Notas de versión

Los aspectos destacados a continuación están organizados por versión, de la más reciente a la más antigua. Ver Instalación para obtener kovra.

v0.12.1 — la licencia Free en el servicio de licencias nuevo de Kaeus · vea qué firma

La licencia Free pasa al servicio de licencias nuevo de Kaeus. kovra 0.12.1 activa y renueva ahí; kovra 0.12.0 usaba el anterior, que Kaeus está retirando. Nada cambia para sus secretos: la licencia solo decide si kovra se puede actualizar.
Si activó esta Mac con kovra 0.12.0, actívela otra vez. Después de la actualización, kovra license status, kovra doctor y la app de la barra de menús dicen que esta Mac se activó en el servicio anterior. Pida a Kaeus un código nuevo por Soporte, indicando que esta Mac se activó con la 0.12.0, y ejecute kovra license activate con él; Kaeus libera el cupo anterior. Vea Después de actualizar desde la 0.12.0.
Vea lo que firma. kovra sign <coord> --reason "<texto>" <archivo> indica para qué es la firma, en una línea que kovra muestra como texto de quien la pide, nunca como propio. Toda firma que pide aprobación muestra ahora el tamaño del archivo firmado, su tipo y su SHA-256, para compararlo con shasum -a 256 <archivo>, y advierte cuando un texto esconde caracteres. En la ventana de aprobación de kovra, Review document… abre el documento mismo: un texto con sus líneas numeradas (una página Markdown o HTML, también renderizada, sin que nada pueda ejecutarse ni cargarse) o un PDF; mientras está abierto, nada se aprueba. El teléfono recibe el motivo y el SHA-256; el documento no sale de la Mac. El motivo y el SHA-256 quedan en la auditoría. Vea Qué muestra la aprobación de una firma.
Solo macOS (Apple Silicon).

v0.12.0 — preflight · la licencia Free · reglas de aprobación por grado

Próximamente: apruebe desde su iPhone. kovra Mobile, la app de aprobación gratuita para iPhone, todavía no está disponible: se publicará en el App Store cuando esté estable. kovra 0.12.0 ya incluye la parte de la Mac: vincule la app con kovra phone pair (escanee el QR, compare el código de 6 dígitos y apruebe la vinculación en la Mac). Desde entonces cada aprobación también se puede responder en el teléfono con Face ID, y gana la primera respuesta. Por SSH el teléfono es el lugar donde aprobar; sin teléfono vinculado, esas solicitudes se rechazan. La llave maestra, vincular y olvidar el teléfono siguen siendo solo en la Mac. El relay de Kaeus nunca ve un valor. Vea Aprobar desde su iPhone.
Reglas de aprobación por grado. Una sola tabla dice qué pide cada operación, según el nivel y el ambiente del secreto (vea Niveles de sensibilidad). Un secreto medium entregado sin aprobación muestra una notificación de macOS que nombra el secreto, quién lo recibió y quién lo pidió, nunca el valor. Dentro de la sesión de un agente, show, run y code se registran como del agente, y kovra code de un TOTP prod desde la sesión de un agente se rechaza, igual que kovra show.
kovra preflight y la herramienta MCP preflight le dicen a usted, y a sus agentes, antes de ejecutar nada, si una operación pedirá aprobación, dónde y por qué. Es una corrida en seco: sin aviso, sin teléfono, sin valores. Vea Preflight.
La licencia Free. Active su Mac con un código de Kaeus: kovra license activate, y luego status, refresh y deactivate. Es un arrendamiento de 30 días con 14 días de gracia, que se renueva en segundo plano y se verifica sin conexión. Una licencia vencida o ausente nunca le impide llegar a sus secretos; solo bloquea actualizar kovra. Vea La licencia Free.
Touch ID durante videollamadas. La ventana de aprobación de kovra ahora escucha Touch ID mientras el indicador de cámara o micrófono está encendido.
Arreglos de la revisión del release: activar ya no falla si tarda más de un minuto en leer el acuerdo; un código de activación ya usado lo dice y cómo liberarlo; kovra doctor funciona fuera de un proyecto y muestra la licencia; se auditan los rechazos de show y code de un secreto prod desde la sesión de un agente; los diálogos de aprobación muestran cuándo pidió un agente; la renovación de la licencia se reanuda después de un activate o refresh exitoso.
Solo macOS (Apple Silicon). La app de aprobación, cuando se publique, es para iPhone; Android llega después.

