wlmaker 1.8.1 → 1.9.1

package/README.md

@@ -60,8 +60,9 @@ Te va a recibir un menú interactivo con todas las opciones disponibles:
 ```
 ┌  wlmaker  ┐
 │           │
-◇  What do you want to create?
-│  ● App
+◇  What do you want to do?
+│  ● Vault          NEW — sync encrypted STG/PROD…
+│  ○ App
 │  ○ BLoC
 │  ○ Widget
 │  ○ Widgetbook Use-Case
@@ -69,7 +70,6 @@ Te va a recibir un menú interactivo con todas las opciones disponibles:
 │  ○ Endpoint
 │  ○ Package
 │  ○ Env Var
-│  ○ Personal Information
 │  ○ Collaborative
 │  ○ Docs
 └           ┘
@@ -534,6 +534,89 @@ packages/personal_information/lib/countries/<code>/
 
 ---
 
+### 4.14 Vault — Compartir Variables de Entorno Cifradas
+
+> **Guía para el día a día:** [`docs/VAULT.md`](docs/VAULT.md) — onboarding, cuándo hacer apply/capture y FAQ (español neutro).
+
+**Cuándo usarlo:** cuando necesitás distribuir valores reales de `development.env.json`
+(STG) y `production.env.json` (PROD) entre el equipo sin mandarlos por Slack ni 1Password,
+y sin perder el rastro de quién tiene acceso. Vault guarda cada valor cifrado dentro del
+repo (`.wlmaker.vault.json`) y solo lo materializa en texto plano en tu máquina cuando vos
+lo pedís explícitamente con Apply.
+
+Vault **complementa** a `wlmaker env-var` (4.7), no lo reemplaza: primero declarás la
+variable con `env-var` (eso la agrega a `example.env.json`, la plantilla committeada), y
+recién después la capturás en el Vault con el valor real. `example.env.json` sigue siendo
+el allowlist — Capture rechaza cualquier clave que no esté ahí, porque los nombres viajan
+en texto plano dentro del ciphertext y en v1 todo el equipo aprobado puede descifrar STG y
+PROD.
+
+#### Identidad local (una sola vez por persona)
+
+Cada persona tiene un par de llaves X25519 en `~/.wlmaker/identity`, cifrado en disco con
+una passphrase que vos elegís (scrypt + AES-256-GCM). Nadie más puede usar tu identidad sin
+esa passphrase, y no existe una "llave maestra": perder el archivo *y* la passphrase te deja
+sin acceso hasta que alguien te vuelva a aprobar.
+
+#### Modo interactivo
+
+```bash
+wlmaker
+# → Vault (primera opción del menú)
+# o: wlmaker vault
+```
+
+El submenú de Vault ofrece:
+
+| Acción | Qué hace |
+|--------|----------|
+| Status | Apps capturadas, cantidad de recipients/pendientes, tu estado de acceso |
+| Init | Crea el vault (una sola vez por monorepo) con vos como primer recipient |
+| Capture | Sella los valores locales de un app en el vault (respeta el allowlist de `example.env.json`) |
+| Apply | Descifra y escribe los valores del vault en `development.env.json` / `production.env.json` locales |
+| Diff | Compara tus archivos locales contra el vault sin mostrar valores descifrados |
+| Request Access | Pide unirte al keyring compartido (no necesita tener acceso previo) |
+| Approve | Aprueba una solicitud pendiente y le da acceso a STG + PROD juntos |
+| Who | Lista recipients y solicitudes pendientes (sin exponer llaves) |
+| Identity | Muestra tu fingerprint y clave pública (para compartir al pedir acceso) |
+| Revoke | Saca a un recipient y rota la data key compartida, invalidando su copia anterior |
+
+#### Modo directo
+
+```bash
+wlmaker vault status
+wlmaker vault init
+wlmaker vault capture --app co_jumbo
+wlmaker vault apply --app co_jumbo --env production
+wlmaker vault diff --app co_jumbo
+wlmaker vault who
+wlmaker vault identity
+wlmaker vault revoke
+```
+
+| Opción | Aplica a | Descripción |
+|--------|----------|-------------|
+| `--app <name>` | `capture`, `apply`, `diff` | App a targetear (si se omite, te lo pregunta) |
+| `--env <development\|production>` | `capture`, `apply`, `diff` | Limita a un solo entorno (default: ambos) |
+| `--force` | `capture` | Sella claves no declaradas en `example.env.json` sin la confirmación tipeada |
+
+Si corrés `wlmaker vault` sin una acción, se abre el mismo submenú interactivo.  
+(`wlmaker app vault` sigue funcionando como alias.)
+
+#### Qué se commitea y qué no
+
+| Archivo | Se commitea | Contenido |
+|---------|-------------|-----------|
+| `.wlmaker.vault.json` (raíz del monorepo) | **Sí** | Ciphertext AES-256-GCM por valor, nombres de variable en texto plano, recipients y su llave pública |
+| `apps/<app>/env/example.env.json` | **Sí** | Plantilla — nombres de variables permitidas, sin valores reales |
+| `apps/<app>/env/development.env.json` / `production.env.json` | **No** (gitignored) | Valores reales en texto plano, escritos solo por Apply |
+| `~/.wlmaker/identity` | **No** — vive fuera del repo | Tu llave privada X25519, cifrada con tu passphrase |
+
+Antes de escribir un archivo, Apply verifica que el `.gitignore` de `apps/<app>/env/` lo
+cubra (`*.json` + `!example.env.json`); si no puede probarlo, aborta sin escribir nada.
+
+---
+
 ## 5. Herramientas de Documentación
 
 ### 5.1 Servir Documentación (Docusaurus)
@@ -708,6 +791,7 @@ El scaffold de Personal Information requiere al menos un AppType definido en
 | `wlmaker endpoint` | — | — | Stack completa de endpoint BFF |
 | `wlmaker package` | — | — | Crear paquete en el monorepo |
 | `wlmaker env-var` | — | — | Agregar variable de entorno |
+| `wlmaker vault` | `[status\|init\|capture\|apply\|diff\|request-access\|approve\|who\|identity\|revoke]` | `--app`, `--env`, `--force` | Vault: sincronizar env cifrados entre el equipo |
 | `wlmaker app` | — | — | Crear y gestionar apps |
 
 ### Comandos colaborativos