Novarium PasswordsCómo protegemos tus datos
Qué te protege y de qué, sin tecnicismos. Al final está el detalle técnico, para quien lo quiera.
Qué protege la contraseña maestra
Todo lo que guardás en Novarium Passwords está cifrado: convertido en un código ilegible. La contraseña maestra es la llave que lo vuelve legible. Eso vale:
- en tu dispositivo: si alguien copia los datos de la app, sin la maestra no puede leerlos;
- en Google Drive: el archivo que se sube ya va cifrado;
- en el respaldo
.vault: se abre solo con la maestra que tenía la bóveda al exportarlo.
Por eso la maestra no se puede recuperar si se olvida, y por eso conviene que sea larga. Si alguien consigue una copia de la bóveda, lo único que puede hacer es probar contraseñas una por una, y la app hace que cada intento sea lento a propósito. Con una contraseña larga, probarlas todas llevaría muchísimo tiempo.
Qué protege el PIN, y qué no
El PIN separa lo personal de cada uno dentro de una misma bóveda. En el uso normal, nadie ve las entradas personales de otro. Pero el PIN no es una cerradura tan fuerte como la contraseña maestra:
- Un administrador puede resetear el PIN de otro miembro, y con eso ver sus entradas personales.
- Las entradas personales están protegidas con la misma contraseña maestra que todo lo demás. Quien la conoce y tiene conocimientos técnicos podría llegar a ellas sin pasar por la app.
- La app no limita los intentos de PIN.
Para el día a día de una familia alcanza. Para un secreto que no querés que nadie vea nunca, lo más seguro es no guardarlo en una bóveda compartida.
La nube que no ve tus datos
Cuando usás Google Drive, Novarium Passwords cifra la bóveda en tu dispositivo antes de subirla. Google guarda un archivo, pero no puede leer lo que hay adentro.
Además, la app tiene un permiso limitado en tu Drive: solo ve los archivos que ella misma creó. No puede ver tus fotos, tus documentos ni nada más.
El bloqueo automático y el bloqueo al volver
- Bloqueo por inactividad: si pasa un rato sin que uses la app (5 minutos, si no lo cambiaste), la bóveda se cierra sola y hay que volver a escribir la maestra.
- Bloqueo al volver: si dejaste la app en segundo plano y volvés después de ese tiempo, aparece directamente la pantalla de la contraseña maestra, sin que se llegue a ver la bóveda. La app cuenta el tiempo también con la pantalla del teléfono apagada, y si alguien cambia la hora del teléfono, ante la duda se bloquea.
La cubierta de privacidad
Cuando salís de la app, una cubierta con el logo tapa todo su contenido. Así, si alguien mira la lista de apps abiertas de tu celular, no ve tus datos.
La limpieza del portapapeles
Lo que copiás desde la app se borra del portapapeles a los 30 segundos, y también al bloquear la bóveda o al cambiar de usuario.
Algunos teclados guardan su propio historial de lo que copiaste. Si usás uno así, vale la pena borrar de vez en cuando lo que copiaste, o desactivar ese historial si tu teclado lo permite.
Lo que Novarium Passwords no puede hacer por vos
Ser honestos también es decir los límites:
- Si alguien conoce tu contraseña maestra y tiene tu teléfono desbloqueado, puede abrir la bóveda.
- Si tu teléfono tiene un programa malicioso que lee lo que escribís o lo que se ve en pantalla, la app no puede impedirlo.
- Los respaldos sin cifrar (JSON, PDF, CSV) y lo que imprimas quedan a la vista de cualquiera que los encuentre.
- Algunos teclados guardan un historial de lo copiado, fuera del alcance de la app.
Las tres cosas que más te protegen son una contraseña maestra larga, el bloqueo de pantalla del teléfono y un respaldo .vault reciente guardado en un lugar seguro.
Detalle técnico
Describe cómo funciona la versión actual de la app (0.26.1, octubre de 2026).
Bóveda local
Los datos (entradas, categorías, miembros, ajustes y registro de actividad) se guardan en cajas de Hive cifradas con AES-256 en modo CBC (relleno PKCS#7, vector de inicialización aleatorio). La clave de esas cajas es una clave de datos (DEK) de 256 bits, aleatoria y propia de cada dispositivo.
