El flujo de recuperación descrito aquí —conocimiento dividido, verificación por videollamada, reconstrucción invisible para el servidor— es el diseño bloqueado. La configuración se enviará en la versión de junio de 2026 junto con el registro de múltiples dispositivos. Los clientes de acceso anticipado pueden solicitar acceso a través de support@clavitor.ai.
Para el día que pierda su clave de hardware
El cifrado real necesita una recuperación real.
La mayoría de los gestores de contraseñas tienen un flujo de recuperación que es un desastre de seguridad: restablecimientos por correo electrónico, códigos SMS, preguntas de seguridad, todo saltándose el cifrado. La recuperación de Clavitor pasa a través del cifrado. Es la única respuesta honesta cuando "no podemos descifrar su bóveda" es la promesa real.
El momento de las 2 AM
Está en un hotel. Su portátil se ha estropeado. Su YubiKey está en un cajón en casa. La pantalla de su teléfono está rota. Necesita una credencial para iniciar sesión en el sistema que está caído.
Este es el momento en que la configuración que realizó al registrarse importa. Con Clavitor, dos pasos:
1. Envíe un correo electrónico a support@clavitor.ai y reserve una videollamada. 2. En la llamada, usted lee el material de verificación que usted eligió al configurar — una frase de código, un enlace de vídeo, una foto, su elección. El operador le lee un código de sesión. Su navegador reconstruye la clave en el dispositivo.
Ese es todo el flujo. Sin SMS. Sin preguntas de seguridad. Sin "haga clic en el enlace de su correo electrónico" que solo es tan fuerte como la seguridad de otra cuenta. El servidor nunca ve la clave reconstruida, ni siquiera durante la recuperación.
Por qué otros flujos de recuperación son teatro
Un gestor de contraseñas que le permite "hacer clic aquí para restablecer" está admitiendo que su cifrado fue una sugerencia, no una garantía. Si el soporte puede permitirle el acceso con un clic, el soporte puede permitir que cualquiera acceda con el mismo clic — bajo coacción, con una cuenta de correo electrónico robada, después de una llamada de ingeniería social.
Recuperación tan fuerte como su cuenta de correo electrónico. Lo que es recuperación tan fuerte como su cuenta de correo electrónico. El eslabón más débil de la cadena se convierte en su bóveda.
Recuperación a través de un número que no controla. Recuperación para el atacante de SIM-swap, no para usted.
Recuperación a través de datos en su perfil de LinkedIn, en su anuario de secundaria, en el nombre de soltera de su madre. Trivial de conseguir mediante ingeniería social.
Estos no son flujos de recuperación. Son admisiones de que el cifrado era decorativo.
Por qué el nuestro es diferente
Tres propiedades hacen que la recuperación de Clavitor sea criptográficamente sólida en lugar de un teatro procedimental:
Conocimiento dividido
Usted tiene un código de recuperación de 48 caracteres (cuadrícula de 8×6). Nosotros tenemos un ancla de recuperación de 32 bytes. Ambos son 256 bits de entropía pura; ninguno por sí solo desbloquea nada. Matemáticas, no política.
Puerta humana
Sin punto final automatizado. Sin límite de intentos que sortear por fuerza bruta. Para obtener nuestra mitad, una persona en Clavitor le verifica en una videollamada contra el material que usted almacenó con nosotros al configurar — su elección de qué.
Invisible para el servidor, incluso en medio de la recuperación
Nuestra mitad viaja a su navegador. Las matemáticas ocurren en su dispositivo. Nunca vemos la clave reconstruida, ni siquiera durante la recuperación. La misma arquitectura que oculta su bóveda de nosotros, la oculta de nosotros durante la recuperación también.
Dos capas de red de seguridad
Configure ambas. Cada una protege contra una categoría diferente de pérdida:
Registre múltiples dispositivos
La misma clave de bóveda registrada contra el Touch ID de su portátil, el Face ID de su teléfono y una YubiKey en un cajón. Cualquiera de ellas desbloquea la bóveda. Pierde su portátil — todavía tiene su teléfono. Pierde ambos — todavía tiene la YubiKey.
Configure la recuperación
Para el día en que todos los dispositivos registrados desaparezcan a la vez. Genere su código de recuperación, elija su material de verificación, almacene ambos de forma segura. Dos minutos de trabajo al registrarse. El flujo de videollamada anterior se activa cuando lo necesita.
Cada una es su propia capa. La mayoría de los clientes solo necesitarán la primera — un segundo dispositivo. El flujo de recuperación existe para el día en que la primera capa no sea suficiente. Ese día, estará muy, muy agradecido de haber dedicado los dos minutos.
Cómo es realmente la configuración
Dos minutos durante la incorporación:
1. Generar — Clavitor produce un código de 48 caracteres en una cuadrícula de 8×6. Nunca lo almacenamos. 2. Guardar — imprímalo, envíelo por correo electrónico a usted mismo, escríbalo en una tarjeta. Dondequiera que lo encuentre. 3. Confirmar — escriba un subconjunto aleatorio para demostrar que lo almacenó correctamente. 4. Elegir material de verificación — una frase de código, una foto, un enlace de vídeo. Lo que un humano pueda usar para confirmar que realmente es usted, que un atacante no puede adivinar o robar.
Puede regenerar el código en cualquier momento — el anterior deja de funcionar en el momento en que se genera uno nuevo.
Lo que no podemos hacer
Somos explícitos sobre los límites. La misma arquitectura que hace que la recuperación de Clavitor sea criptográficamente real también significa que no hay una puerta trasera si pierde su mitad.
Sin anulación, sin base de datos de respaldo que podamos consultar, sin ingeniero que pueda emitirle una nueva clave. No tenemos su mitad; nunca la tuvimos. La criptografía que protege su bóveda de nosotros también nos impide rescatarle.
La videollamada es la puerta de acceso, no una cortesía. El operador no puede omitir el paso de verificación "esta vez" — el material de verificación que usted eligió es el único camino.
Ese es el trato. El cifrado real cuesta una videollamada programada en lugar de un enlace de restablecimiento instantáneo. La mayoría de los clientes están contentos de pagarlo, una vez que entienden lo que cuesta el enlace de restablecimiento.
Dos minutos hoy.
Gratis para siempre hasta 10 entradas; sin tarjeta, sin temporizador de prueba.
El registro de múltiples dispositivos y la configuración de recuperación son parte de cada flujo de registro. Dos minutos en total. Se lo agradecerá.