Plainva

Sicurezza e condivisione

Sperimentale — non ancora verificato in modo indipendente. Gli workspace cifrati vengono rilasciati come anteprima. Il design crittografico non è ancora stato sottoposto a un audit indipendente e le verifiche su due dispositivi con hardware Android e iOS reale sono ancora in corso. Provalo pure, ma conserva una copia di backup di tutto ciò che non puoi perdere e non affidargli ancora materiale che deve essere davvero protetto.

Centro sicurezza, ricifratura e slice pubblicati

Sicurezza e condivisione ha due livelli. La Panoramica (primo livello) mostra lo stato di protezione, Completa migrazione quando restano residui in chiaro, Rimuovi la connessione al cloud crittografato e due schede che aprono il secondo livello — Dispositivi e ripristino e Condividi con altri. Nel secondo livello la navigazione per aree sostituisce la colonna sinistra delle impostazioni, raggruppata in Il tuo accesso (Dispositivi, ripristino) e Condivisione (Membri, gruppi, slice, pubblicazioni); ‹ Panoramica torna al primo livello. Le azioni visibili restano disponibili: un’azione apre il vault, la connessione, la configurazione o lo sblocco necessario. La revoca può avviare una ricifratura completa ripristinabile. Crea un Vault Slice con Dettagli → Contenuto → Permessi → Revisione. Le pubblicazioni esterne vivono in un workspace cifrato separato; la proiezione ripulita rimuove proprietà private, link esclusi e incorporamenti. La pubblicazione pubblica attende revisione crittografica indipendente e prove reali Android/iOS.

Crea un Vault Slice con i quattro passaggi Dettagli → Contenuto → Permessi → Revisione. Pubblicare una porzione per persone esterne al vault funziona sul desktop e sul telefono: Crea pubblicazione crea uno spazio cifrato a sé stante, con chiavi proprie, in una cartella propria; Invita destinatario fa entrare qualcuno; Revoca l’accesso o Ritira la pubblicazione lo riprende — con un limite: revocare non recupera ciò che qualcuno ha già copiato, impedisce soltanto che arrivi qualcosa di nuovo e rende illeggibile l’epoca di chiave successiva. Una pubblicazione ripulita rimuove inoltre le proprietà private del frontmatter, neutralizza i collegamenti alle note escluse e omette gli embed esclusi; i permessi su Google Drive, OneDrive, Nextcloud, Dropbox, WebDAV o S3 sono protezione aggiuntiva, mai un sostituto dei ruoli cifrati, e Plainva mostra l’indicazione del fornitore scelto senza modificare alcuna impostazione di condivisione al posto tuo. Sul telefono il percorso passa dalla riga della porzione: Pubblica uno slice del vault la crea, poi compare sotto Pubblicazioni con modalità, accesso, il numero di oggetti e il suo stato — Aggiornata, quante modifiche sono ancora in attesa, oppure Aggiornamento non riuscito con il motivo. Un tocco sulla riga apre i Destinatari con Invita destinatario e Revoca l’accesso; una pressione lunga propone Ritira la pubblicazione. La pubblicazione pubblica resta bloccata fino alla revisione crittografica indipendente e a prove reali su due dispositivi Android/iOS.

Ultima verifica: 2026-09-04

Plainva mantiene il vault come file leggibili sul dispositivo e salva la copia cloud come oggetti cifrati opachi. Dopo aver collegato un account, apri Impostazioni → vault → Sicurezza e condivisione.

Su mobile la sezione indica prima lo stato reale di questo vault: Solo su questo dispositivo senza connessione cloud, Questa connessione non è crittografata per un normale vault cloud — Configura la crittografia esegue lì gli stessi tre passaggi del desktop (identità → file di ripristino e codice → attivazione con avanzamento riprendibile) — oppure i passaggi di accesso appena la connessione contiene un’area di lavoro crittografata.

Configurazione

  1. Scegli i nomi di proprietario e dispositivo. Le chiavi restano nel portachiavi di sistema o, se non disponibile, sotto una passphrase locale.
  2. Salva il file .pvrecovery e conserva separatamente il codice visualizzato — non nel vault che apre: Plainva rifiuta una posizione all’interno di quel vault, perché lì l’unico artefatto che non puoi ricreare resterebbe leggibile esattamente finché non ti serve. Ogni blocco ha un numero di gruppo visibile; Plainva ne chiede due e i loro valori restano nascosti finché la domanda è aperta. Mostrarli è consentito, ma così viene estratta una coppia nuova — copiare non risponde alla domanda posta qui. Un gruppo a cui hai risposto correttamente torna visibile. Servono entrambe le parti per il ripristino e nessuna contiene credenziali cloud.
  3. Attiva il workspace. Plainva pubblica la policy firmata e cifra tutti i file locali in .pvws/. Il vault locale resta leggibile. Se l’esecuzione si interrompe — un crash, un’interruzione di corrente, l’app chiusa — la volta successiva lo stato dice Configurazione incompleta e offre Riprendi configurazione: le tue chiavi sono salvate da tempo a quel punto, manca solo il resto della conversione.