v0.11.2 — una entrada del Keychain por carpeta de vault · kovrad después de actualizar

Cada carpeta de vault guarda su master key en una entrada propia del Keychain. ~/.vaults conserva la entrada master-key, así que para él nada cambia. Un vault en otra carpeta (KOVRA_VAULT_DIR) tiene su propia entrada, y su kovra init --force o kovra key import --force nunca toca la llave de su vault real. Después de actualizar, ese vault adopta la llave que usaba hasta ahora, una sola vez y solo si esa llave abre todos sus registros. Vea Configuración.
La app de kovra.sh rechaza KOVRA_KEYCHAIN_BIOMETRIC, con un error y antes de tocar el Keychain: quite la variable. Sus aprobaciones siguen pidiendo Touch ID. Vea Solución de problemas.
kovrad después de actualizar: su registro espera a launchd en vez de fallar. kovra daemon status, kovra setup y kovra doctor dicen si kovrad está apagado en Ajustes o si falló su registro. kovra daemon install termina cuando kovrad ya está corriendo. Los logs de kovrad solo los puede leer usted. Vea Solución de problemas.
Ctrl-C en kovra ui con la ventana cierra la ventana y termina el comando.
Solo macOS.

v0.11.1 — toda aprobación en la ventana de kovra

En una Mac, toda aprobación se lee y se aprueba en la ventana de revisión de kovra: revelar un valor, borrar, reemplazar, crear un secreto prod, firmar (también el ssh-agent), abrir el dashboard y kovra confirm, no solo una corrida. La ventana muestra cada campo completo con desplazamiento, y nombra el proyecto y el vault de cada secreto. Vea Ejecuciones con secretos de producción.
Rotar un secreto por intake: request_secret y kovra intake fulfill sobre un secreto que ya existe reemplazan su valor tras su aprobación, y conservan su nota y sus marcas.
Los nombres de proyecto siguen la regla de las coordenadas (letras ASCII, dígitos, ., _, -). Si el vault de un proyecto tiene otro nombre, cambie el nombre de su carpeta en ~/.vaults/projects/.
Arreglos: kovra ssh-add con el agente de macOS, y las aprobaciones por SSH se rechazan en vez de abrir la ventana en la pantalla de la Mac.
Se retira kovra ui --docker; kovra ui no cambia.
Solo macOS.

v0.11.0 — Touch ID en la ventana de revisión · notas de uso

Touch ID dentro de la ventana de revisión. Una corrida que usa un secreto high o prod se aprueba tocando el sensor que aparece en la propia ventana de revisión de kovra, sin código que comparar ni un segundo diálogo. El sensor solo escucha mientras la ventana tiene el foco y nada la cubre; si prefiere responder en el diálogo de macOS, haga clic en la huella. Vea Ejecuciones con secretos de producción.
Un sonido suave cuando kovra pide su aprobación, una vez por solicitud. Puede apagarlo en el menú de kovra de la barra de menús con Sound for Approvals.
Notas de uso y secretos mint-only. Los agentes leen la nota de uso de cada secreto (hasta 500 caracteres), y usted puede marcar una credencial maestra como mint-only para que kovra avise cada vez que se use directamente. Vea Notas de uso y secretos mint-only.
Las referencias se revisan al guardarlas: kovra add --reference, kovra edit --reference y el MCP rechazan un puntero que kovra run rechazaría por su forma.
Arreglos de la revisión de 0.10.0: límites en el inject_run del MCP (tiempo y salida), enmascaramiento de valores que se superponen, un kovrad más estable en una Mac con carga, y binarios sin símbolos ni rutas de compilación.
Se retira kovra exchange. Para pasar secretos a otra máquina, use kovra package y kovra unpack.
Solo macOS. Windows se queda en 0.9.1.

