@otixe/pi-oficinas 0.0.0-stage → 0.1.0

package/CHANGELOG.md

@@ -0,0 +1,10 @@
+# Changelog
+
+## 0.1.0 (unreleased staging)
+
+- Extract five independently loadable Pi packages from current template/body sources.
+- Replace installation-specific configuration and credentials with explicit examples/environment.
+- Preserve fail-closed identity, durable plan ACK, tool membership and session/pane gates.
+- Remove private canonical-team and layout-v1 compatibility.
+- Add neutral examples, English/Spanish docs and isolated validation.
+- No automatic deployment or publication.

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Otixe
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.es.md

@@ -0,0 +1,49 @@
+# @otixe/pi-oficinas
+
+Una sola sesión Pi programa, revisa e investiga a la vez. Convertí esa sobrecarga en un equipo persistente: cada oficina conserva historial, identidad, credenciales y bandeja propios, con relevos verificados antes de empezar el trabajo.
+
+[English](README.md) · MIT
+
+## Dolores que resuelve
+
+- Una sesión haciendo todos los roles → coordinación persistente líder/oficinas.
+- Confusión de credenciales o sesiones → roles explícitos, key propia y gate de apertura con nonce fresco.
+- Trabajo pendiente invisible → timbres, correspondencia y turnos locales de VM.
+
+![Una sesión sobrecargada se convierte en un equipo persistente](media/preview.png)
+
+## Instalación en un comando
+
+Desde un checkout local revisado:
+
+```sh
+pi install ./packages/pi-oficinas
+```
+
+### Requisitos y configuración
+
+Pi 1.4.0, Python 3.10+, Herdr y su integración oficial (`herdr integration install pi`).
+
+1. Adaptá `examples/equipo.json` y `examples/distribucion.json` (sólo schema 2), con rutas absolutas dentro de tu base. Pinneá `pi_bin` o instalá `<base>/runtime/node_modules/.bin/pi`: nunca se adivina el runtime global.
+2. Configurá `PI_OFICINAS_EQUIPO` como archivo propio sin symlink. El pointer `.env` de cada cuerpo debe ser único y privado (`0600`). Declarará `AGENT_NAME`, `BODY_ROLE`, `AGENT_ENABLED`, variable de credencial propia y `SOUL_PATH`; `examples/.env.example` no trae credenciales.
+3. Prepará/revisá cuerpos, fichas líder/oficina idénticas, `.pi/APPEND_SYSTEM.md` y `.pi/oficina-body`. El SOUL y la ficha de ejemplo están **inactivos**: no autorizan identidades de producción. La CLI no crea cuerpos automáticamente.
+4. Proveé una integración confiable con `cb_whoami` y `cb_vault_read`. Configurá `CEREBRO_BASE`, `CEREBRO_AUTH_HEADER` (default `X-API-Key`) y `PI_OFICINAS_HUMAN` (default `human`).
+5. Desde el package, ejecutá `python3 bin/oficina --equipo /absolute/path/equipo.json abrir worker` en el pane líder revisado. El gate verifica resultados frescos de identidad/SOUL propio, modelo/thinking, tools, sesión y propiedad del pane. El marker solo no autoriza nada.
+
+Sin equipo/cuerpo explícito coincidente, secretaría queda inactiva. Siguen los campos opcionales `pi_coding_agent_dir`, `pi_coding_session_dir`, `relanzar_modo`. Mini puede compartir sólo la identidad de su padre por opt-in local; `PI_OFICINAS_MINI_MODEL` permite pin de modelo canónico. Nunca heredar keys de otro rol.
+
+## Verificación y rollback
+
+Para quitarlo, `pi remove SOURCE` y reiniciá/recargá tu sesión de prueba; preservá logs, snapshots y sesiones.
+
+Configuración del monorepo y validación reproducible: [README](https://github.com/otixe/pi-oficinas/blob/main/README.es.md), [VALIDATION](https://github.com/otixe/pi-oficinas/blob/main/VALIDATION.md).
+
+## Seguridad y límites
+
+Revisá el código antes de instalar: las extensiones ejecutan con permisos del proceso, **no en un sandbox**. El gate no reemplaza autorización del backend o aislamiento del sistema operativo. La CLI no crea cuerpos automáticamente; los perfiles neutros están inactivos y el marker solo no autoriza nada. Nunca heredar keys de otro rol. No se incluye cliente Cerebro, credenciales ni almas reales.
+
+Validado en Pi 1.4.0; los cinco paquetes host son peerDependencies `"*"`, nunca copias incluidas. Peers wildcard no prometen compatibilidad con todas las versiones del host. Las pruebas usan Pi/Herdr reales y modelo/backend simulados: **no certifican autenticación productiva**. La instalación requiere revisar fuente/trust.
+
+Para archivos locales, extraé el tarball e instalá su directorio `package`: Pi 1.4.0 no carga sources de extensión `.tgz` aunque `pi install` tenga éxito. La instalación literal devuelve 0; la carga/print falla con exit 1. El README raíz muestra el comando de extracción soportado.
+
+La instalación desde registry usa `pi install npm:@otixe/pi-oficinas@0.1.0` una vez liberada esa versión por el publicador. Los sources npm y URLs de repositorio/galería requieren publicación autorizada por separado; un checkout local no los vuelve disponibles.