Il vecchio contenuto in chiaro resta accanto a .pvws/ durante la migrazione. Puoi rimuoverlo esplicitamente solo con stato Protetto; i file locali non vengono mai eliminati.

Nell’uso quotidiano

Le modifiche offline restano in una coda durevole. Ogni modifica è firmata; una cancellazione remota da sola non elimina mai un file locale, mentre una lapide firmata può farlo. Le modifiche parallele offline vengono conservate come copie .CONFLICT-…. Blocca cancella davvero le chiavi del workspace dalla memoria — la chiave di firma, quella di decifratura e tutte le chiavi di gruppo recuperate nella sessione; Sblocca le richiede di nuovo al portachiavi di sistema o alla passphrase locale.

Dispositivi e recupero

Per aggiungere il tuo secondo dispositivo, apri Dispositivi e ripristino → Dispositivi → Aggiungi un altro dispositivo: Plainva mostra un codice di invito legato alla tua stessa iscrizione — non crea un nuovo membro. Incollalo sul secondo dispositivo (Sicurezza e condivisione → unisciti) e approvalo su un dispositivo già presente; confronta prima l’impronta su entrambi i dispositivi. Mentre il secondo dispositivo attende, mostra per quanto tempo la richiesta resta valida e chiede il confronto dell’impronta esattamente come il lato che approva — un confronto serve solo se guardano entrambi i lati. Se l’interrogazione fallisce, il motivo è lì; prima una connessione interrotta sembrava esattamente «non ha ancora approvato nessuno». Per aggiungere invece un’altra persona, usa Condividi con altri → Membri → Invita una persona (vedi sotto). Un dispositivo rimosso non può firmare nuove modifiche valide. L’invito e la richiesta di associazione di un dispositivo che si unisce vengono mostrati anche come codici QR scansionabili — su dispositivo mobile, Scansiona invito legge un codice con la fotocamera invece di incollare il testo.

Rimuovere un dispositivo o un membro comporta due costi possibili, e anche il telefono li offre entrambi. Solo da ora in poi interrompe subito l’accesso alle nuove chiavi ed è veloce. Ricifra tutto riscrive anche tutto ciò che è già cifrato; è un lavoro lungo, continua in background e riprende da solo dopo un riavvio — una scheda dedicata mostra una barra di avanzamento e un contatore di oggetti mentre è in corso, e lì dice che l’esecuzione sopravvive a un riavvio. Nessuna delle due può recuperare ciò che l’altra parte ha già scaricato, per questo la domanda lo dice prima che tu scelga. Non puoi mai rimuovere il dispositivo che hai in mano: ti escluderebbe, lasciandoti solo il pacchetto di ripristino.

Dove nessun portachiavi di sistema risponde — di solito una macchina Linux senza sessione desktop — le chiavi di questo dispositivo restano sotto una passphrase locale. Puoi cambiarla: Dispositivi e ripristino → Dispositivi → Cambia la passphrase. Plainva chiede la passphrase attuale anche a workspace sbloccato — una macchina sbloccata e incustodita è proprio il caso in cui una modifica silenziosa escluderebbe il proprietario. Vengono risigillate solo le chiavi di questo dispositivo: il tuo file di ripristino e il suo codice restano validi e gli altri dispositivi non si accorgono di nulla. Il telefono non ha quel pulsante, perché lì non c’è nulla da cambiare — Android e iOS hanno sempre un archivio chiavi, quindi la variante con passphrase non si applica mai.

Il ripristino si trova in Dispositivi e ripristino → Ripristino, suddiviso in Stato attuale (se è salvato un pacchetto di ripristino e l’impronta del workspace) e il Flusso di ripristino. Se perdi tutti i dispositivi, scegli lì Ripristina accesso e apri il file .pvrecovery con il codice conservato separatamente; Plainva crea un nuovo dispositivo proprietario, può revocare i dispositivi persi e non riscrive gli oggetti di contenuto. Rinnova recupero sostituisce il vecchio set di ripristino tramite una catena di ancoraggio con doppia firma. Conserva di nuovo il nuovo file e il codice separatamente; il vecchio set è poi non valido. Plainva chiede prima, perché il file che hai in mano smette di funzionare in quel momento.