v0.10.0 — Aprobaciones de macOS · gate de credenciales

Las aprobaciones las da macOS. Toda confirmación es Touch ID (o su contraseña de inicio de sesión en el diálogo de macOS); ningún otro programa puede aprobar por usted. Una corrida que usa un secreto high o prod muestra antes la ventana de revisión de kovra —comando, carpeta, qué variable recibe qué secreto, quién lo pide y un código de 4 caracteres— y luego Touch ID repite el código.
Gate de credenciales para Claude Code. kovra oculta las credenciales en la salida de las herramientas antes de que lleguen al agente, y no entrega valores a una sesión cuyo proyecto no tiene los hooks de kovra. Ejecute kovra setup una vez en cada proyecto donde use agentes. Vea El gate de credenciales.
kovra mcp. El servidor MCP viene dentro del binario kovra; el paquete aparte en Python se retira.
kovrad, el servicio de kovra en segundo plano, arranca al iniciar sesión con kovra.app.
Firmado y notarizado por Kaeus; kovra.app pone kovra en su PATH.
Solo macOS. Windows se queda en 0.9.1 hasta que se rediseñen sus aprobaciones.

v0.9.1 — Mantenimiento

La app de la barra de menú y el Dashboard ahora muestran la versión de kovra en uso, para que sepa de un vistazo en qué build está.
Pulido del flujo de intake iniciado por el agente y arreglos internos de empaquetado/build. Sin cambios en la superficie de la CLI ni en el modelo de seguridad.

v0.9.0 — Intake iniciado por el agente · Windows Beta

Intake iniciado por el agente. Un agente ahora puede solicitar un secreto que necesita pero que aún no se ha almacenado —nombrando únicamente la coordenada, nunca un valor— y el humano lo provee de forma out-of-band. El valor nunca entra en el contexto del modelo. Se puede proveer desde la nueva app de barra de menú de macOS, el Dashboard, o kovra intake en la terminal. Ver Intake iniciado por el agente.
Windows (Beta). kovra corre de forma nativa en Windows — Windows Hello, Credential Manager, ACLs de solo propietario, un ssh-agent gobernado sobre named pipes, y un instalador MSI. macOS en Apple Silicon sigue siendo la plataforma de referencia; ver Soporte de plataformas.
Dashboard. Un pestillo de bloqueo que no revela nada hasta volver a autenticarse, un modo --persistent que bloquea por inactividad en lugar de apagarse, y una ventana nativa en macOS. Ver el Dashboard.
kovra run --stdio para envolver procesos interactivos y servidores MCP por stdio.

v0.8.0 — Debut público

kovra hizo su debut público. El instalador de la CLI se descarga desde kovra.sh; el servidor MCP se publicaba por separado (vendrá incluido en el instalador). El sitio de documentación (este sitio) se lanzó aquí.

v0.7.0 — Proveedor de AWS

Referencias de AWS Secrets Manager (aws-sm://), el segundo proveedor cloud junto a Azure Key Vault. Ver Referencias cloud.

v0.6.0 — Dashboard v2 · confirmación asistida · respaldo de clave

Un Dashboard productivizado, kovra confirm como primitiva autónoma de confirmación asistida, y respaldo/restauración de la clave maestra (kovra key export / import).

Las versiones anteriores construyeron el núcleo: el vault local, la política de sensibilidad, la inyección en procesos, el servidor MCP, Touch ID nativo, las referencias cloud, y las credenciales tipadas (TOTP, keypairs, el ssh-agent gobernado).