Что остаётся на устройстве
После ввода корректного ключа названия аккаунтов, секретные ключи, параметры алгоритма, даты создания и порядок профилей автоматически сохраняются в IndexedDB. Изменения в карточке автоматически обновляют только этот профиль; кнопка «Добавить профиль» открывает новую карточку. Генерация TOTP, чтение QR с изображения и шифрование копий выполняются в браузере. Приложение не отправляет ключи, коды, профили, резервные файлы и их пароли на сервер.
Тема и язык сохраняются в localStorage. Service worker может кэшировать статические страницы, скрипты, стили и иконки. Ключи никогда не включаются в эти HTTP-ответы. Cookie для хранения ключей не используются.
Что видит веб-сервер
Сервер формирует страницы и отдаёт скрипты, стили и иконки. При загрузке сайта счётчик LiveInternet отправляет данные о посещении на counter.yadro.ru, включая адрес и заголовок открытой страницы, параметры экрана и информацию о переходе, если она доступна. Провайдер счётчика также получает обычные данные соединения, например IP-адрес. Ключи, коды и профили аутентификатора в счётчик не передаются. Сторонних сервисов генерации кодов и удалённых шрифтов здесь нет.
Форма обратной связи
Если вы пользуетесь формой связи, указанное имя, адрес для ответа и текст сообщения отправляются с нашего сервера в наш чат Telegram. Эти данные не берутся из профилей аутентификатора. Кратковременный cookie нужен для проверки формы и ограничения повторных отправок. Не присылайте секретные ключи, одноразовые коды и пароли резервных копий.
Локальное хранилище — не сейф с паролем
Сохранённые в браузере профили не зашифрованы мастер-паролем. Человек с доступом к профилю браузера, вредоносное расширение или программа на устройстве могут получить доступ к ключам. Скомпрометированная версия самого сайта также может прочитать данные своего домена. Используйте доверенное устройство, защищайте учётную запись системы и обновляйте ПО.
Зашифрованные резервные копии
Экспорт использует AES-256-GCM. Ключ получается из пароля через PBKDF2-HMAC-SHA-256 с 600 000 итераций и новой случайной солью. Каждое шифрование также использует новое случайное значение nonce. Пароль не сохраняется и не восстанавливается. Храните его отдельно от файла копии.
Когда профили могут исчезнуть
- При очистке данных сайта или удалении профиля браузера.
- После завершения сеанса инкогнито.
- При автоматической очистке хранилища браузером.
- При переходе на другое устройство, браузер или адрес сайта.
Автоматического срока удаления в днях нет. Но абсолютная сохранность браузерных данных не гарантируется. Храните зашифрованные копии и коды восстановления сервисов. Импорт добавляет профили, не заменяя текущий список.
Управление данными
Отдельный профиль удаляется через меню его карточки. Чтобы удалить все профили и кэшированные файлы на устройстве, очистите данные сайта в настройках браузера. Уже скачанные резервные копии при этом не удаляются.
В некоторых браузерах можно запросить постоянное хранение. Оно уменьшает вероятность автоматической очистки, но не защищает от ручного удаления и не заменяет резервную копию.