(p);

package/lib/nodes/store.js

@@ -80,7 +80,7 @@ function isAbsPath(p) {
 // token remoto: segreto opaco, single-line, cap. Vuoto -> assente (non salvato).
 // Charset ristretto a header-safe (VCHAR + spazio/tab): il token viene iniettato
 // in `Authorization: Bearer <t>` verso l'upstream; un char fuori range farebbe
-// lanciare setHeader in modo sincrono (ERR_INVALID_CHAR). (hardening audit).
+// lanciare setHeader in modo sincrono (ERR_INVALID_CHAR). (hardening).
 function validToken(t) {
   return typeof t === 'string' && t.length > 0 && t.length <= MAX_TOKEN_LEN
     && /^[\x20-\x7e\t]+$/.test(t);
@@ -589,7 +589,7 @@ function initStore(p) {
 }
 
 // Compatibilita' API interna: il vecchio nome non inizializza piu' a runtime.
-// Tenerlo strict impedisce che un call-site dimenticato reintroduca F1.
+// Tenerlo strict impedisce che un call-site dimenticato reintroduca quel difetto.
 function loadOrInitStore(p) { return loadStoreStrict(p); }
 
 // --- Mutazioni pure (ritornano un nuovo store; il caller lo scrive) ---------

package/lib/nodes/tunnel-supervisor.js

@@ -21,7 +21,7 @@ const ownershipGraceMs = Number.isFinite(ownershipGraceRaw) && ownershipGraceRaw
 const reverseFailureMaxRaw = Number(process.env.NEXUSCREW_TUNNEL_REVERSE_FAILURE_MAX || 8);
 const reverseFailureMax = Number.isInteger(reverseFailureMaxRaw) && reverseFailureMaxRaw >= 1
   ? Math.min(reverseFailureMaxRaw, 32) : 8;
-// R19 seguito — contratto per la sonda del canale -L quando non conclude MAI:
+// da revisione — contratto per la sonda del canale -L quando non conclude MAI:
 // continuare a sondare ogni 250ms e' giusto per la finestra transitoria (il
 // servizio remoto non e' ancora su dopo un restart/aggiornamento: la prossima
 // sonda e' una connessione FRESCA, si qualifica da sola appena il servizio
@@ -35,7 +35,7 @@ const reverseFailureMax = Number.isInteger(reverseFailureMaxRaw) && reverseFailu
 // quella soglia il canale entra in degraded, ESATTAMENTE come il fallimento
 // del forward inverso — stesso stato, stessa auto-guarigione a cadenza fissa,
 // mai un "pronto" dichiarato senza averlo verificato (sarebbe la stessa bugia
-// che R19 ha tolto, solo con una bandiera "non verificato" appesa sopra).
+// che una revisione ha tolto, solo con una bandiera "non verificato" appesa sopra).
 const channelProbeMaxRaw = Number(process.env.NEXUSCREW_TUNNEL_CHANNEL_PROBE_MAX || 60);
 const channelProbeMax = Number.isInteger(channelProbeMaxRaw) && channelProbeMaxRaw >= 1
   ? Math.min(channelProbeMaxRaw, 240) : 60;
@@ -112,7 +112,7 @@ function clearForwardProbe() {
 // forces OpenSSH to establish the real forward channel. Only that event may
 // advertise transport-ready or reset retry backoff.
 //
-// R19: connect NON è prova di canale. OpenSSH accetta la TCP sul listener
+// da revisione: connect NON è prova di canale. OpenSSH accetta la TCP sul listener
 // locale SUBITO e chiede il canale al server DOPO: se il server lo nega
 // (permitopen senza quella destinazione) il socket viene CHIUSO nel giro di
 // millisecondi — bind locale riuscito, canale morto. Una finestra di grazia
@@ -159,7 +159,7 @@ function probeForwardChannels({ ports, graceMs = CHANNEL_GRACE_MS, connect = net
   });
 }
 
-// R19 punto 3: chi ha installato la chiave quando il pannello non esisteva è
+// da revisione punto 3: chi ha installato la chiave quando il pannello non esisteva è
 // rotto e NON lo sapeva. Il prodotto lo DICE, con la riga da sostituire: le
 // destinazioni arrivano dagli `-L`, la pubblica si DERIVA dalla privata
 // indicata da `-i`. Quando non si riesce a derivarla, dice comunque COSA
@@ -359,7 +359,7 @@ function enterDegraded(diagnosis) {
   retryTimer = setTimeout(run, steadyRetryMs);
 }
 