Derivación de la clave
De la contraseña maestra se deriva una clave de cifrado de claves (KEK) con PBKDF2-HMAC-SHA256, 100.000 iteraciones, una sal aleatoria de 16 bytes y 32 bytes de salida. Las iteraciones se guardan junto a la sal. En Android, la derivación corre en un hilo aparte.
Envoltorio de la clave de datos
La DEK se guarda envuelta: combinada con la KEK mediante XOR (las dos miden 32 bytes). Junto a ella se guardan, sin cifrar, la sal, las iteraciones y un verificador: el SHA-256 de la KEK, que permite saber si la contraseña escrita es la correcta. Cambiar la contraseña maestra no vuelve a cifrar los datos: solo vuelve a envolver la DEK con la KEK nueva. Quien obtenga esos metadatos puede probar contraseñas fuera de la app; cada intento cuesta las 100.000 iteraciones de PBKDF2.
Archivo .vault (formato 3)
Es un JSON con una parte en claro y otra cifrada:
- En claro: la marca
FAMILYVAULT(conserva el nombre anterior de la app, para que se sigan abriendo los archivos de antes), el número de formato (3), la versión de la bóveda, la fecha de modificación, el algoritmo de derivación (pbkdf2-hmac-sha256), las iteraciones (100.000), la sal (16 bytes, nueva en cada archivo), elkeyCheck, el nombre del cifrado (aes-cbc-pkcs7) y los identificadores al azar de la revisión (revyanc), que la sincronización usa para saber de qué versión desciende cada archivo. Nada de eso revela el contenido. - Cifrado (
payload): el contenido, con AES-256-CBC (PKCS#7, vector de inicialización aleatorio). La clave se deriva de la contraseña maestra y la sal del archivo con PBKDF2, no de la DEK del dispositivo: por eso cualquier dispositivo con la misma maestra puede abrirlo. - El contenido no lleva un código de autenticación (MAC) aparte. Un archivo alterado se detecta cuando no se puede descifrar o leer.
- El formato 3 (desde la versión 0.24.0) es igual al 2 en el cifrado y el encabezado. Cambia el contenido: cada miembro lleva un identificador estable, y todo lo que se refiere a un miembro usa ese identificador, no el nombre. La app lee los formatos 2 y 3.
- Lo usan la sincronización con Drive y el respaldo cifrado (.vault). Una versión de la app no abre ni sobrescribe un archivo de un formato más nuevo.
keyCheck
Son los primeros 16 bytes de HMAC-SHA256(clave del archivo, "FamilyVault keyCheck v1"). Permite saber si la contraseña es la correcta antes de descifrar, y distinguir "otra contraseña maestra" de "archivo dañado". No revela la clave.
Clave de las copias automáticas
Las copias automáticas locales usan el mismo formato de archivo, pero su clave es HKDF-SHA256(DEK, sal aleatoria, "FamilyVault local backup v1"), de 32 bytes, marcada con keySource: "device". Como la DEK no cambia al cambiar la maestra, estas copias se pueden restaurar después de un cambio de maestra. Nunca salen del dispositivo.
PIN
Se guarda solo su derivación con PBKDF2-HMAC-SHA256, 50.000 iteraciones y una sal aleatoria de 16 bytes por miembro, dentro de la bóveda cifrada. Es una barrera de visualización: las entradas personales se cifran con las mismas claves que el resto.
Contraseña maestra en memoria
Mientras la bóveda está abierta, la app retiene en memoria la contraseña maestra para poder cifrar los archivos que sube a Drive. Al bloquear, la olvida junto con la DEK.
Permiso de Google Drive
La app pide el permiso drive.file: solo accede a los archivos que ella misma creó. Usa la carpeta Novarium Passwords y el archivo novarium_passwords.vault.
Copias de seguridad de Android
android:allowBackup="false" y reglas de extracción de datos que excluyen todo, tanto del respaldo en la nube como de la transferencia entre dispositivos.
Lo que viene
Para una próxima versión están planificados el cifrado autenticado del .vault y de la base local, un envoltorio estándar de la clave de datos y más iteraciones de PBKDF2.
¿Encontraste una falla de seguridad? Escribinos a soporte@novarium.app.