Seguridad que distingue el acceso, la clave y el dispositivo

Identidad y descifrado son comprobaciones separadas

El inicio de sesión con Google permite identificar la cuenta del miembro. Para ver los secretos de una bóveda cifrada hace falta una vía de desbloqueo válida; el servicio no utiliza ese inicio de sesión como clave de descifrado.

Las entradas del Vault se cifran del lado del cliente. La clave de recuperación ofrece una vía de apertura cuando su ranura de recuperación correspondiente está disponible, pero no sustituye los permisos de sesión que necesita una cuenta.

Qué puede y qué no puede hacer una revocación

Un dispositivo de confianza puede guardar una clave de navegador prevista como no extraíble. Revocarlo impide que el servidor siga aceptando su vía de acceso, pero no borra mágicamente copias externas ni garantiza almacenamiento protegido por hardware.

Al bloquear o cerrar sesión, la aplicación descarta referencias descifradas y detiene tareas sensibles. JavaScript no permite garantizar el borrado físico instantáneo de cada copia en RAM; tampoco el cifrado protege frente a introducir una clave en una página fraudulenta.

Copias y navegadores fuera de tu control

El cifrado no revoca un QR que hayas enviado a otra persona. Si se filtra la configuración de un autenticador, la acción relevante se realiza en el panel del servicio donde activaste la verificación en dos pasos.

Un dispositivo de confianza conserva una autorización específica: revocarla es importante después de un extravío, pero no supone un certificado de borrado seguro del disco ni de memorias de terceros.

Qué hacer si compartiste sin querer un QR de alta

Un QR de configuración puede contener el secreto que permite producir futuros códigos TOTP, no solo el número que caduca en unos segundos. Retira las copias compartidas para limitar la difusión, pero comprende que borrarlas no invalida una clave que otra persona ya haya visto.

Entra directamente en el dominio legítimo del servicio afectado, prepara sus códigos de emergencia y restablece la configuración del segundo factor. Después prueba la nueva entrada antes de eliminar la antigua.

• Identifica todos los servicios cuyos QR pudieron exponerse.
• Regenera el segundo factor desde los ajustes de seguridad de cada servicio.
• Revisa sesiones y dispositivos autorizados cuando corresponda.

La seguridad también depende del equipo

El cifrado del Vault reduce el contenido legible que recibe el servidor, pero una extensión maliciosa puede intentar observar datos que ya se han descifrado en pantalla. No desbloquees la bóveda en un perfil de navegador que no controlas.

Revocar un dispositivo de confianza retira la autorización de esa vía frente al servicio. No certifica que hayan desaparecido fotografías, archivos o respaldos copiados previamente; si un secreto externo se expuso, debes renovarlo en su proveedor.

¿La clave de recuperación permite ignorar el acceso a mi cuenta?

No. Desbloquear datos cifrados y estar autorizado para acceder a la cuenta del servidor son requisitos distintos.