Una seguridad que
no confía en sí misma.
La mayoría de los productos le piden que confíe en sus servidores. PulsVault está hecho para que nunca tenga que hacerlo. Las claves por capas, los dos factores y el aislamiento por bóveda hacen que la seguridad de sus datos nunca dependa de que nos portemos bien — depende de las matemáticas.
La jerarquía de claves
Cuatro claves. Una nunca sale de su dispositivo.
Sus datos están protegidos por una cadena de claves derivadas. Cada una se desbloquea con la anterior, y la cadena comienza — y termina — en su navegador.
Secreto derivado de la contraseña
PDSContraseña maestra + salSe obtiene por estiramiento de su contraseña maestra con PBKDF2 y su sal personal — íntegramente dentro de su navegador. Se guarda en la memoria de la sesión y nunca se transmite a nuestros servidores.
Clave de cifrado de claves
KEKPDS + clave de accesoSe deriva de su PDS combinado con su clave de acceso generada por la máquina mediante 600 000 iteraciones de PBKDF2. Sin ambos factores, la KEK no se puede reconstruir.
Clave UMK del usuario
UMKDesenvuelta por la KEKLa clave raíz que desbloquea su cuenta. Está envuelta por su KEK y solo existe en la memoria tras un desbloqueo correcto — y se borra de inmediato.
Clave de cifrado de datos
DEKPor bóveda, envuelta por la UMKCada bóveda recibe su propia DEK independiente y aleatoria de 256 bits, envuelta por su UMK. La vulneración de una bóveda queda aislada matemáticamente de todas las demás.
Cambiar su contraseña maestra vuelve a envolver una única clave — su clave UMK — y nunca vuelve a cifrar ni un solo elemento de la bóveda.
Defensa en profundidad
Cada capa da por hecho que las demás podrían fallar
Una contraseña débil, un token robado, un servidor comprometido — cada uno queda contenido por la capa inferior. Ningún punto único de fallo puede exponer sus secretos.
Doble factor por diseño
Su contraseña maestra se combina con una clave de acceso generada por la máquina que aporta unos 155 bits de entropía — muy por encima del mínimo de 128 bits del NIST. Una contraseña adivinada no desbloquea nada por sí sola.
Aislamiento por bóveda
Cada bóveda se sella con su propia clave de cifrado de datos aleatoria. Acceder a una bóveda no da ninguna ventaja sobre la siguiente — no existe ninguna llave universal de nuestro lado.
AES-256-GCM, y más allá
Su bóveda principal siempre usa cifrado autenticado AES-256-GCM. Los planes Team, Business y Enterprise desbloquean ChaCha20-Poly1305, AES-256-CBC-HMAC y XChaCha20-Poly1305.
Envolturas con detección de manipulaciones
El cifrado autenticado significa que cualquier modificación del texto cifrado se detecta y se rechaza al descifrar. Los datos corruptos o manipulados nunca llegan a su bóveda sin que se advierta.
Solicitudes firmadas y a prueba de repetición
Cada solicitud a la API se firma con HMAC-SHA256 e incluye un nonce de un solo uso. Una solicitud capturada no se puede reproducir, y HSTS fija la conexión a un transporte estrictamente seguro.
Abusos bloqueados en el perímetro
Los intentos de fuerza bruta y de relleno de credenciales se limitan en la capa de red — los fallos repetidos desde una IP activan bloqueos automáticos y temporales antes de que lleguen siquiera a su bóveda.
La clave más fuerte es la que nunca tenemos
Empiece con una bóveda gratuita y descubra la seguridad de conocimiento cero sin sacrificar la facilidad de uso.
Cree su bóveda gratuita