このサイトが扱う情報は？
静的な製品紹介サイトです。ログイン、コメント、問い合わせフォーム、広告、アクセス解析スクリプトはありません。訪問者の追跡に Cookie やローカルストレージを使いません。デモは架空のアカウントと固定のサンプル数字のみを使います。
ホームページにアクセスした際、ブラウザーの言語設定から対応する表示言語を選びます。手動で切り替えた言語は、このブラウザーのローカルストレージに保存し、次回ホームページにアクセスした際に優先します。特定の言語の URL を直接開いた場合は、その URL を優先します。この設定は言語の選択にのみ使用し、追跡には使用しません。このサイトのデータを削除するとリセットできます。ローカルストレージが無効でも言語は切り替えられますが、選択を保存できない場合があります。
デモのチケットをタップしたときだけ、サンプルコードをクリップボードに書き込もうとします。クリップボードの読み取りや、本物のシークレット、PIN、リカバリーコードの入力要求は行いません。
このサイトは自主管理のサーバーで公開します。実際の設定に応じて、運用やセキュリティ調査のために IP アドレス、リクエスト時刻、アクセス先などのログを記録する場合があります。GitHub などの外部リンク先では、そのサイトのプライバシーポリシーが適用されます。
アプリはデータをどう保存しますか？
現在の Apple 向け単体版は、アカウント情報を暗号化して端末に保存します。生体認証用の解除鍵、PIN でラップされた鍵、失敗回数などはシステムのキーチェーンに保存します。生体認証は OS が処理し、アプリは顔や指紋のテンプレートを読み取りません。
keyfold のサーバーアカウントは不要で、クラウド同期はまだありません。リカバリーコードは自分で保管します。代わりに復旧できるサーバーはありません。
今後の同期について
ユーザーが選んだストレージを利用する予定です。アップロード前に暗号化し、ストレージ側には暗号文を保存する設計です。まだ利用できません。外部ストレージの連携時に、データ処理と権限に関する説明を追加します。
どこで確認できますか？
コードと保管庫のファイル仕様は公開されています。この説明は現在の実装と明示された計画を記したもので、セキュリティ監査の完了を示すものではありません。
公開 Issue に本物の認証情報や未加工のデータを投稿しないでください。