Cofre de Senhas

Todas as credenciais vivem em um único cofre criptografado. O cofre precisa estar desbloqueado para usar SSH, SFTP ou rodar o monitoramento.

Esta página é sobre o uso. Os detalhes de criptografia estão no Modelo de Segurança.

Três Estados

Estado	Significa
uninitialized	Senha mestra nunca foi definida. O app vai pedir para você criar um cofre.
locked	O cofre existe, mas a chave não está na memória. Credenciais inacessíveis, monitoramento pausado.
unlocked	Normal. Tudo funciona.

Criar o Cofre

Na primeira execução do app, você define sua senha mestra. Algumas observações:

• Prefira uma senha longa em vez de complexa. Quatro ou cinco palavras aleatórias vencem S3nh@F0rte! de longe.
• Não reutilize uma senha que já usa em outro lugar.
• Guarde-a em um gerenciador de senhas imediatamente depois de criá-la.

Sem perguntas de segurança, sem recuperação por e-mail, sem porta dos fundos. Isso é intencional.

Desbloqueio Automático

Depois do primeiro desbloqueio, o app guarda em cache a chave de dados no chaveiro do seu SO (Gerenciador de Credenciais do Windows / Chaveiro do macOS / Secret Service no Linux), para que na próxima inicialização a senha não seja pedida de novo.

O que fica salvo é a chave de dados — não a senha mestra, nem a chave derivada dela. Quando você clica em Lock vault, a entrada no chaveiro é apagada e a chave em memória é sobrescrita.

Se preferir sempre digitar a senha, basta bloquear o cofre antes de fechar o app.

Bloquear o Cofre vs. Bloquear a Tela

Duas coisas diferentes, frequentemente confundidas:

Bloquear o cofre — a chave de criptografia é apagada da memória. O monitoramento em segundo plano para, todas as credenciais ficam inacessíveis. É proteção de verdade.

Bloquear a tela — esconde a janela do app após um período de inatividade (15 minutos por padrão, ajustável em Configurações). A chave continua na memória, o monitoramento continua rodando, sessões SSH abertas continuam vivas.

Por que separar os dois: em uma máquina ligada 24/7, um mecanismo de bloqueio que mata o monitoramento a cada 15 minutos acaba sendo desativado. O bloqueio de tela impede alguém que passa pela mesa; não impede quem consegue reiniciar a máquina. Quando você precisa desse nível, o botão Lock vault está bem ali na tela de bloqueio.

Trocar a Senha Mestra

Vá em Configurações → Trocar Senha Mestra, digite a senha atual e a nova.

Isso faz mais do que trocar a senha: também rotaciona a chave de dados e recriptografa todas as credenciais em uma única transação. O efeito prático: quem tinha obtido a chave antiga fica bloqueado a partir daí.

Se o processo for interrompido (queda de energia, travamento), a transação é revertida e o cofre permanece no estado anterior — sem cenários corrompidos pela metade.

Atualização dos Parâmetros do Argon2

Os parâmetros do KDF ficam armazenados junto com o cofre, não fixos no código. Quando uma nova versão aumenta o custo do hash, seu cofre antigo continua abrindo com os parâmetros antigos e é atualizado automaticamente no próximo desbloqueio. Você não precisa fazer nada.

Esqueci a Senha Mestra

Não pode ser recuperada. Sua única opção é apagar o arquivo do banco de dados e começar do zero: projetos, VMs e credenciais somem todos juntos.

Se você ainda tem as chaves e senhas em outro lugar (gerenciador de senhas, ~/.ssh), reconstruir é principalmente reimportar — e Importar de ~/.ssh/config resolve a maior parte disso.