package/README.md

@@ -1,3 +1,49 @@
-# Temporary Holding Version
+# @otixe/pi-oficinas
 
-This version is a temporary placeholder for this package. An operational version to replace this has been submitted for review and is awaiting a staged release.
+One Pi session is coding, reviewing and researching at once. Split it into a persistent team: each office keeps its own session history, identity, credentials and inbox, with checked handoffs before work begins.
+
+[Español](README.es.md) · MIT
+
+## Problems it removes
+
+- One session juggling every role → persistent leader/office coordination.
+- Accidental credential or session mix-ups → explicit roles, own-key resolution and nonce-bound opening gates.
+- Invisible pending work → task bells, correspondence and local VM-turn coordination.
+
+![One overloaded session becomes a persistent team](media/preview.png)
+
+## Install in one command
+
+From a reviewed local checkout:
+
+```sh
+pi install ./packages/pi-oficinas
+```
+
+### Requirements and configuration
+
+Pi 1.4.0, Python 3.10+, Herdr and its official Pi integration (`herdr integration install pi`).
+
+1. Adapt `examples/equipo.json` and `examples/distribucion.json` (schema 2 only). Use absolute paths under your own team base. Set a local `pi_bin` runtime pin or provision `<base>/runtime/node_modules/.bin/pi`; no global-runtime guess.
+2. Set `PI_OFICINAS_EQUIPO` to an owned, nonsymlink configuration. Each body’s `.env` pointer must be unique and private (`0600`). Configure `AGENT_NAME`, `BODY_ROLE`, `AGENT_ENABLED`, own credential variable and `SOUL_PATH`; `examples/.env.example` has no credentials.
+3. Provision/review body directories, matching leader/body agent profiles, `.pi/APPEND_SYSTEM.md` and `.pi/oficina-body`. The neutral example SOUL/profile are **inactive**, not production identities. Body creation is not automatic.
+4. Supply a trusted backend integration with `cb_whoami` and `cb_vault_read`. Set `CEREBRO_BASE`, optional `CEREBRO_AUTH_HEADER` (default `X-API-Key`) and `PI_OFICINAS_HUMAN` (default `human`).
+5. From the package directory, run `python3 bin/oficina --equipo /absolute/path/equipo.json abrir worker` inside the reviewed leader Herdr pane. The gate verifies fresh own-identity/SOUL tool results, model/thinking, tools, session and pane ownership. A marker alone grants nothing.
+
+The secretary is inactive without a matching explicit body/team. Optional `pi_coding_agent_dir`, `pi_coding_session_dir`, `relanzar_modo` remain schema fields. A mini-helper may share only its own parent’s identity by body-local opt-in; `PI_OFICINAS_MINI_MODEL` can pin its canonical model. Never inherit another role’s key.
+
+## Validation and rollback
+
+To remove, `pi remove SOURCE`, then reload/restart your test session; preserve logs, snapshots and sessions.
+
+Full monorepo configuration and reproducible validation: [README](https://github.com/otixe/pi-oficinas/blob/main/README.md), [VALIDATION](https://github.com/otixe/pi-oficinas/blob/main/VALIDATION.md).
+
+## Security & limits
+
+Review extension code before installation: it runs with process permissions, **not inside a sandbox**. Opening gates do not replace backend authorization or OS isolation. Body creation is not automatic; neutral profiles are inactive and a marker alone grants nothing. Never inherit another role's key. This package does **not** ship a Cerebro client, credentials or real souls.
+
+Validated on Pi 1.4.0; the five host packages are peerDependencies `"*"`, never bundled copies. Wildcard peers are not a promise of compatibility with every host version. Tests use real Pi/Herdr with model/backend doubles and do **not** certify production authentication. Review source/trust before installation.
+
+For local archives, extract the tarball and install its `package` directory: Pi 1.4.0 does not load `.tgz` extension sources even when `pi install` succeeds. The literal install exits 0; print/load exits 1. See the monorepo README for the supported extraction command.
+
+Registry installation uses `pi install npm:@otixe/pi-oficinas@0.1.0` once the publisher releases that version. npm sources and repository/gallery URLs require separately authorized publication; a local checkout does not make them available.