-// R19 seguito, secondo difetto (2026-08-17, audit su develop@437d29f):
+// secondo difetto della stessa famiglia (da revisione interna):
 // enterDegraded per il canale -L riusava la macchina del forward inverso
 // senza la sua precondizione implicita. Nel reverse failure `child` e' GIA'
 // null quando enterDegraded gira (handleFailure lo azzera PRIMA, perche' e'
@@ -369,7 +369,7 @@ function enterDegraded(diagnosis) {
 // generazione. run() faceva `child = spawn(...)` incondizionatamente: la
 // vecchia generazione, ancora viva, restava senza piu' nessuna variabile che
 // la referenzi — irraggiungibile da stop(), orfana, titolare dei suoi bind
-// per sempre. Misurato dall'auditor: due fake-ssh vivi dopo un degraded,
+// per sempre. Misurato in revisione: due fake-ssh vivi dopo un degraded,
 // SIGTERM al supervisor ne ferma solo l'ultimo.
 //
 // La correzione non e' locale (un kill dentro enterDegraded): e' che
@@ -525,6 +525,6 @@ function acquireGeneration() {
 }
 if (require.main === module) acquireGeneration();
 
-// Esportate per prova diretta (R19): il main resta argv/env-driven e NON parte
+// Esportate per prova diretta (da revisione): il main resta argv/env-driven e NON parte
 // al require.
 module.exports = { probeForwardChannels, refusalHint, refusalDetails, CHANNEL_GRACE_MS };

package/lib/nodes/tunnel.js

@@ -480,7 +480,7 @@ function supervisorExited(pid, timeoutMs = 2500, impl = {}) {
 // Pre-flight sincrono: l'unico modo di "surfaccare" un binario ssh assente come
 // failure ESPLICITA nel valore di ritorno (lo spawn emette 'error' asincrono, non
 // catturabile sync). spawnSyncImpl iniettabile per test deterministici.
-// ssh -V esiste su ogni platform supportata; ENOENT = binario mancante (audit F2).
+// ssh -V esiste su ogni platform supportata; ENOENT = binario mancante (da revisione).
 function sshBinaryAvailable(sshBin, spawnSyncImpl) {
   try {
     const r = (spawnSyncImpl || spawnSync)(sshBin, ['-V'], { encoding: 'utf8' });
@@ -493,7 +493,7 @@ function sshBinaryAvailable(sshBin, spawnSyncImpl) {
 // nel logfile del tunnel; pidfile con cmd verificabile (kill anti PID-reuse).
 // spawnImpl/spawnSyncImpl iniettabili per i test (mai lancia ssh vero in suite).
 //
-// INVARIANTI (audit F2/F3):
+// INVARIANTI (da revisione):
 //   - MAI crashare: spawn throw, error async, pid mancante -> failure esplicita
 //     {started:false, reason}, con cleanup di pidfile/process/log fd di nostra proprieta'.
 //   - NESSUN leak del log fd aperto internamente: il padre chiude la SUA copia dopo
@@ -558,7 +558,7 @@ function startTunnel(opts) {
   };
 
   // Pre-flight: binario ssh mancante -> failure esplicita, nessuno spawn, nessun
-  // crash (audit F2: prima restituiva started:true e poi l'event 'error' killava Node).
+  // crash (da revisione: prima restituiva started:true e poi l'event 'error' killava Node).
   if (!sshBinaryAvailable(sshBin, spawnSyncImpl)) {
     closeOwnedFd();
     return { started: false, reason: 'ssh binary not found', sshBin };
@@ -630,7 +630,7 @@ function startTunnel(opts) {
   if (Number.isInteger(logFd)) {
     try { fs.writeSync(logFd, `[nexuscrew] supervisor requested transport=${path.basename(sshBin)}\n`); } catch (_) {}
   }
-  closeOwnedFd(); // copia del padre: il figlio ha la sua dup; nessun leak (audit F3)
+  closeOwnedFd(); // copia del padre: il figlio ha la sua dup; nessun leak (da revisione)
   return { started: true, pid, logPath, transport: sshBin };
 }
 
@@ -694,7 +694,7 @@ function readSshVersion(spawnSyncImpl) {
   } catch (_) { return null; }
 }
 
-// R19: la riga authorized_keys con le destinazioni EXPLICITE dei -L. Una sola
+// da revisione: la riga authorized_keys con le destinazioni EXPLICITE dei -L. Una sola
 // porta quando il pannello non è (ancora) noto: nodesAdd non può conoscerla,
 // la annuncia il peer nel join — e allora la riga la emette CHI ha
 // l'informazione (pairing, supervisor). Due permitopen distinti, MAI un
@@ -715,11 +715,10 @@ function authorizedKeysLine({ remotePort, panelRemotePort, pub } = {}) {
 
