Cómo protegemos tus datos
Esta página explica, sin letra chica, qué hace DT Vault para proteger tu cuenta y tus contraseñas guardadas — y también qué no hace, para que decidas con información real si te sirve para lo que necesitás guardar.
Lo que sí hacemos
Cifrado en el servidor
Cada entrada de tu bóveda (usuario, contraseña, notas) se cifra con AES-256-GCM antes de guardarse en la base de datos, usando una clave de cifrado propia y aleatoria para cada cuenta — nadie comparte clave con otro usuario.
Verificación en dos pasos obligatoria
Todas las cuentas deben activar un autenticador (Google Authenticator, Microsoft Authenticator o similar) para poder entrar. Con solo el email y la contraseña no alcanza.
Contraseñas maestras con Argon2id
Tu contraseña de acceso nunca se guarda: se guarda un hash calculado con Argon2id, el algoritmo recomendado hoy para este uso. No se puede "revertir" para recuperar la contraseña original.
Freno a los intentos de fuerza bruta
Si detectamos muchos intentos fallidos de inicio de sesión seguidos —desde una cuenta o desde una misma conexión— bloqueamos temporalmente los siguientes intentos.
Acceso rápido con huella, rostro o PIN
El desbloqueo biométrico usa el estándar WebAuthn: la huella o el rostro nunca salen de tu dispositivo, y solo funcionan en el navegador donde los activaste.
Conexión cifrada de punta a punta
Todo el tráfico entre tu navegador y el servidor viaja por HTTPS. Las cookies de sesión están marcadas como seguras y no accesibles desde JavaScript.
Lo que no hacemos (todavía)
DT Vault no es "zero-knowledge". En un gestor de contraseñas zero-knowledge (como Bitwarden o 1Password), la clave que cifra tu bóveda se deriva de tu contraseña maestra en tu navegador, y el servidor nunca llega a tenerla: ni el proveedor del servicio puede leer tus datos aunque quisiera.
En DT Vault, hoy, la clave que cifra cada bóveda se genera en el servidor y se guarda también en el servidor (cifrada a su vez con una clave general de la aplicación). Esto tiene una ventaja práctica — si olvidás tu contraseña, podés recuperar el acceso a tu bóveda sin perder las contraseñas guardadas — pero significa que, en el caso extremo de que alguien comprometa el servidor y esa clave general, técnicamente podría llegar a descifrar bóvedas. Preferimos decirlo con todas las letras a prometer algo que el diseño actual no garantiza.
Ya endurecimos los puntos que más importan mientras evaluamos si pasar a un esquema zero-knowledge (display de errores desactivado en producción, límite de intentos de login, hash Argon2id, cifrado autenticado AES-GCM). Si en algún momento migramos a cifrado derivado de tu contraseña en el navegador, lo vamos a anunciar acá.
Qué podés hacer vos
- Usá una contraseña maestra que no reutilices en ningún otro sitio.
- Guardá los códigos de recuperación del autenticador en un lugar seguro apenas los veas — no se muestran una segunda vez.
- Si vas a guardar algo extremadamente sensible (por ejemplo, claves de una cuenta bancaria con montos altos), evaluá si preferís un gestor zero-knowledge establecido para eso puntual.
- Activá el acceso rápido por huella o rostro solo en dispositivos personales, nunca en equipos compartidos.
¿Dudas o algo no cuadra con lo que leíste acá? Escribinos desde Contacto.