Bóveda y seguridad
Cifrado
La contraseña maestra pasa por Argon2id en el dispositivo. De ahí salen una clave de autenticación (el servidor recibe un hash de ella) y una clave de bóveda que nunca sale del dispositivo. Cada elemento de la bóveda (host, clave, identidad, fragmento, conexión a base de datos) se sella con XChaCha20-Poly1305 antes de salir para la sincronización.
El servidor no puede leer tus hosts ni restablecer tu contraseña.
Clave de recuperación
Se muestra una sola vez al crear la cuenta. Solo ella recupera la bóveda si pierdes la contraseña. Se puede regenerar en Ajustes › Cuenta. Sin la contraseña y sin la clave de recuperación, los datos se pierden: es así por diseño.
Autenticación en dos pasos
Ajustes › Cuenta › Autenticación en dos pasos: TOTP con códigos de respaldo. Es obligatoria para añadir un segundo dispositivo, para el terminal remoto y para el conector Claude. El inicio de sesión en app.konsolity.com y admin.konsolity.com también la pide.
Bloqueo de la app
Ajustes › Seguridad: Face ID, Touch ID o contraseña maestra cuando la app vuelve al primer plano, con el contenido oculto. En el ordenador se ofrece el desbloqueo rápido mediante el llavero del sistema.
Claves SSH
Las claves privadas permanecen cifradas en la bóveda; un agente interno firma para las sesiones sin entregar nunca la clave. Los registros de conexión se depuran: nunca una contraseña, una clave ni el texto de un comando.
Dispositivos
Ajustes › Cuenta › Dispositivos, o app.konsolity.com: cada dispositivo, su plataforma, su última actividad, su país. Revocar un dispositivo cierra su sesión y elimina sus claves en todas partes.