 // LA PUBBLICA SI DERIVA DALLA PRIVATA, non si legge dal file accanto.
 //
-// Tre giri fa validavo il nome dell'algoritmo, due giri fa la struttura del
-// blob, un giro fa la chiedevo a `ssh-keygen -l` sul file `.pub`. Tutte e tre
-// le volte un audit ha trovato il caso che restava: e l'ultimo lo chiude solo
-// cambiando la domanda. Validare `A.pub` prova che quel file contiene UNA
-// chiave valida — non che sia LA chiave di `A`. Se `A.pub` e' stale, ripristinato
+// Validare il nome dell'algoritmo, la struttura del blob o il risultato di
+// `ssh-keygen -l` su `A.pub` prova soltanto che il file contiene UNA chiave
+// valida — non che sia LA chiave derivata dalla privata di `A`. Se `A.pub` e'
+// stale, ripristinato
 // da un backup o sostituito, si pubblica la chiave sbagliata: l'utente
 // sostituisce la riga di A con quella di B, e al reconnect successivo A perde
 // l'accesso. Il prodotto avrebbe causato il guasto che prometteva di riparare.
@@ -733,7 +732,7 @@ function authorizedKeysLine({ remotePort, panelRemotePort, pub } = {}) {
 // batch non si puo' sbloccare) o `ssh-keygen` non c'e': senza poterla derivare
 // non si compone nessuna riga.
 // Esiti ENUMERATI della derivazione della pubblica (difetto strutturale
-// registrato dall'auditor: `null | stringa` comprimeva stati DIVERSI, e il
+// registrato in revisione: `null | stringa` comprimeva stati DIVERSI, e il
 // livello basso componeva frasi su fatti che non conosce — meta' della 0.9.5
 // e' nata li'). Gli esiti sono DATI, senza testo per l'utente: le frasi si
 // compongono al confine UI/log, mai qui. Si aggancia a P4: una chiave cifrata

package/lib/notify/asks.js

@@ -3,13 +3,13 @@
 // Stato in-memory + persistenza <dir>/asks.json 0600 (sopravvive al restart:
 // un ask aperto resta risponibile). Lo store e' PURO stato: il paste tmux e la
 // notify li orchestra la route (lib/notify/routes.js), che qui fa il ciclo
-// claim -> (paste) -> commit/release (F2: una sola answer puo' vincere).
+// claim -> (paste) -> commit/release (da revisione: una sola answer puo' vincere).
 const path = require('node:path');
 const crypto = require('node:crypto');
 const { readJsonSafe, atomicWriteJson } = require('./persist.js');
 
 const ASKS_FILE = 'asks.json';
-// F5: MAX_OPEN e' un cap DURO sugli ask aperti — al cap il nuovo ask viene
+// da revisione: MAX_OPEN e' un cap DURO sugli ask aperti — al cap il nuovo ask viene
 // RIFIUTATO (reason 'cap'), mai droppato uno aperto. MAX_KEEP pota solo gli
 // answered piu' vecchi dal file.
 const MAX_OPEN = 100;
@@ -72,7 +72,7 @@ function createAsksStore(opts = {}) {
   function create({ question, options, session }) {
     const v = validate({ question, options });
     if (!v.ok) return { ok: false, reason: 'invalid', error: v.error };
-    // F5: cap duro sugli aperti — rifiuto esplicito, MAI drop di ask aperti.
+    // da revisione: cap duro sugli aperti — rifiuto esplicito, MAI drop di ask aperti.
     if (openCount() >= MAX_OPEN) {
       return {
         ok: false,
@@ -103,7 +103,7 @@ function createAsksStore(opts = {}) {
       .map((a) => ({ ...a, ...(a.options ? { options: a.options.slice() } : {}) }));
   }
 
-  // --- ciclo answer F2 (audit): claim atomico open -> answering ---------------
+  // --- ciclo answer (da revisione): claim atomico open -> answering ---------------
   // Node e' single-threaded ma il paste e' un await: due answer concorrenti
   // superavano entrambe il check `answered` prima che una marcasse. Il claim
   // sincrono (nessun await tra check e set) fa vincere UNA sola richiesta; le

package/lib/notify/persist.js

@@ -6,7 +6,7 @@ const fs = require('node:fs');
 const path = require('node:path');
 const crypto = require('node:crypto');
 
-// Legge un JSON (oggetto) da file segreto. Fail-closed (F4 audit): open
+// Legge un JSON (oggetto) da file segreto. Fail-closed (da revisione): open
 // O_NOFOLLOW + fstat sullo STESSO fd (niente race lstat->open), e un file
 // preesistente con symlink, tipo non-regolare, owner inatteso o permessi di
 // gruppo/altri viene RIFIUTATO con errore chiaro — mai riparato in silenzio

package/lib/notify/push.js

@@ -7,7 +7,7 @@
 // Il sender e' iniettabile (webpushImpl) cosi' i test non toccano MAI la rete;
 // la chiave PRIVATA non esce da questo modulo.
 //
-// F7 (audit, threat model SSRF): sendNotification fa una richiesta server-side.
+// da revisione (threat model SSRF): sendNotification fa una richiesta server-side.
 // Ogni endpoint e' https-only, viene risolto sia al subscribe sia immediatamente
 // prima del send, e la richiesta usa un https.Agent con lookup PINNATO agli IP
 // verificati. Cosi' un secondo lookup/DNS rebinding non puo' cambiare destinazione.
@@ -168,7 +168,7 @@ function createPushService(opts = {}) {
   if (!opts.dir) throw new Error('createPushService: dir richiesta');
   const vapidPath = path.join(opts.dir, VAPID_FILE);
   const subsPath = path.join(opts.dir, SUBS_FILE);
-  // F3: closure iniettata dal server — in READONLY questo modulo non scrive MAI
+  // da revisione: closure iniettata dal server — in READONLY questo modulo non scrive MAI
   // (niente generazione VAPID, niente cleanup subscription).
   const readonly = typeof opts.readonly === 'function' ? opts.readonly : () => false;
   const lookupImpl = opts.lookupImpl || dns.promises.lookup;
@@ -191,7 +191,7 @@ function createPushService(opts = {}) {
       vapid = { publicKey: cur.publicKey, privateKey: cur.privateKey };
       return vapid;
     }
-    // F3: la generazione e' una SCRITTURA — vietata in READONLY (503 esplicito,
+    // da revisione: la generazione e' una SCRITTURA — vietata in READONLY (503 esplicito,
     // niente vapid.json fantasma).
     if (readonly()) {
       const e = new Error('READONLY: chiavi VAPID assenti e non generabili (riavvia senza READONLY per il primo setup push)');
@@ -241,7 +241,7 @@ function createPushService(opts = {}) {
   function count() { return readSubs().length; }
 
