¿Es segura Novaz Authenticator?
En resumen: tus claves de configuración se quedan en el llavero de tu iPhone y nunca se nos envían. Solo salen del iPhone si tú lo decides, en una copia de seguridad cifrada. No hay ninguna cuenta ni ningún servidor que guarde tus códigos. Aquí tienes los detalles, incluidos los límites.
Esta página describe la versión 1.0.5 de la app, comprobada con su código. Cuando algo de lo que se explica aquí cambia, actualizamos la página y la fecha de arriba. Cómo tratan tu información la app y esta web se explica en la Política de privacidad.
Dónde se guardan tus claves de configuración
Cada cuenta que añades tiene una clave de configuración, el secreto a partir del cual se calculan tus códigos. Novaz guarda las claves en el llavero del iPhone, con la clase de protección AfterFirstUnlockThisDeviceOnly. En la práctica:
- Solo este dispositivo. La copia principal de tus claves no se sincroniza a través del Llavero de iCloud. No la traslada Inicio rápido ni la restauración de una copia de seguridad del iPhone en otro iPhone. Para llevar tus cuentas a un iPhone nuevo, usa una de las copias de seguridad opcionales que se describen más abajo. Consulta Cómo transferir tu app de autenticación a un iPhone nuevo.
- Después del primer desbloqueo. Tras reiniciar, las claves no se pueden leer hasta que hayas desbloqueado el iPhone una vez. A diferencia de los elementos marcados como «cuando hay código», las claves también se conservan si desactivas el código del iPhone.
- No están en nuestros servidores. No hay cuenta de Novaz ni ningún servidor que guarde tus claves. No podríamos ver tus claves ni tus códigos aunque quisiéramos.
Los ajustes de la app, como el estilo de cuenta atrás o si el bloqueo de la app está activado, también se guardan en el dispositivo.
Copias de seguridad (opcionales)
Nada sale de tu iPhone a menos que actives una de estas opciones, en Copia de seguridad dentro de Ajustes:
- Copia en iCloud (PRO). Novaz guarda una copia de tus cuentas como un elemento aparte en el Llavero de iCloud, que Apple cifra de extremo a extremo y sincroniza con tus dispositivos que tengan la sesión iniciada con el mismo ID de Apple. El Llavero de iCloud debe estar activado. En un iPhone nuevo, la pantalla Códigos vacía ofrece Restaurar desde iCloud. La restauración también funciona en la versión gratuita. Al desactivar la copia en iCloud, esa copia se elimina de iCloud en todos tus dispositivos. Los códigos de tu iPhone se conservan.
- Archivo de copia de seguridad (gratis). Exportar a archivo… guarda tus cuentas en un archivo cifrado con una contraseña que tú eliges, de al menos 8 caracteres. El archivo se cifra con AES-256-GCM, con una clave derivada de tu contraseña mediante PBKDF2-HMAC-SHA256 y 600 000 iteraciones. Tú decides adónde va el archivo, por ejemplo Archivos o AirDrop. Importar desde archivo… lo vuelve a leer después de que escribas la contraseña. Nosotros no podemos abrir el archivo ni recuperar la contraseña.
Apple Watch, widgets y Autorrelleno (opcionales, PRO)
Están desactivados hasta que los activas en Ajustes. Cada uno entrega tus códigos a otra parte del sistema:
- Mostrar códigos en el Apple Watch envía tus cuentas a Authenticator en tu Apple Watch enlazado, donde se guardan en el llavero del reloj y las protege el código del reloj.
- Mostrar códigos en widgets escribe tus cuentas en un elemento del llavero compartido con los widgets de la app, marcado como «solo este dispositivo». Los códigos de los widgets se pueden ver sin desbloquear la app. En la pantalla bloqueada permanecen ocultos hasta que desbloqueas el iPhone.
- Autorrellenar códigos permite que iOS ofrezca tus códigos cuando una web o una app pide uno. Si el bloqueo de la app está activado, Novaz pide Face ID o tu código antes de rellenar un código.
Al desactivar cualquiera de ellos, se elimina la copia que usaba.
Cómo se generan los códigos
Los códigos se calculan en tu iPhone con el algoritmo estándar de contraseña de un solo uso basada en tiempo (TOTP, RFC 6238). El HMAC procede de CryptoKit de Apple. Novaz admite:
- SHA-1, SHA-256 y SHA-512,
- códigos de 6 a 8 dígitos,
- intervalos de 1 a 300 segundos.
Los enlaces de configuración que piden algo fuera de estos rangos se rechazan en lugar de guardarse. No se admiten los códigos basados en contador (HOTP) ni MD5.
Bloqueo de la app
El bloqueo de la app es opcional. Novaz lo ofrece la primera vez que abres la app. Más adelante, puedes activarlo con Bloquear la app en Seguridad, dentro de Ajustes, y elegir el método en Desbloquear con.
- Face ID o Touch ID usa el framework LocalAuthentication de Apple. Novaz nunca ve los datos de tu cara ni de tu huella, solo si la comprobación se ha superado. Sin código de la app, la alternativa es el código de tu iPhone. Si creas un código de la app de seis dígitos, ese pasa a ser la alternativa.
