// seguridad
El secreto se queda en el dispositivo.
Konsolity está construido para que el servidor no pueda traicionarte, ni siquiera si está comprometido.
Bóveda de conocimiento cero
Tu contraseña maestra pasa por Argon2id en el dispositivo. De ahí salen dos claves: una para demostrar al servidor quién eres y otra para cifrar la bóveda (XChaCha20-Poly1305). El servidor recibe la primera con hash y nunca la segunda. No puede leer tus hosts ni restablecer tu contraseña.
Clave de recuperación
Generada en el dispositivo, mostrada una sola vez. Solo ella recupera la bóveda si pierdes la contraseña. Sin ella, los datos se pierden: la app lo dice antes, no después.
Claves de host fijadas
La primera conexión pide tu consentimiento y fija la clave. Una clave distinta más adelante bloquea la conexión, muestra la fecha de la anterior y no acepta ninguna omisión automática, ni siquiera al reconectar.
Claves SSH
Las claves privadas se cifran en la bóveda y se sirven a las sesiones mediante un agente interno que firma sin entregar nunca la clave. Los enlaces entre servidores usan claves efímeras, revocadas al cerrar.
Autenticación en dos pasos
TOTP con códigos de respaldo. Obligatoria para añadir un segundo dispositivo, para un terminal desde fuera y para autorizar a Claude.
Terminal remoto
El relé solo ve bytes cifrados por SSH entre dos dispositivos de la misma cuenta, con tickets firmados de corta duración. Cada dispositivo se identifica con su propia clave, que se elimina cuando se revoca.
Conector Claude
OAuth 2.1 con PKCE, consentimiento mediante un código confirmado en la app, ninguna contraseña en la web. Cada comando espera tu aprobación; los argumentos y resultados se cifran en reposo y se purgan al cabo de una hora.
Servidor
HTTPS obligatorio, HSTS, limitación de solicitudes, bloqueo progresivo, secretos cifrados en reposo, registro de auditoría por cuenta sin datos sensibles, correo por cada nuevo dispositivo.
Lo que nunca registramos
Nunca una contraseña, una clave, una frase de contraseña, un token ni el texto de un comando. Incluso en la app, los registros se depuran antes de escribirse.
// faq
Preguntas frecuentes
¿Puede Konsolity recuperar mi bóveda si he perdido mi contraseña maestra y mi clave de recuperación?
No, por diseño. El servidor nunca tiene la clave de cifrado. Hay que crear una bóveda nueva.
¿Puede el relé del terminal remoto leer mi terminal?
No: retransmite bytes SSH ya cifrados entre tus dos dispositivos. Solo conoce la cuenta y la duración.
¿Puede Claude ejecutar un comando sin mí?
Solo si marcaste «Permitir siempre» para ese cliente; si no, cada comando espera «Permitir una vez» en la app y se rechaza pasados 60 segundos.
// security.txt
Informar de una vulnerabilidad
Escribe a security@konsolity.com. Respondemos en un plazo de 48 horas y reconocemos los informes responsables.