Las llaves de tu bóveda

La bóveda de SHTERA cifra cada carpeta con una clave propia (la DEK), envuelta de varias maneras distintas: con la contraseña maestra, con un código de recuperación de 24 caracteres que se entrega al crear la cuenta, con una passkey compatible con WebAuthn PRF, y con una copia de resguardo que existe para el caso de perder las tres anteriores a la vez.

Esa copia de resguardo (la llave de rescate) no vive en este servidor: vive cifrada en una máquina chica, separada, de otro proveedor, que no acepta conexiones de nadie. Recuperar el acceso con ella exige verificar la identidad con un cargo pequeño a la tarjeta registrada (entre US$ 9 y US$ 10, con un código en la descripción) — sin ese cargo confirmado, la llave de rescate no se toca. No es una promesa de que nadie pueda abrir la bóveda bajo ninguna circunstancia: es la garantía de que abrirla exige pasar por un mecanismo separado, auditado y verificado, nunca un acceso directo desde este servidor.

Esa garantía depende de que el código que corre en tu navegador sea el que decimos que es: como en cualquier servicio que se usa desde la web sin instalar nada, es el servidor el que entrega ese código en cada visita. SHTERA no lo oculta: es el mismo límite que tiene cualquier bóveda de conocimiento cero servida así, sin una aplicación propia instalada en tu equipo.

El código de recuperación de 24 caracteres no solo se entrega una vez al crear la cuenta: también se puede guardar cifrado dentro de la propia bóveda, con la clave de la cuenta, y volver a leerlo después desde su propia pestaña de Configuración. Leerlo así no alcanza con tener la sesión abierta: hace falta abrir, en el mismo navegador, los enlaces de al menos dos de los tres correos de recuperación configurados — cada enlace lleva solo una parte de la llave, y una parte sola no revela nada.

La sesión del panel también se configura, aparte de cómo se abre: cada usuario elige cada cuánto caduca por inactividad —30 minutos, 1, 6, 12 o 24 horas—, o que no caduque nunca. Que no caduque nunca es un privilegio del lugar, no de la persona: solo se habilita si esa cuenta ya tiene cargada una dirección de confianza, y solo vale entrando desde ahí. Esto se configura junto con las direcciones de confianza, el segundo factor por app y las passkeys, agrupado en pestañas dentro de la Configuración de la cuenta.