   // Invia il payload a tutte le subscription. 404/410 (endpoint morto) -> la
-  // subscription si rimuove, MA NON in READONLY (F3: riscrivere push.json e' una
+  // subscription si rimuove, MA NON in READONLY (da revisione: riscrivere push.json e' una
   // scrittura persistente; la notify viene comunque consegnata alle vive).
   // Nessuna subscription -> {sent:0} senza generare VAPID (resta lazy davvero).
   async function sendToAll(payload) {

package/lib/notify/routes.js

@@ -1,7 +1,7 @@
 'use strict';
 // Route del MCP bridge (design §2): notify, web-push, asks. Montate dentro il
 // router /api gia' dietro requireToken (server.js) — qui restano solo:
-//   - READONLY come FLOOR (F3 audit): sono gated 403 TUTTI i mutanti — answer
+//   - READONLY come FLOOR (da revisione): sono gated 403 TUTTI i mutanti — answer
 //     (scrittura PTY via paste), push subscribe/unsubscribe (push.json) e la
 //     CREAZIONE di ask (persiste asks.json e genererebbe domande non
 //     risponibili dallo stesso server). L'UNICA eccezione dichiarata e' la
@@ -9,11 +9,11 @@
 //     push senza persistenza; anche il cleanup delle subscription morte e'
 //     sospeso in READONLY, vedi lib/notify/push.js). Le GET restano lettura
 //     pura: /push/vapid in READONLY non genera chiavi (503 se assenti).
-//   - rate-limit (F1 audit): il campo `session` e' dichiarato dal chiamante e
+//   - rate-limit (da revisione): il campo `session` e' dichiarato dal chiamante e
 //     NON e' un confine di sicurezza — il limite che conta e' GLOBALE per
 //     principal/token (un Bearer = un'installazione); il bucket per-sessione
 //     resta come fairness tra celle oneste. Stessa coppia di limiti sulla
-//     creazione ask (F5).
+//     creazione ask (da revisione).
 //   - validazione input strict fail-closed (schema chiuso per ogni body).
 // Il paste della risposta riusa ESATTAMENTE pasteToSession (bracketed literal,
 // niente Invio, control char rifiutati): qui si sanifica il testo PRIMA.
@@ -43,7 +43,7 @@ const MAX_BODY = 2000;
 const MAX_ANSWER = 3900;
 const MAX_REPLY_LABEL = 48;
 
-// Sliding window in-memory per chiave. La mappa ha un cap duro (F1): entry
+// Sliding window in-memory per chiave. La mappa ha un cap duro (da revisione): entry
 // scadute potate a ogni giro, poi evizione LRU deterministica (ordine di
 // iterazione della Map = ordine di ultimo uso, re-insert ad ogni allow).
 // NB: l'evizione azzera il conteggio del bucket evitto — per questo il cap
@@ -68,7 +68,7 @@ function createRateLimiter({ max = RATE_MAX, windowMs = RATE_WINDOW_MS, maxBucke
   return { allow, size: () => hits.size };
 }
 
-// Coppia di limiti F1/F5: globale per token (confine di sicurezza) + per
+// Coppia di limiti (da revisione): globale per token (confine di sicurezza) + per
 // sessione (fairness). Una richiesta oltre-limite consuma comunque il budget
 // globale: anche lo spam rifiutato e' attivita' del principal.
 function createSenderLimiter(rateCfg = {}) {
@@ -189,7 +189,7 @@ function notifyRoutes({
         // R31-A3: lo status e' DERIVATO dai conteggi, non dichiarato a parte.
         // `emit` e' best-effort — push fallito → 0, `ui` conta i write SSE
         // riusciti — e il dispatcher propaga SOLO l'etichetta (i conteggi
-        // muoiono in forward(), rilievo R1/rc.14): per la cella mittente e'
+        // muoiono in forward(), rilievo da revisione): per la cella mittente e'
         // tutta l'informazione. Non puo' affermare una consegna che i conteggi
         // smentiscono: zero canali raggiunti → 'no-delivery'.
         const status = delivered.ui + delivered.push > 0 ? 'delivered' : 'no-delivery';
@@ -222,7 +222,7 @@ function notifyRoutes({
 
