docs: documentar watch-only y etiquetas BIP-329 (v1.8.0), guía HTTPS en SETUP

2026-06-04 19:51:16 +02:00
parent 3816b0426e
commit 2966e79578
3 changed files with 128 additions and 0 deletions
@@ -156,3 +156,78 @@ scp dashboard.html armg@100.116.19.86:/home/armg/txoko/
 ```

 Cuatro comandos después de la descarga. Siempre los mismos.
+
+---
+
+## HTTPS para watch-only (opcional)
+
+La función watch-only (derivar tus direcciones desde el xpub) usa la Web Crypto
+API del navegador, que **solo funciona sobre HTTPS**. Si sirves el dashboard por
+HTTP, watch-only no estará disponible — el resto de la app funciona igual. Las
+etiquetas BIP-329 no necesitan HTTPS.
+
+Si quieres usar watch-only y tu nodo va por HTTP (por ejemplo, acceso por
+Tailscale sin certificado), puedes generar un certificado autofirmado. Es lo que
+sigue. Todo se hace en el nodo.
+
+### 1. Generar el certificado autofirmado
+
+Sustituye la IP por la de tu nodo (Tailscale, local, etc.):
+
+```bash
+sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \
+  -keyout /etc/ssl/private/txoko.key \
+  -out /etc/ssl/certs/txoko.crt \
+  -subj "/CN=100.116.19.86" \
+  -addext "subjectAltName=IP:100.116.19.86"
+```
+
+### 2. Configurar nginx para servir HTTPS
+
+Añade un bloque `server` que escuche en un puerto con SSL (por ejemplo 4081),
+apuntando al certificado recién creado e incluyendo la misma configuración que
+tu servidor HTTP:
+
+```nginx
+server {
+    listen 4081 ssl;
+    listen [::]:4081 ssl;
+    server_name _;
+    ssl_certificate /etc/ssl/certs/txoko.crt;
+    ssl_certificate_key /etc/ssl/private/txoko.key;
+    ssl_session_timeout 4h;
+    ssl_protocols TLSv1.3;
+    ssl_prefer_server_ciphers on;
+
+    # Incluye aquí tu misma config (location /dashboard, /api/, etc.)
+    # Si ya tienes esos location en un snippet, basta con incluirlo:
+    # include /etc/nginx/snippets/tu-config.conf;
+}
+```
+
+Si el bloque `location /dashboard` ya viene de un snippet que incluyes, **no lo
+dupliques** dentro del server SSL: nginx dará error `duplicate location`.
+
+Comprueba y recarga:
+
+```bash
+sudo nginx -t && sudo systemctl reload nginx
+```
+
+### 3. Confiar el certificado la primera vez
+
+Abre `https://TU-IP:4081/dashboard/` en el navegador. Como el certificado es
+autofirmado, el navegador avisará de que la conexión no es privada. Es esperado
+—lo creaste tú— y es seguro en tu propia red:
+
+- **Safari:** clic en "visitar este sitio web" (abajo del aviso) y confirma
+- **Chrome/Brave:** "Configuración avanzada" → "Acceder a TU-IP (no seguro)"
+
+A partir de ahí el navegador recuerda la excepción y la Web Crypto API queda
+disponible, así que watch-only funcionará.
+
+> Nota: un certificado autofirmado es perfectamente válido para uso personal en
+> tu propia red. El aviso del navegador existe porque no hay una autoridad
+> certificadora de por medio, no porque la conexión sea insegura — el tráfico va
+> cifrado igual.
+