Recuperación social (guardianes)
Del concepto a la integración. Cada decisión tiene una razón.
Umbral = guardianes externos + 1. Nyx sola no alcanza el umbral.
Cuando la passkey no viaja con el usuario, entra la red de guardianes.
Un guardián no tiene ningún fragmento de la llave. No firma, no ve saldos, no mueve fondos. Lo único que puede hacer es votar, junto con otros, para nombrar un firmante nuevo en la cuenta inteligente. Es un mecanismo de recuperación, no de acceso.
Cómo está diseñado el quórum#
El roster por defecto es Nyx + la passkey del usuario + una segunda credencial del usuario: dos de los tres asientos son del propio usuario.
El umbral se deriva, no es una constante:
umbral = (guardianes que no son del usuario) + 1Con el roster por defecto sale 2. Si una aplicación integradora entra como guardián, el umbral sube a 3, de modo que la coalición {Nyx, aplicación} sigue sin alcanzarlo. Un asiento de integrador solo entra en un roster si el usuario lo autoriza con una firma de su segunda credencial; el servidor lo rechaza si no.
Nyx puede ocupar como máximo un asiento por roster, y cada voto lleva una firma verificable contra la dirección que ese guardián registró: Nyx no puede fabricar el voto de nadie.
Protecciones del proceso#
- Hay un plazo de espera antes de que una recuperación sea efectiva, aunque el umbral ya esté cubierto.
- El firmante actual puede vetarla mientras conserve acceso.
- Los cambios de roster están atados al dueño registrado de la cuenta.
Estado de recuperación#
La aplicación puede leer y mostrar en qué situación está el usuario:
| Estado | Significa |
|---|---|
NO_GUARDIANS | No existe ninguna vía de recuperación social para esta cuenta. |
NO_SECOND_CREDENTIAL | Hay guardianes, pero el usuario solo aporta una credencial: no hay red de recuperación. |
CONFIGURED | El usuario aporta dos credenciales propias: la red existe. |
Este estado existe porque el diseño tiene una consecuencia incómoda que no puede pasar en silencio: un usuario que no configura su segunda credencial se queda sin red. Es más honesto que la alternativa —una red que en realidad controlan Nyx y la aplicación entre las dos— pero el usuario tiene que enterarse cuando decide no configurarla, no en unos términos que nadie lee.