   // --- web-push --------------------------------------------------------------
   // GET lettura pura; in READONLY push.vapidPublicKey() NON genera chiavi e
-  // segnala 503 (e.status) se assenti — F3.
+  // segnala 503 (e.status) se assenti — da revisione.
   r.get('/push/vapid', (_req, res) => {
     try { res.json({ publicKey: push.vapidPublicKey() }); }
     catch (e) { res.status(e.status || 500).json({ error: String(e.message || e) }); }
@@ -232,7 +232,7 @@ function notifyRoutes({
     try {
       const sub = req.body && req.body.subscription;
       const out = await push.subscribe(sub);
-      // F7: cap sul numero di subscription -> 429 (quota), input invalido -> 400.
+      // da revisione: cap sul numero di subscription -> 429 (quota), input invalido -> 400.
       if (!out.ok) return res.status(out.reason === 'cap' ? 429 : 400).json({ error: out.error });
       res.json({ subscribed: true, count: out.count });
     } catch (e) { res.status(500).json({ error: String(e.message || e) }); }
@@ -247,8 +247,8 @@ function notifyRoutes({
   });
 
   // --- asks ------------------------------------------------------------------
-  // F3: gated READONLY (mutGate) — crea stato durevole (asks.json) e domande
-  // che lo stesso server vieterebbe di rispondere. F5: rate-limit creazione
+  // da revisione: gated READONLY (mutGate) — crea stato durevole (asks.json) e domande
+  // che lo stesso server vieterebbe di rispondere. da revisione: rate-limit creazione
   // (globale per token + per sessione) + cap duro dello store -> 429.
   r.post('/asks', mutGate, json, async (req, res) => {
     try {
@@ -294,7 +294,7 @@ function notifyRoutes({
   });
 
   // Dismiss (scarta domanda): NON cancella la riga, la marca `dismissed` (lo
-  // storico serve). Stesso mutGate degli altri mutanti (F3: scrittura durevole).
+  // storico serve). Stesso mutGate degli altri mutanti (da revisione: scrittura durevole).
   // Idempotente; 404 se id inesistente; 409 se answering (claim attivo: non si
   // scarta una risposta in corso). Emette il frame per le UI aperte come fa
   // POST /asks con emitRaw: la card sparisce senza aspettare il poll.
@@ -312,7 +312,7 @@ function notifyRoutes({
     } catch (e) { res.status(500).json({ error: String(e.message || e) }); }
   });
 
-  // Answer: READONLY floor (il paste e' una scrittura PTY). F2 (audit): il
+  // Answer: READONLY floor (il paste e' una scrittura PTY). da revisione: il
   // ciclo e' claim atomico (open -> answering, sincrono, PRIMA dell'await del
   // paste) -> paste -> commit su successo / release su fallimento. Una sola
   // richiesta concorrente vince; le altre vedono 409. Paste fallito -> 502 e

package/lib/proxy/node-proxy.js

@@ -42,7 +42,7 @@ const MUTATING = new Set(['POST', 'PUT', 'PATCH', 'DELETE']);
 // passera' dalla via allowlistata della federazione, mai da questo pass-through
 // generico — che inoltra QUALSIASI path non elencato qui.
 // `/api/route` e `/federation/route` sono qui per una ragione che e' costata un
-// audit: l'origine di una richiesta veniva dedotta dal PATH. Su /api/route il
+// da revisione: l'origine di una richiesta veniva dedotta dal PATH. Su /api/route il
 // gestore assume di parlare col proprietario e non applica gate per-peer; ma un
 // peer poteva farci arrivare quella forma ATTRAVERSO questo stesso pass-through
 // (/node/<A>/api/route/_/panel/<cella>/...), e a quel punto il nodo di
@@ -182,7 +182,7 @@ function proxyHttp(req, res, node, rest, search, httpRequest) {
   // http.request puo' lanciare in modo SINCRONO (es. header value con char
   // invalido dal token del nodo) -> senza try/catch diventa un throw non gestito
   // e Express emette una pagina 500 con lo stack (path interni). Chiudiamo in
-  // 502 JSON come gli altri errori upstream, senza esporre nulla. (fix audit).
+  // 502 JSON come gli altri errori upstream, senza esporre nulla. (fix da revisione).
   let upstream;
   try {
     upstream = httpRequest(options, (up) => {
@@ -298,9 +298,9 @@ function handleNodeUpgrade(ctx) {
     if (settled) { try { upstream.destroy(); } catch (_) {} return; }
     // buildUpgradeRequest/write possono lanciare (header invalido). Settle DOPO il
     // successo dei write: cosi' il catch -> fail(502) e' OPERATIVO (distrugge entrambi
-    // i socket e invia 502) invece di no-op. Prima dell'audit settled veniva messo a
+    // i socket e invia 502) invece di no-op. Prima della revisione settled veniva messo a
     // true PRIMA dei write: un throw li' rendeva fail() un no-op e lasciava entrambi i
-    // socket vivi (leak) senza alcun 502 al client (audit F5).
+    // socket vivi (leak) senza alcun 502 al client (da revisione).
     try {
       upstream.write(buildUpgradeRequest(req.method, parsed.rest, parsed.search, req.headers, node.token, node.localPort));
       if (head && head.length) upstream.write(head);

