Za prostym widokiem klientów działa kilka warstw ochrony. Oto co dzieje się, kiedy korzystasz z aplikacji.

Hasło konta i kod 2FA — wejście do aplikacji

Laravel i PHP obsługują logowanie oraz uprawnienia. Drugi składnik to zmieniający się kod TOTP z aplikacji Authenticator. Samo zalogowanie nie odszyfrowuje danych klientów.

Argon2id — hasło główne otwiera klucz

Biblioteka libsodium w przeglądarce przekształca hasło główne w klucz za pomocą Argon2id. Ten mechanizm celowo wymaga pamięci i obliczeń, aby utrudnić masowe zgadywanie hasła. Hasło główne nie jest wysyłane na serwer.

XChaCha20-Poly1305 — poufność i kontrola integralności

Treść wpisów jest szyfrowana kluczem 256-bitowym jeszcze przed wysłaniem: nazwy, adresy, loginy, hasła, notatki i dodatkowe pola. Mechanizm sprawdza też, czy zaszyfrowana treść nie została zmieniona. Administrator serwera nie otrzymuje jawnej treści ani klucza do jej odczytu; dane możesz udostępnić wybranym osobom.

HTTPS i PostgreSQL — przesyłanie i przechowywanie

HTTPS chroni połączenie z aplikacją. Baza PostgreSQL przechowuje zaszyfrowaną treść wpisów, a serwer sprawdza uprawnienia przy każdym żądaniu. Dane konta, np. e-mail do logowania, oraz informacje o zdarzeniach są obsługiwane osobno.

Wersje wpisów i historia zmian — kontrola nad zapisem

Numer wersji chroni przed nadpisaniem nowszych danych ze starej karty lub drugiego urządzenia. Historia zapisuje zaszyfrowane wersje przy dodaniu, zmianie, przeniesieniu do kosza i przywróceniu wpisu. Właściciel klienta może odszyfrować poprzednie hasło w podglądzie historii.

Sesja i blokada — dostęp pod Twoją kontrolą

Licznik pokazuje czas pozostały do wylogowania przy braku aktywności. „Zablokuj” zamyka odszyfrowane dane w tej karcie; wrócisz do nich hasłem głównym. „Wyloguj” kończy bieżącą sesję logowania. Po odświeżeniu strony trzeba ponownie odblokować dane.

OCR, QR i generator — praca w przeglądarce

Tesseract.js rozpoznaje tekst ze zdjęć, a ZXing odczytuje kody QR. Zdjęcia i odczytywane hasła nie trafiają do zewnętrznej usługi OCR. Generator korzysta z kryptograficznego źródła losowości przeglądarki; odczyt aparatem zawsze możesz sprawdzić i poprawić przed użyciem.

JavaScript i Vite — interfejs na komputerze i telefonie

Interfejs dopasowuje się do szerokości ekranu. JavaScript obsługuje odszyfrowanie i filtrowanie klientów po Twojej stronie, a Vite przygotowuje pliki aplikacji do uruchomienia w przeglądarce.