Como protegemos suas credenciais

1. Princípio: acesso zero

Suas credenciais são cifradas no seu dispositivo antes de qualquer sincronização. O servidor guarda apenas dados cifrados e não possui a chave para abri-los. Não existe “modo admin” capaz de ler o conteúdo do seu cofre.

2. Como suas chaves são geradas

Sua senha nunca é armazenada nem enviada. Ela serve apenas para derivar, no seu dispositivo, a chave que protege o cofre:

• Senha → Chave Mestra: PBKDF2-HMAC-SHA256 com 600.000 iterações e salt aleatório de 32 bytes. A Chave Mestra existe apenas na memória do app.
• Chave do Cofre: uma chave aleatória de 256 bits, que cifra seus dados, é embrulhada (cifrada) pela Chave Mestra.
• Troca de senha: só o embrulho é refeito. A Chave do Cofre não muda, então nenhum dado precisa ser recifrado.

3. Senha de login separada da senha do cofre

O que autentica você no servidor não é a sua senha: é um valor derivado por HKDF-SHA256 da Chave Mestra, de uma só via. Mesmo quem tivesse acesso ao serviço de autenticação não obteria a sua senha nem uma chave capaz de abrir o cofre. O servidor também valida os parâmetros de derivação e recusa configurações fracas.

4. O que é cifrado

Todo conteúdo sensível é cifrado com AES-256-GCM: cada registro usa um nonce aleatório de 12 bytes e carrega uma tag de autenticação que detecta qualquer adulteração. Os dados são vinculados ao seu contexto (AAD), o que impede trocar um registro cifrado por outro.

• Credenciais SAP, URLs, aplicativos e guias, incluindo nomes e a hierarquia (empresas e espaços), e não apenas senhas.
• Registros alterados ou corrompidos são rejeitados na decifragem.
• Permanecem legíveis apenas metadados técnicos necessários para operar o serviço (como identificadores e datas), nunca o conteúdo.

5. Organizações

Em Organizações, cada empresa tem uma Chave de Organização própria, compartilhada somente com quem tem acesso.

• Convites usam um envelope RSA-2048 (OAEP-SHA256): a chave é entregue cifrada ao destinatário, com impressão digital (fingerprint) para conferência.
• A Chave de Organização é versionada e rotacionada quando um membro é removido; o conteúdo é recifrado com a nova versão.
• As permissões (por pessoa, com herança) são aplicadas no servidor, e cada pessoa enxerga somente o que foi compartilhado com ela.

6. No seu dispositivo

• A chave fica no Keychain do macOS, restrita a este dispositivo e liberada apenas com Touch ID ou a senha do Mac.
• Bloqueio automático: ao bloquear, o app encerra a sincronização e exige novo desbloqueio.
• Verificação em duas etapas (TOTP) opcional na conta.
• Conexões SAP podem ter a senha oculta: ela não é exibida nem decifrada nas telas de detalhe e edição.

7. Recuperação

Como não temos acesso às suas chaves, também não podemos redefinir sua senha para abrir o cofre. Por isso o app gera um kit de recuperação:

• Um código de 28 caracteres com verificação de erros, derivado de 128 bits de entropia aleatória, para você guardar offline.
• Sem a senha e sem o kit, não há como recuperar os dados, nem mesmo por nós. Guarde o kit em local seguro.

8. Servidor e infraestrutura

• Nenhuma coleção aceita escrita direta do aplicativo: toda gravação passa por um middleware que valida permissões, formato e limites do plano.
• Falha fechada: na dúvida (regra ausente, plano não resolvido), o acesso é negado, nunca liberado.
• Trilha de auditoria para ações administrativas e de acesso, com retenção limitada, logs sem dados pessoais e alertas automáticos para atividade anômala.
• Tráfego protegido por TLS em infraestrutura Google Cloud / Firebase. Pagamentos são processados pela Paddle: não vemos nem guardamos seu cartão.

9. Aplicativo e site

• Entradas externas (SAP, URLs, imagens, CSV) são validadas no app antes do uso.
• Atualizações do app são verificadas por assinatura digital (EdDSA) antes de instalar.
• O site usa Content Security Policy, HSTS, proteção anti-bot (Cloudflare Turnstile) e limitação de taxa. A telemetria do app é opcional, anônima e nunca inclui nomes, hosts, senhas ou URLs. Veja a Política de Privacidade.

Algoritmos e parâmetros

10. Limites

A criptografia ponta a ponta protege seus dados no servidor e em trânsito, mas não substitui a higiene do seu dispositivo: um computador com malware ou keylogger, ou uma senha fraca, podem comprometer o cofre. Use uma senha longa e única e mantenha o sistema atualizado. Quem tem acesso legítimo a uma credencial compartilhada pode, naturalmente, copiá-la.

Encontrou uma vulnerabilidade?

Escreva para support@connexgui.com ou use a página de suporte. Agradecemos a divulgação responsável.