- El código de la app de seis dígitos nunca se guarda. Novaz conserva un hash PBKDF2-HMAC-SHA256 de él, con una sal aleatoria y 100 000 iteraciones, en el llavero de este dispositivo. Al ser un hash lento, adivinar el código a partir de una copia de ese elemento resulta costoso.
- Los códigos incorrectos activan esperas cada vez más largas: 30 segundos después del quinto intento fallido, luego 1 minuto, 5 minutos, 15 minutos y 1 hora a partir del noveno intento. El número de intentos se guarda en el llavero, así que cerrar la app no lo reinicia.
- Pedir desbloqueo. En Ajustes, elige Inmediatamente, Después de 1 minuto o Después de 5 minutos: cuánto tiempo puedes salir de la app antes de que vuelva a bloquearse.
- Código olvidado. Novaz nunca guarda el código en sí, así que no puede mostrártelo ni enviarlo a ningún sitio. Si usas Face ID con el código como alternativa, Face ID sigue abriendo la app.
- Selector de apps. Cuando la app pasa a segundo plano, su pantalla se cubre, así que los códigos no aparecen en el selector de apps.
- Ocultar códigos hasta tocar. Con esta opción activada (en Seguridad, dentro de Ajustes), los códigos se muestran como puntos hasta que los tocas, y se vuelven a ocultar cuando sales de la app.
El portapapeles
Cuando copias un código, Novaz lo pone en el portapapeles con dos restricciones:
- caduca cuando el código deja de ser válido, y
- es solo local, así que el Portapapeles universal no lo envía a tus otros dispositivos Apple.
Cámara y fotos
- Cámara. La cámara solo se usa mientras la pantalla Escanear código QR está abierta, para leer códigos QR de configuración. No se graba ni se guarda nada.
- Fotos. Novaz no pide acceso a tu fototeca. Cuando eliges una captura de pantalla, el selector de fotos de iOS le da a la app solo esa imagen. La app lee el código QR de ella y no guarda nada más.
Solicitudes de red que hace la app
Novaz funciona sin conexión. Los códigos no necesitan conexión. Cuando hay conexión, la app hace estas solicitudes:
| Solicitud | Para qué | Qué se envía |
|---|---|---|
Una solicitud HEAD a https://www.apple.com/ |
Para leer la hora actual de la respuesta y avisarte si el reloj de tu iPhone va desfasado. Cuando abres la app o vuelves a ella, como máximo una vez cada 10 minutos. | Una solicitud vacía, sin datos sobre ti ni sobre tus cuentas. |
https://novaz.app/apps.json, itunes.apple.com/lookup de Apple y los iconos de las apps desde los servidores de imágenes de Apple |
Para mostrar otras apps de Novaz en Más apps cuando abres Ajustes, como máximo cada 6 horas. | Solo los datos estándar de la solicitud. Tus cuentas no intervienen. |
Páginas de novaz.cc |
Solo cuando tocas Guías, Soporte, Política de privacidad o Términos del servicio en Ajustes. Se abren en un navegador dentro de la app. | Los datos estándar de una solicitud web. |
| Llavero de iCloud, gestionado por Apple | Solo si activas la Copia en iCloud. Apple sincroniza la copia cifrada entre tus dispositivos. | Tu copia de seguridad, cifrada de extremo a extremo por Apple. Nosotros nunca la recibimos. |
| La App Store, a través de StoreKit | Para mostrar los precios y gestionar la suscripción PRO. | Lo gestiona Apple. Nunca vemos tus datos de pago. |
La app no contiene SDK de analítica, publicidad ni rastreo. Su etiqueta de privacidad en la App Store es «Datos no recopilados».
Contra qué no puede protegerte Novaz
Tener claros los límites te ayuda a decidir cómo usar la app:
- Perder el iPhone sin ninguna copia de seguridad. Las claves nunca se nos envían, así que no tenemos nada que restaurar. Activa la copia en iCloud o guarda un archivo de copia de seguridad, y guarda además los códigos de respaldo de cada servicio en otro sitio.
- Una contraseña de copia débil. Cualquiera que tenga tu archivo de copia de seguridad y adivine su contraseña puede leer tus claves. Usa una contraseña larga que no uses en ningún otro sitio.
- Alguien que puede desbloquear tu iPhone. Con el bloqueo de la app desactivado, puede abrir la app y leer tus códigos. El bloqueo de la app evita un vistazo rápido, pero no sustituye a un código del iPhone que solo conozcas tú.
- Un dispositivo comprometido. En un iPhone con jailbreak, o con malware que tenga acceso al sistema, ninguna app puede garantizar que sus datos sigan siendo privados.
- Phishing. Una página de inicio de sesión falsa puede pedirte tu código actual y usarlo al momento. Comprueba siempre que estás en la web auténtica antes de escribir un código.
Informar de un problema de seguridad
Si crees que has encontrado una vulnerabilidad en la app o en esta web, escribe a support@novaz.app con «Seguridad» en el asunto. Danos la oportunidad de corregirla antes de publicar los detalles. Nuestro security.txt tiene el mismo contacto.