package/lib/proxy/panel-proxy.js

@@ -88,7 +88,7 @@ function stripLocalTokenQuery(search) {
 // del nostro dominio — inoltrarli significherebbe consegnare al container la
 // sessione del control plane, esattamente cio' che l'Authorization rimossa
 // doveva impedire. E `x-forwarded-*` da un client sono valori che un pannello
-// potrebbe credere veri. Rilievo di un audit indipendente.
+// potrebbe credere veri. Rilievo di una revisione indipendente.
 function isStrippedRequestHeader(key, value) {
   if (HOP_BY_HOP.has(key)) return true;
   if (key === 'cookie' || key === 'host') return true;
@@ -194,7 +194,7 @@ async function resolveTarget(resolveCellPanel, cellId) {
   };
 }
 
-// IL PATH DEL PANNELLO E' `rest`, TAL QUALE. Il contratto D8 (CellPanel): il
+// IL PATH DEL PANNELLO E' `rest`, TAL QUALE. Il contratto da revisione (CellPanel): il
 // frame carica /api/panel/<cella> + il pathname del panelUrl, e il browser
 // risolve le sotto-risorse RELATIVE rispetto a quell'origine — al proxy
 // arrivano sempre path assoluti del pannello. Ricomporli col basePath del

package/lib/pty/attach.js

@@ -6,7 +6,7 @@ const { withUtf8Locale } = require('../runtime/env.js');
 
 // Opens `tmux attach` inside a real PTY, non-destructive for other clients.
 //
-// Size model (emendamento post-audit §5b — deck multi-finestra): la sessione usa
+// Size model (emendamento di revisione — deck multi-finestra): la sessione usa
 // `window-size latest` (impostato dal bridge). Un client "possiede" la geometria
 // SOLO se NON è `ignore-size`. I tile grid/deck attaccano `ignore-size` (non
 // contendono la geometria da N finestre/N ResizeObserver); l'owner è il tile col

package/lib/server.js

@@ -93,7 +93,7 @@ function uiBuildVersion(distDir) {
 function createServer(opts = {}) {
   const cfg = loadConfig(opts);
   assertLoopback(cfg.bind);
-  // Token holder LIVE (audit F7 / §4b(3)): requireToken/verify leggono tokenStore.get()
+  // Token holder LIVE (da revisione di sicurezza): requireToken/verify leggono tokenStore.get()
   // ad ogni richiesta, cosi' una rotazione via Settings API invalida il VECCHIO token
   // (401) e attiva il NUOVO (200) SENZA restart. Prima il token era catturato una volta
   // allo startup e restava valido fino al restart manuale.
@@ -136,7 +136,7 @@ function createServer(opts = {}) {
   // nei test NON scrivono mai nella home reale. Tutto lazy: vapid.json/asks.json
   // nascono al primo uso, non allo startup.
   const notifyDir = cfg.notifyDir || path.dirname(cfg.tokenPath);
-  // READONLY come floor anche dentro il push service (F3): niente generazione
+  // READONLY come floor anche dentro il push service (da revisione): niente generazione
   // VAPID ne' cleanup subscription quando il server e' readonly.
   const bridgeReadonly = () => (cfg.readonlyDefault === true || process.env.NEXUSCREW_READONLY === '1');
   const eventsHub = createEventsHub();
@@ -585,7 +585,7 @@ function createServer(opts = {}) {
     if (!reverseSlotListeners.respond(req, res)) res.status(404).json({ error: 'reverse slot non disponibile' });
   });
 
-  // Pannello per-cella (D8): inoltra il traffico verso il `panelUrl` di UNA cella
+  // Pannello per-cella (da revisione): inoltra il traffico verso il `panelUrl` di UNA cella
   // LOCALE. La destinazione non arriva mai dal chiamante — si risolve dallo stato
   // della cella — e il token di NexusCrew non prosegue verso il pannello, che e'
   // un servizio terzo e non un nodo. Local-only come /api/live-host: il pass-through

package/lib/settings/pairing-coordinator.js

@@ -401,7 +401,7 @@ function createPairHandler(deps) {
           });
       }
 
-      // R19: il JOIN ha rivelato la porta pannello del peer — l'informazione
+      // da revisione: il JOIN ha rivelato la porta pannello del peer — l'informazione
       // che al momento dell'add NON c'era. La riga authorized_keys con DUE
       // destinazioni la emette ADESSO, qui, CHI ha l'informazione: chi ha già
       // incollato la riga di una destinazione è rotto e non lo sa (il server