package/bin/equipo_config.py

@@ -0,0 +1,138 @@
+"""Fail-closed, secret-free configuration shared by the office Python CLI.
+
+The path is explicit (--equipo), inherited (PI_OFICINAS_EQUIPO), or local to
+this package. Never resolve a missing file against the caller's cwd.
+"""
+import json
+import os
+import pwd
+from pathlib import Path
+import re
+import stat
+
+ROOT = Path(__file__).resolve().parents[1]
+# Source checkout owns a canonical legacy config; a vendored team package owns
+# only its parent's config. Neither case selects a foreign cwd silently.
+DEFAULT_PATH = ROOT / 'equipo.json' if (ROOT / 'equipo.json').is_file() else ROOT.parent / 'equipo.json'
+FIELDS = frozenset(('version', 'lider', 'lider_key_env', 'office_key_prefix',
+                    'base', 'lider_body', 'oficinas', 'distribucion', 'soul_prefix'))
+OPTIONAL_FIELDS = frozenset(('souls', 'secretaria', 'pi_bin', 'relanzar_modo',
+                            'pi_coding_agent_dir', 'pi_coding_session_dir'))
+SECRETARIA_BOOL_FIELDS = frozenset(('monitor', 'avisos', 'contexto', 'correo', 'correo_respaldo'))
+SECRETARIA_RANGES = {'quiet_min': (1, 1440), 'parada_min': (1, 1440), 'pegada_min': (1, 1440),
+                     'reentrada_cooldown_min': (60, 1440), 'contexto_aviso': (1, 99),
+                     'contexto_ttl_min': (1, 1440), 'gracia_min': (0, 60), 'correo_cada_min': (1, 1440),
+                     'correo_tope_diario': (1, 1000), 'correo_tope_hora': (1, 100), 'confirmacion_min': (1, 1440)}
+NAME = re.compile(r'[a-z][a-z0-9-]{0,39}\Z')
+ENV = re.compile(r'[A-Z][A-Z0-9_]*\Z')
+SOUL = re.compile(r'50 Agents/[A-Za-z0-9 -]+(?:/[A-Za-z0-9 -]+)*\Z')
+SOUL_FILE = re.compile(r'50 Agents/[A-Za-z0-9 -]+(?:/[A-Za-z0-9 -]+)*/SOUL\.md\Z')
+
+
+def soul_path(config, agent):
+    return config.get('souls', {}).get(agent) or f"{config['soul_prefix']}/{agent}/Vigente/SOUL.md"
+
+
+
+def _unique(pairs):
+    result = {}
+    for key, value in pairs:
+        if key in result:
+            raise ValueError(f'clave duplicada: {key}')
+        result[key] = value
+    return result
+
+
+def _real_path(value, *, directory=False):
+    if not isinstance(value, str) or not value or '\x00' in value:
+        raise ValueError('ruta ausente/inválida')
+    path = Path(value)
+    if not path.is_absolute() or '..' in path.parts or str(path) != value:
+        raise ValueError('ruta debe ser absoluta, normalizada y sin traversal')
+    for parent in (path, *path.parents):
+        if parent.is_symlink():
+            raise ValueError(f'ruta con symlink: {parent}')
+    if directory and (not path.is_dir() or not stat.S_ISDIR(path.stat().st_mode)):
+        raise ValueError(f'directorio inexistente: {path}')
+    return path
+
+
+def load_equipo(path=None, *, legacy_anchor=None):
+    selected = path if path is not None else os.environ.get('PI_OFICINAS_EQUIPO')
+    if not selected:
+        raise ValueError('Usar --equipo o PI_OFICINAS_EQUIPO; no hay equipo implícito')
+    implicit = path is None and not os.environ.get('PI_OFICINAS_EQUIPO')
+    source = _real_path(str(selected))
+    if not source.is_file() or not stat.S_ISREG(source.stat().st_mode):
+        raise ValueError(f'config de equipo inexistente/no regular: {source}')
+    if source.stat().st_uid != os.getuid() or source.stat().st_mode & 0o022:
+        raise ValueError('config de equipo no pertenece al usuario o escribible por grupo/otros')
+    try:
+        data = json.loads(source.read_text(encoding='utf-8'), object_pairs_hook=_unique)
+    except (OSError, UnicodeError, json.JSONDecodeError) as exc:
+        raise ValueError(f'config de equipo inválida: {exc}') from exc
+    if (not isinstance(data, dict) or not FIELDS.issubset(data) or
+            data.keys() - FIELDS - OPTIONAL_FIELDS or
+            type(data['version']) is not int or data['version'] != 2):
