Bóveda de contraseñas

Todas las credenciales viven en una bóveda cifrada. La bóveda debe estar en estado desbloqueada para usar SSH, SFTP o ejecutar el monitoreo.

Esta página trata sobre el uso. Los detalles criptográficos están en Modelo de seguridad.

Tres estados

Estado	Significa
uninitialized	La contraseña maestra nunca se estableció. La app te pedirá crear una bóveda.
locked	La bóveda existe pero la clave no está en memoria. Las credenciales son inaccesibles, el monitoreo está pausado.
unlocked	Normal. Todo funciona.

Crear la bóveda

En la primera ejecución de la aplicación, estableces tu contraseña maestra. Algunas notas:

• Haz que la contraseña sea larga en lugar de compleja. Cuatro o cinco palabras aleatorias superan con creces a P@ssw0rd!.
• No reutilices una contraseña de otro lugar.
• Guárdala en un gestor de contraseñas inmediatamente después de crearla.

Sin preguntas de seguridad, sin recuperación por correo, sin puertas traseras. Eso es intencional.

Desbloqueo automático

Después del primer desbloqueo, la aplicación guarda en caché la clave de datos en el llavero de tu sistema operativo (Administrador de credenciales de Windows / Llavero de macOS / Secret Service en Linux), de modo que el siguiente inicio no vuelve a pedir la contraseña.

Lo que se almacena es la clave de datos — no la contraseña maestra, ni la clave derivada de ella. Cuando presionas Bloquear bóveda, la entrada del llavero se elimina y la clave en memoria se sobrescribe.

Si prefieres escribirla siempre, simplemente bloquea la bóveda antes de cerrar la aplicación.

Bloquear bóveda frente a bloquear pantalla

Dos cosas distintas, que a menudo se confunden:

Bloquear bóveda — la clave de cifrado se elimina de la memoria. El monitoreo en segundo plano se detiene, todas las credenciales quedan inaccesibles. Esta es una protección real.

Bloquear pantalla — oculta la ventana de la aplicación tras un periodo de inactividad (15 minutos por defecto, ajustable en Configuración). La clave permanece en memoria, el monitoreo sigue ejecutándose, las sesiones SSH abiertas siguen activas.

Por qué se separan: en una máquina que funciona 24/7, un mecanismo de bloqueo que detiene el monitoreo cada 15 minutos terminará desactivado. Bloquear pantalla detiene a alguien que pasa junto al escritorio; no detiene a alguien que puede reiniciar la máquina. Cuando necesitas ese nivel de protección, el botón Bloquear bóveda está justo en la pantalla de bloqueo.

Cambiar la contraseña maestra

Ve a Configuración → Cambiar contraseña maestra, ingresa la actual y la nueva.

Esto hace más que cambiar la contraseña: también rota la clave de datos y vuelve a cifrar todas las credenciales en una sola transacción. El efecto práctico: cualquiera que haya obtenido previamente la clave anterior queda ahora bloqueado.

Si el proceso se interrumpe (corte de energía, fallo), la transacción se revierte y la bóveda permanece en su estado anterior — sin escenarios a medio corromper.

Actualización de parámetros de Argon2

Los parámetros de la KDF se almacenan junto con la bóveda, no están fijos en el código fuente. Cuando una nueva versión aumenta el costo del hash, tu bóveda anterior aún se abre con los parámetros antiguos y se actualiza automáticamente a los nuevos en el siguiente desbloqueo. No tienes que hacer nada.

Olvidé la contraseña maestra

No se puede recuperar. Tu única opción es eliminar el archivo de base de datos y empezar de nuevo: los proyectos, VMs y credenciales desaparecen todos.

Si aún tienes claves y contraseñas en otro lugar (gestor de contraseñas, ~/.ssh), reconstruir es principalmente volver a importar — y Importar desde ~/.ssh/config se encarga de la mayor parte de eso.