package/lib/settings/routes.js

@@ -154,7 +154,7 @@ function settingsRoutes(deps = {}) {
   const seams = cfg.settingsSeams || {};
   const localHostname = typeof seams.hostname === 'function' ? seams.hostname : os.hostname;
   // tokenStore/closeSessions iniettati da server.js per la semantica di invalidazione
-  // live (audit F7 / §4b(3)). Assenti nei test unitari puri su routes -> la rotazione
+  // live (da revisione di sicurezza). Assenti nei test unitari puri su routes -> la rotazione
   // scrive solo il file (come prima), senza reload in-memory.
   const tokenStore = deps.tokenStore || null;
   const closeSessions = deps.closeSessions || null;
@@ -164,7 +164,7 @@ function settingsRoutes(deps = {}) {
   // configJsonPath() rispetta NEXUSCREW_CONFIG_FILE (stessa risoluzione di
   // loadConfig): settings API e server DEVONO leggere/scrivere lo STESSO file —
   // il fallback home-based divergeva dalla config del server nelle istanze
-  // isolate via env (bug trovato in audit: smoke test che scrivono la config reale).
+  // isolate via env (bug trovato in revisione: smoke test che scrivono la config reale).
   const configPath = cfg.configPath || configJsonPath();
   const nodesPath = deps.nodesPath || cfg.nodesPath || nodesStore.defaultNodesPath(home);
   const aliasesPath = deps.aliasesPath || cfg.aliasesPath || nodeAliases.defaultAliasesPath(home);
@@ -360,7 +360,7 @@ function settingsRoutes(deps = {}) {
 
   // --- POST /token/rotate — atomico + reload live + chiusura WS; token MAI in risposta
   // Contratto §4b(3): "scrittura atomica del token file + chiusura delle sessioni
-  // WS/API attive locali + reload credenziali proxy". Audit F7: prima questa route
+  // WS/API attive locali + reload credenziali proxy". Da revisione: prima questa route
   // scriveva solo il file, e il server teneva il VECCHIO token in memoria -> restava
   // accettato fino al restart manuale. Ora: (1) scrittura atomica, (2) reload live
   // dell'holder in memoria (requireToken/verify vedono il nuovo), (3) chiusura delle
@@ -548,7 +548,7 @@ function settingsRoutes(deps = {}) {
   });
 
   // --- POST /nodes/:name/up|down|restart — lifecycle tunnel ------------------
-  // GATE READONLY (audit F6, contract §4b(6): "restart processi tunnel" e' tra i
+  // GATE READONLY (da revisione, contract §4b(6): "restart processi tunnel" e' tra i
   // mutanti della lista chiusa e NEXUSCREW_READONLY blocca TUTTI i mutanti). Prima
   // questi endpoint erano esplicitamente NON gated ("decisione B0") — ma cio'
   // contradiceva il contratto duro §4b(6): up/down/restart mutano processi e vanno

package/lib/tmux/lifecycle.js

@@ -4,7 +4,7 @@ const path = require('node:path');
 const { execFile } = require('node:child_process');
 const { alternateScreenArgs, minimalEnv, tmuxExec } = require('../fleet/launch.js');
 
-// Preset allowlistati (audit F1): il client sceglie un NOME, mai un comando.
+// Preset allowlistati (da revisione): il client sceglie un NOME, mai un comando.
 // Estendibili da config.json `sessionPresets` (name -> array argv di stringhe).
 const PRESETS = { shell: null, claude: ['claude'], 'codex-vl': ['codex-vl'], pi: ['pi'] };
 
@@ -13,7 +13,7 @@ function validSessionName(name) {
   return typeof name === 'string' && NAME_RE.test(name) && !name.startsWith('-');
 }
 
-// cwd reale sotto la home reale (audit F1): realpath su ENTRAMBI, così un
+// cwd reale sotto la home reale (da revisione): realpath su ENTRAMBI, così un
 // symlink dentro home che punta fuori viene rifiutato.
 function resolveCwd(cwd, home) {
   try {
@@ -25,7 +25,7 @@ function resolveCwd(cwd, home) {
   } catch (_) { return null; }
 }
 
-// Denylist kill INDIPENDENTE dal registry (audit F2): qualunque cloud-* è
+// Denylist kill INDIPENDENTE dal registry (da revisione): qualunque cloud-* è
 // protetta anche con fleet assente/rotto; in più le tmuxSession del registry.
 function isProtectedSession(name, isCellSession) {
   if (/^cloud-/i.test(String(name))) return true;
@@ -73,7 +73,7 @@ async function createSession(tmuxBin, { name, cwd, preset }, {
   if (typeof ensureProtection === 'function') await ensureProtection();
   await new Promise((resolve, reject) => {
     if (!validSessionName(name)) return reject(httpError(400, 'nome sessione non valido'));
-    // Il namespace cloud-* e' delle celle fleet (audit finale #1): una generica
+    // Il namespace cloud-* e' delle celle fleet (da revisione finale): una generica
     // con quel prefisso occuperebbe il binding per-nome e sarebbe poi 409 al kill.
     if (/^cloud-/i.test(name)) return reject(httpError(409, 'namespace riservato alle celle (cloud-*): usa fleet up'));
     const real = resolveCwd(String(cwd || home), home);

package/lib/tmux/preview.js

@@ -49,7 +49,7 @@ function analyzeCapture(raw) {
 }
 
 // Sampler con cache per sessione, concorrenza limitata e timeout: la preview è
-// best-effort — errori → null, MAI nel log (audit F7).
+// best-effort — errori → null, MAI nel log (da revisione).
 function createPreviewSampler(tmuxBin, { ttlMs = 3000, timeoutMs = 1500, maxConcurrent = 4 } = {}) {
   const cache = new Map();        // session -> {at, value}
   let inFlight = 0;

package/lib/update/runner.js

@@ -10,7 +10,7 @@ const {
   stableRuntimeDir,
 } = require('./core.js');
 
