+++
title = "Sicurezza"
date = 2026-11-05T00:00:00Z
description = "Cosa protegge HardenedPass, dove sta ogni segreto, cosa invia in rete e quali minacce non copre."
weight = 100
draft = false
+++

Questa pagina dice cosa fa l'app per te e, altrettanto importante, cosa non fa.

## Dove stanno i tuoi segreti

| Segreto | Dove si trova | Come è protetto |
|---|---|---|
| Voci | File nella memoria privata dell'app e sul tuo server git | OpenPGP, come `pass` su un computer |
| Chiave privata OpenPGP | Memoria privata dell'app | La sua passphrase |
| Passphrase della chiave | Da nessuna parte, a meno che attivi la memorizzazione | Se memorizzata: AES-GCM con una chiave Android Keystore |
| Password di git e del proxy | Memoria privata dell'app, se le fai ricordare | AES-GCM con una chiave Android Keystore |
| Chiave SSH creata sul telefono | Android Keystore | Il sistema, più il blocco schermo se lo richiedi |
| Chiave SSH importata | Memoria privata dell'app | La sua passphrase, se ne ha una |

Le chiavi di Android Keystore sono custodite dal sistema e non si possono copiare fuori dal
telefono, nemmeno dall'app che le usa.

## Cosa fa l'app

- **Nessuna telemetria.** Niente analytics, niente report di crash, niente Google Play
  Services. L'app si collega solo al server git che hai configurato, e al proxy se ne
  hai impostato uno.
- **Tiene i log sul telefono.** Non viene inviato nulla. **Esporta log** scrive un file solo
  quando lo chiedi, nel posto che scegli. L'app non registra password o chiavi, ma il file
  può mostrare nomi di voci, siti, app e il tuo server git: leggilo prima di condividerlo.
- **Blocca gli screenshot dei segreti.** Voci, editor, generatore, finestre della
  passphrase e finestre della compilazione automatica non si possono catturare con uno
  screenshot e non appaiono tra le app recenti.
- **Pulisce gli appunti.** Una password copiata viene rimossa dopo un timeout.
- **Controlla il server SSH.** La chiave host del server viene salvata alla prima
  connessione e controllata in seguito. La prima connessione viene accettata senza
  chiedere, quindi falla da una rete di cui ti fidi.
- **Si fida solo dei browser noti.** La compilazione automatica funziona solo nei browser
  di cui l'app riconosce il certificato di firma, e ti avvisa se l'editore di un'app
  cambia. Vedi [Autofill]({{< relref "/hardenedpass/using/autofill" >}}).
- **Rifiuta i file esterni.** Altre app possono aprire l'app, ma questa apre solo percorsi
  che stanno davvero dentro il tuo archivio.

## Da cosa l'app non ti protegge

- **Un telefono compromesso.** Un malware che controlla un telefono sbloccato vede quello
  che vedi tu. Tieni aggiornato il sistema.
- **La tua tastiera.** Un'app tastiera vede tutto quello che digiti, passphrase compresa.
  Usane una di cui ti fidi, senza accesso alla rete se il sistema lo permette.
- **Altre app che leggono gli appunti** prima che scada il timeout. La compilazione
  automatica evita del tutto gli appunti.
- **Una passphrase debole.** Se qualcuno ottiene il file della chiave, la passphrase è
  tutto quello che resta.
- **Il server git che vede i nomi.** I nomi di voci e cartelle sono nomi di file, non sono
  cifrati, quindi il server li può leggere, insieme alle date dei commit.
- **Il blocco biometrico come cifratura.** **Abilita autenticazione biometrica** è un
  cancello all'avvio dell'app. Ferma chi ha in mano per un attimo il tuo telefono sbloccato,
  ma non cifra nulla.
- **La perdita della chiave.** Nessuno può recuperare un archivio senza chiave privata e
  passphrase.

## Memorizzare la passphrase

È comodo, ma finché la passphrase è memorizzata chiunque entri nell'app sbloccata può aprire
ogni voce. La funzione è sperimentale. Se la usi, attiva anche **Cancella automaticamente le
frasi segrete memorizzate**.

## Segnalare un problema di sicurezza

Se trovi un problema di sicurezza nell'app, non aprire una issue pubblica. Scrivi a
<danix@danix.xyz>, cifrando per la chiave OpenPGP del maintainer se puoi:

```
110E 1B11 1BA2 C3C7 CCD1  27B8 F96B 36CA CC44 17AE
```

`gpg --locate-keys danix@danix.xyz` la scarica. Controlla che il fingerprint corrisponda. I
dettagli sono nel
[SECURITY.md](https://github.com/danixland/HardenedPass/blob/master/SECURITY.md) del
repository.