Comoda, ma non incauta

La tua cassaforte è un file KDBX 4, cifrato con la tua password principale e/o il tuo file chiave (derivazione della chiave con Argon2). Il server WebDAV vede solo questo file cifrato. La decifratura avviene esclusivamente nell'app sul tuo dispositivo.

• Per impostazione predefinita la password principale sta solo nella memoria di lavoro e viene scartata al blocco. Il file chiave non viene mai salvato.
• Solo se attivi la biometria viene salvata – nel portachiavi di macOS (accesso solo dopo Touch ID, scadenza dopo 24 h), nel Keystore di Android (legata alle impronte/ai volti registrati al momento) oppure nel portachiavi di iOS (solo questo dispositivo, solo con codice del dispositivo, senza ripiego sul codice).
• Un nuovo dito o un nuovo volto rende non valida la password salvata su Android e iOS.

• La connessione (URL, utente, password WebDAV) sta in forma cifrata nel portachiavi o nel Keystore – mai in chiaro.
• La copia offline su Android e iOS è lo stesso file cifrato KDBX presente sul server, nella memoria privata dell'app e esclusa dal backup.
• Su iOS inoltre: protezione dei file di iOS, copertura nel selettore di app, tastiere di terzi bloccate nell'app.

Le password e i codici copiati vengono cancellati dopo 15 secondi e ancora una volta al blocco. Su Mac e iOS solo se c'è ancora esattamente il testo che hai copiato. Su iOS gli appunti restano inoltre locali (niente Universal Clipboard) e hanno una data di scadenza imposta dal sistema.

• Il tuo server WebDAV: riceve il file cifrato della cassaforte. I reindirizzamenti non vengono mai seguiti, così nessuno può sostituire un altro file.
• Loghi: per le voci con URL l'app scarica l'icona del sito, in alternativa tramite il servizio di icone di DuckDuckGo (che così viene a conoscere il dominio). Solo via HTTPS verso indirizzi pubblici – l'URL di una voce non può far contattare all'app la tua rete domestica.
• DeepSeek, facoltativo: solo se inserisci tu una chiave API di DeepSeek, per le voci senza URL viene inviato il nome della voce per trovare il logo adatto. Senza chiave, nulla.
• Password, nomi utente, note o codici non lasciano mai il dispositivo non cifrati. Non esistono account, statistiche né pubblicità.

• Nessun elenco in chiaro di siti o nomi presso il sistema: quali voci corrispondono, l'app lo sa solo dopo lo sblocco.
• Si compila solo in base all'URL o all'app collegata, mai in base al titolo. Le voci che corrispondono solo allo stesso dominio sono contrassegnate e richiedono un tocco.
• Gli indirizzi dei siti sono creduti solo se provengono da browser noti (pacchetto e firma verificati). Le app devono dimostrare tramite l'assetlinks.json del dominio di appartenervi – oppure ti fidi tu esplicitamente, dopo una schermata di avviso, solo per proprio quel pacchetto, quel certificato e quel dominio.
• La chiave privata di una passkey non viene mai mostrata e non si può copiare.

Vengono mostrate solo richieste firmate con la chiave di un dispositivo registrato nella cassaforte. Senza il tuo Approva non esce nulla; la risposta è cifrata per una chiave monouso che esiste solo per questo scambio. Sul dispositivo che chiede non viene salvato nulla. Confronta sempre il codice di quattro cifre.

• Le app non sono (ancora) state verificate da un ente esterno. Il protocollo per l'autorizzazione dei dispositivi è una composizione propria di elementi standard di WebCrypto.
• Da Android 13 compare brevemente un'anteprima del testo copiato.
• Un gestore di password non protegge da un dispositivo già compromesso.