Sincronizar é transportar conteúdo protegido, não a senha do cofre

Cada dispositivo precisa desbloquear

O servidor fornece dados criptografados vinculados à conta autenticada. Para visualizar os autenticadores, o navegador local precisa abrir o cofre com a credencial adequada.

Isso permite usar a coleção em aparelhos diferentes sem ensinar ao servidor os segredos TOTP em texto aberto. Ainda existem dados técnicos de sessão e operação; criptografia não significa ausência total de metadados.

A conta Google identifica, mas não decifra

Uma sessão válida não é equivalente à posse da passphrase do cofre. A chave de recuperação é outro caminho específico e deve ser protegida separadamente.

Também não existe sincronização OAuth automática com os registros do Google Authenticator. Para trazer esses dados, você usa os QR codes exportados pelo aplicativo e confirma os itens permitidos.

Sincronização não resolve todo risco

Alterações próximas em dois navegadores podem exigir conciliação. Espere a confirmação de uma gravação e examine as entradas antes de remover um dispositivo anterior.

Se o próprio computador estiver comprometido, um invasor pode observar dados depois do desbloqueio. Use o navegador em ambiente confiável e mantenha backup criptografado recuperável.

O servidor precisa saber o código TOTP atual?

O cálculo do código ocorre no cliente a partir do segredo já descriptografado. A sincronização guarda material criptografado, não exige geração de OTP no backend.