Cómo funciona
Tu contraseña maestra nunca sale de tu dispositivo
Al iniciar sesión, tu dispositivo transforma tu contraseña maestra con Argon2id y deriva dos llaves distintas: una prueba de acceso, que es lo único que se envía, y una llave que abre tu clave de cuenta y que nunca viaja. El servidor guarda solo un hash de la prueba de acceso.
Cada item se cifra antes de enviarse
Cada contraseña, tarjeta o nota se cifra con su propia llave (XChaCha20-Poly1305) y esa llave se guarda cifrada con tu clave de cuenta. El nombre del sitio, el usuario y las carpetas también van cifrados. El servidor ve que existe un dato cifrado, no lo que contiene.
Si pierdes tu contraseña maestra
Nadie, incluido nuestro equipo, puede abrir tu bóveda por ti. Al crear tu cuenta recibes 8 códigos de recuperación de un solo uso: cada uno te permite elegir una contraseña nueva sin perder tus datos. Si pierdes tu contraseña y tus códigos, lo único posible es restablecer la cuenta por correo, que borra toda tu bóveda.
Protección de tu cuenta
Si alguien entra desde un país o un dispositivo nuevo, te pedimos confirmarlo por correo antes de abrir sesión. Puedes ver tus dispositivos, cerrarlos, cambiar tu contraseña y rotar tu clave si crees que se filtró.
Lo que no podemos prometer
WolfPass todavía no ha pasado por una auditoría externa. Si tu equipo tiene un programa malicioso, puede leer tu bóveda mientras está desbloqueada: el cifrado protege lo que está guardado, no un equipo comprometido. Por eso la sesión se cierra tras 15 minutos sin actividad.