-// R28 — rigenerazione delle definizioni di boot dopo l'installazione.
+// da revisione — rigenerazione delle definizioni di boot dopo l'installazione.
 //
 // L'aggiornamento del pacchetto sposta i path versionati che le unit/plist
 // scrivono LETTERALMENTE (node del Cellar su Homebrew, pacchetto in
@@ -28,7 +28,7 @@ const {
 // Contratto: sana SOLO le definizioni che ESISTONO già (il boot è opt-in:
 // l'update non installa un companion mai chiesto); attivazione differita
 // (activate:false) perché il companion RunAtLoad/oneshot non va eseguito a
-// metà update — R28-rimedio: l'attivazione la APPLICA healBootDefinitions
+// metà update — rimedio da revisione: l'attivazione la APPLICA healBootDefinitions
 // nel percorso di update (daemon-reload / bootout+bootstrap), non un restart
 // che non carica le definizioni; un fallimento NON blocca l'aggiornamento
 // (il comportamento senza questo passo era proprio quello) ma viene LOGGATO
@@ -103,7 +103,7 @@ function regenBootDefinitions(opts = {}) {
       out.skipped.push(`${target.component}: nessuna definizione installata, nulla da sanare`);
       continue;
     }
-    // R28-rimedio, difetto 3 (audit): symlink e directory al posto del target
+    // rimedio da revisione, difetto 3: symlink e directory al posto del target
     // erano già saltati, ma un FILE REGOLARE DI TERZI veniva sovrascritto. Le
     // definizioni che generiamo portano tutte il nome del progetto nell'header
     // (systemd: «# NexusCrew service», plist: Label com.mmmbuto.nexuscrew):
@@ -111,7 +111,7 @@ function regenBootDefinitions(opts = {}) {
     // — lo skip è dichiarato, non silenzioso. Un file illeggibile non blocca
     // la sanazione (si presume nostro: il caso terzi è il contenuto leggibile
     // che dichiara altro).
-    // R28 (audit rev2): la proprieta' si riconosce da un'ancora STRUTTURALE del
+    // da revisione: la proprieta' si riconosce da un'ancora STRUTTURALE del
     // nostro generatore (isOurService/isOurFleetService), non dalla parola
     // «nexuscrew» presente nel file: un unit di terzi che ci nomina in un
     // commento veniva sovrascritto. E cio' che NON si riesce a leggere non si
@@ -147,7 +147,7 @@ function regenBootDefinitions(opts = {}) {
   return out;
 }
 
-// R28-rimedio, difetto 2 (audit): l'attivazione differita dichiarata dalla
+// rimedio da revisione, difetto 2: l'attivazione differita dichiarata dalla
 // regen era una promessa FALSA in silenzio. `restart` fa `systemctl --user
 // restart` SENZA daemon-reload (systemd riavvia con la definizione VECCHIA
 // in memoria) e `launchctl kickstart` riusa la definizione già caricata; col
@@ -365,9 +365,9 @@ async function runUpdate(opts = {}) {
     installedNew = true;
     await preflightImpl({ version, home });
     writeState(statusPath, { ...readState(statusPath), phase: 'restarting', updaterPid: process.pid, lastError: '' });
-    // R28: sana le definizioni di boot PRIMA del riavvio — è il passo che
+    // da revisione: sana le definizioni di boot PRIMA del riavvio — è il passo che
     // manca al percorso di upgrade e che lasciava la companion puntata a un
-    // binario morto (exit 78, silenzio). R28-rimedio: la sanazione ora
+    // binario morto (exit 78, silenzio). rimedio da revisione: la sanazione ora
     // APPLICA anche l'attivazione differita (healBootDefinitions) — il
     // restart da solo non caricava le definizioni riscritte. Best-effort
     // DICHIARATO: un errore qui non blocca l'aggiornamento, viene loggato e
@@ -391,9 +391,9 @@ async function runUpdate(opts = {}) {
         });
         if (String(readInstalledVersion() || '') !== previousVersion) throw new Error(`rollback verify: attesa ${previousVersion}`);
         await preflightImpl({ version: previousVersion, home, rollback: true });
-        // R28: il rollback riparte dalle stesse definizioni sane — il
+        // da revisione: il rollback riparte dalle stesse definizioni sane — il
         // downgrade reinstalla il pacchetto nel prefix attuale e i path
-        // vivi valgono anche per la versione precedente. R28-rimedio:
+        // vivi valgono anche per la versione precedente. rimedio da revisione:
         // anche qui sanazione+attivazione (heal), non la sola regen.
         (opts.healBootImpl || healBootDefinitions)({
           home, running: wasRunning, execImpl, ...(opts.regenSeams || {}),