Códigos de error de secretos en reposo (mpbx-secrets)

Se generan en el llavero que cifra los secretos de terceros guardados y en mpbx init --rotate master-key (W1-PBX-09). Los mensajes nunca contienen un secreto, una clave ni un texto cifrado; como máximo indican ids de claves de datos e ids de claves maestras (huellas de MPBX_MASTER_KEY_ID). Guía: secretos en reposo.

Código	Tipo	Significado	Qué hacer
MPBX-SECRETS-WRONG-MASTER-KEY	config	La clave maestra que recibió el proceso (o que tiene un destino durante una rotación) no es la clave con la que están cifrados los secretos de esta base de datos. Se genera al iniciar con Keyring::open, para que una clave regenerada nunca deje huérfanos los secretos existentes.	Restaure el MPBX_MASTER_KEY y el MPBX_MASTER_KEY_ID originales desde el respaldo de secretos o la clave de recuperación. Nunca reemplace la clave a mano por una nueva; rótela con mpbx init --rotate master-key.
MPBX-SECRETS-MASTER-KEY-ROTATED	config	El proceso sigue usando la clave maestra anterior después de terminar una rotación, y necesita una clave de datos que no tenía en caché; o se ofreció una clave de datos para guardarla envuelta con una clave que no es la actual.	Reinicie el proceso con los secretos de instalación actuales.
MPBX-SECRETS-ROTATION-PENDING	conflict	Una rotación de la clave maestra está entre sus dos pasos de base de datos: se rechaza guardar el primer secreto de una empresa (una clave de datos nueva) hasta que termine. También se genera si se inicia una rotación mientras otra está pendiente. Se puede reintentar.	Espere a que termine la rotación, o ejecute mpbx init --rotate master-key otra vez con los mismos destinos para terminarla.
MPBX-SECRETS-KEYRING-UNINITIALISED	config	Se escribió una clave de datos antes de que el llavero registrara la clave maestra (secret_master_key está vacío), o se terminó una rotación en una base de datos donde no se había iniciado ninguna.	Abra el llavero (Keyring::open) al iniciar, antes de guardar secretos.
MPBX-SECRETS-DECRYPT-FAILED	internal	El descifrado autenticado falló: el valor se movió a otro registro, columna o empresa, fue modificado, o una clave de datos no se abre con la clave maestra. No se devuelve nada.	Trátelo como una manipulación o corrupción: restaure el registro desde un respaldo. Si fallan todos los secretos, la clave maestra es incorrecta (vea arriba).
MPBX-SECRETS-KEY-NOT-FOUND	internal	El texto cifrado indica una clave de datos que no existe en el ámbito solicitado: el secreto de otra empresa presentado con esta, un secreto de toda la instalación presentado con una empresa (o al revés).	Revise la empresa del registro y si el secreto es de toda la instalación (Scope::System); restaure desde un respaldo si se borró la fila de la clave de datos.
MPBX-SECRETS-SCOPE-MISMATCH	permission_denied	La clave de datos existe en el ámbito solicitado, pero pertenece a otra familia de claves (propósito) de la que abre el ámbito, por ejemplo una clave media presentada como secreto de configuración. Se rechaza antes de cualquier descifrado.	Es un error de quien llama: use el ámbito y el propósito con que se selló el secreto.
MPBX-SECRETS-CIPHERTEXT-INVALID	internal	Un valor guardado está truncado, tiene una versión de formato desconocida (incluido 0x01, el formato de W1-PBX-09 sin vinculación de propietario y propósito), o una clave de datos envuelta tiene una longitud incorrecta.	Restaure el registro desde un respaldo.
MPBX-SECRETS-CONTEXT-INVALID	invalid_argument	Un nombre de campo no es <tabla>.<columna> en minúsculas (un error de programación).	Use un nombre de mpbx_secrets::context::fields.
MPBX-SECRETS-SCHEMA-OUTDATED	config	mpbx init --rotate master-key encontró migraciones de base de datos pendientes.	Inicie esta versión una vez (aplica las migraciones) y luego rote.
MPBX-SECRETS-INVALID	config	MPBX_MASTER_KEY no es base64url de 32 bytes o no coincide con MPBX_MASTER_KEY_ID (mismo código que en mpbx init). También se genera si una rotación reutilizaría la clave actual.	Restaure el par original desde un respaldo.
MPBX-SECRETS-RNG	internal	Falló el generador de números aleatorios del sistema operativo (mismo código que en mpbx init).	Revise el host y reintente.

Códigos compartidos con mpbx init que --rotate master-key también genera: MPBX-SECRETS-MISSING (un destino no existe o no tiene la clave maestra), MPBX-SECRETS-CONFLICT (un destino tiene un valor inesperado, los destinos no coinciden, un 409 de Kubernetes durante la actualización, o existe --recovery-key-file), MPBX-SECRETS-SINK (error de E/S o de API; en Kubernetes, un 403 indica el permiso update que necesita la rotación) y MPBX-RECOVERY-NOT-CONFIRMED. Vea errores del instalador.