Acessos
Privacidade
Esta página descreve o que o Acessos em acessos.dtmoraes.app faz com os dados, no estado atual do aplicativo. Não é um contrato e não acrescenta promessas além do que o programa faz hoje.
Duas partes separadas
O cofre (senhas, usuários, notas) é criptografado no próprio aparelho, com uma senha mestra que só a pessoa conhece, e o arquivo já trancado é salvo no Google Drive dela, na pasta Dados Apps/Acessos. O banco do aplicativo, na Cloudflare, guarda só o necessário para reconhecer a sessão, o estado da conta (pendente, ativa ou bloqueada) e achar a pasta certa.
No banco ficam: o identificador Google sub, o e-mail, o nome, o hash da sessão, o refresh token do Drive cifrado com uma chave que não sai do servidor, e os ids da pasta e do arquivo cofre.json. Não ficam senhas, itens do cofre nem a senha mestra.
O administrador (Douglas) pode liberar ou bloquear cadastros. Ele não abre e não vê o cofre de ninguém.
Permissão do Drive
O pedido ao Google usa os escopos de entrada openid, email e profile, mais https://www.googleapis.com/auth/drive.file. Esse escopo deixa o Acessos criar e abrir só os arquivos que ele mesmo criou. Não pede o Drive inteiro.
O refresh token fica cifrado no banco, ligado ao sub. O navegador recebe, na memória, um access token curto só para enviar e baixar o arquivo já criptografado dessa mesma conta.
Criptografia no aparelho
Antes de qualquer envio, o cofre é protegido com PBKDF2-SHA256 e AES-256-GCM, a partir da senha mestra da pessoa. Sem essa senha (ou a digital, quando estiver disponível), o arquivo no Drive não se abre. Não existe recuperação da senha mestra: só um backup protegido devolve os dados.
Aparelho, saída e avisos
A sessão é um cookie HttpOnly. Sair encerra a sessão. O service worker guarda a casca do site e não guarda respostas de /api/ nem o conteúdo do cofre.
Quando alguém se cadastra e fica aguardando liberação, o Acessos pode enviar um e-mail ao administrador, com nome, e-mail e data — nunca com senhas ou itens do cofre.
Revogar o Google
Em Conta Google, acesso de terceiros, a pessoa pode retirar o Acessos. Depois disso o refresh guardado deixa de valer. Retirar o acesso não apaga, por si, os arquivos que já estão no Drive.
Apagar
No próprio app, “Apagar todos os dados” pede a confirmação APAGAR e pode gravar um backup preso antes. Quem quiser remover o arquivo do Drive apaga a pasta Dados Apps › Acessos no próprio Google Drive. Sair encerra a sessão; não apaga automaticamente o registro no banco (identificador, e-mail, nome, refresh cifrado e ids).