+        raise ValueError('config de equipo: esquema version 2 exacto requerido')
+    if 'secretaria' in data:
+        secretaria = data['secretaria']
+        if (not isinstance(secretaria, dict) or
+                set(secretaria) - SECRETARIA_BOOL_FIELDS - SECRETARIA_RANGES.keys() or
+                any(type(secretaria.get(key)) is not bool for key in SECRETARIA_BOOL_FIELDS if key in secretaria) or
+                any(type(secretaria.get(key)) is not int or
+                    not SECRETARIA_RANGES[key][0] <= secretaria[key] <= SECRETARIA_RANGES[key][1]
+                    for key in SECRETARIA_RANGES if key in secretaria)):
+            raise ValueError('secretaria inválida: flags booleanos y umbrales dentro de rango')
+    lider = data['lider']
+    offices = data['oficinas']
+    if not isinstance(lider, str) or not NAME.fullmatch(lider):
+        raise ValueError('lider inválido')
+    if (not isinstance(offices, list) or not offices or len(offices) > 20
+            or any(not isinstance(n, str) or not NAME.fullmatch(n) for n in offices)
+            or len(set(offices)) != len(offices) or lider in offices):
+        raise ValueError('oficinas inválidas, repetidas o incluyen líder')
+    for key in ('lider_key_env', 'office_key_prefix'):
+        value = data[key]
+        if not isinstance(value, str) or not ENV.fullmatch(value):
+            raise ValueError(f'{key} inválido')
+    if not data['office_key_prefix'].endswith('_'):
+        raise ValueError('office_key_prefix debe terminar en _')
+    if data['lider_key_env'] in {data['office_key_prefix'] + n.upper().replace('-', '_') for n in offices}:
+        raise ValueError('key líder colisiona con variable de oficina')
+    soul = data['soul_prefix']
+    if not isinstance(soul, str) or not SOUL.fullmatch(soul) or '..' in soul.split('/'):
+        raise ValueError('soul_prefix inválido')
+    souls = data.get('souls', {})
+    if (not isinstance(souls, dict) or
+            any(agent not in {lider, *offices} or not isinstance(path, str) or
+                not SOUL_FILE.fullmatch(path) or '..' in path.split('/')
+                for agent, path in souls.items())):
+        raise ValueError('souls inválido: roles propios y rutas dentro del vault terminadas en SOUL.md')
+    base = _real_path(data['base'], directory=True)
+    body = _real_path(data['lider_body'], directory=True)
+    if 'relanzar_modo' in data and data['relanzar_modo'] not in ('fresco', 'retomar'):
+        raise ValueError('relanzar_modo debe ser fresco o retomar')
+    if 'pi_bin' in data:
+        expected_pi_bin = str(base / 'runtime' / 'node_modules' / '.bin' / 'pi')
+        if not isinstance(data['pi_bin'], str) or data['pi_bin'] != expected_pi_bin:
+            raise ValueError('pi_bin debe ser <base>/runtime/node_modules/.bin/pi; no usar pin global')
+    if 'pi_coding_agent_dir' in data and data['pi_coding_agent_dir'] != '.pi-agent':
+        raise ValueError('pi_coding_agent_dir debe ser .pi-agent; sin la clave pi usa ~/.pi/agent')
+    if 'pi_coding_session_dir' in data and data['pi_coding_session_dir'] != 'sessions':
+        raise ValueError('pi_coding_session_dir debe ser sessions bajo cada cuerpo')
+    if body == base or not body.is_relative_to(base):
+        raise ValueError('lider_body fuera de base')
+    distribution = data['distribucion']
+    if (not isinstance(distribution, str) or not re.fullmatch(r'[A-Za-z0-9_-]+\.json', distribution)):
+        raise ValueError('distribucion debe ser nombre de archivo JSON bajo base')
+    _real_path(str(base / distribution))
+    _real_path(str(base / 'registro.json'))
+    for name in offices:
+        _real_path(str(base / name))
+    return data
+
+
+def paths(config):
+    base = Path(config['base'])
+    return base, Path(config['lider_body']), base / 'registro.json', base / config['distribucion']