Membri, ruoli e slice

Proprietari e amministratori possono invitare membri, creare gruppi e limitare un ruolo all’intero workspace, a uno slice o a un oggetto. Editor può leggere e modificare, Commenter leggere e commentare, Reader solo leggere e Contributor solo inserire nuovi contenuti nell’ambito assegnato — e poiché un contributor non può leggere il materiale esistente ma deve poter continuare a scrivere la propria nota, il suo permesso di scrittura vale per tutto ciò che ha creato lui stesso. La tabella completa si apre sotto Che cosa permettono i ruoli nell’area Membri; lì si trova anche la frase che altrimenti verrebbe ripetuta a metà in ogni finestra: i permessi del provider sono una seconda serratura, mai un sostituto dei ruoli cifrati. Il controllo avviene prima di ogni scrittura locale su disco e di nuovo prima della firma, quindi vale anche per importazioni, ripristini, automazioni, azioni IA e modifiche di altri programmi locali.

La proprietà può passare a un altro membro attivo. Apri Condividi con altri → Membri (su mobile: la sezione Team) e scegli Trasferisci la proprietà accanto a quella persona. Servono il file di ripristino attuale e il suo codice, perché proprietà e set di ripristino si spostano insieme: Plainva crea prima un pacchetto di ripristino sostitutivo e lo consegna solo dopo che l’hai salvato. Consegna quel file e il nuovo codice al nuovo proprietario tramite canali separati — diventi Admin, e quella persona diventa poi l’unica Owner.

Uno slice può contenere una cartella, una selezione esplicita di oggetti o una regola dinamica su percorso, tipo, tag e proprietà. Tutte e tre si scelgono, non si scrivono: spunti i membri di un gruppo in un elenco, cerchi e spunti le note di uno slice di selezione e costruisci una regola dinamica riga per riga con campo, confronto e valore — i suggerimenti di tag e proprietà provengono dagli stessi oggetti con cui l’anteprima confronta, quindi ciò che qui viene offerto può davvero corrispondere a qualcosa. Il valore grezzo salvato resta raggiungibile sotto Dettagli tecnici e modificabile; una regola scritta a mano che il costruttore non sa esprimere non viene mai riscritta in silenzio. La cartella di uno slice di cartella si sceglie direttamente dal vault con Scegli cartella… — anche sul telefono; chi preferisce digitare il percorso può continuare a farlo.

Usa sempre Anteprima prima di crearlo — anche sul telefono. Vengono materializzati solo gli ID oggetto stabili mostrati; un singolo file può contenere buste cifrate per più gruppi. Gli oggetti non autorizzati non vengono materializzati né inseriti in ricerca, grafo o anteprime. Sul telefono puoi creare uno slice di cartella; selezione e regola dinamica restano sul desktop, perché entrambe richiedono una superficie di scelta sull’intero insieme di oggetti.

Se la definizione di uno slice non è più leggibile — una voce modificata a mano, una regola rotta — allora non concede nulla, nemmeno tramite gli oggetti che copriva per ultimi. Entrambe le interfacce indicano il motivo invece di mostrare «0 oggetti»: uno zero si legge come una condivisione vuota, non come una rotta. E quando sposti una nota fuori da una cartella condivisa, Plainva chiede prima e nomina i gruppi che perdono l’accesso — la propria perdita si nota subito, quella altrui mai.

Commenti, versioni e quarantena

Commenti e suggerimenti — la colonna, gli ancoraggi, la modalità suggerimenti, la panoramica e le notifiche — sono descritti in Commenti e suggerimenti; funzionano in ogni vault. Questa pagina conserva solo ciò che dipende dal workspace.

Quando una nota è pubblicata e i suoi destinatari hanno scritto qualcosa, questo compare sotto i tuoi thread — una sezione Risposte da “…” per ogni pubblicazione, con i nomi presi dal suo elenco dei membri. Quelle annotazioni vivono nel workspace della pubblicazione, mai nel tuo vault, perciò qui puoi soltanto leggerle. Rispondere, risolvere o applicare un suggerimento sarebbe una scrittura nella pubblicazione e da questa parte non è possibile. Se la pubblicazione contiene una versione ripulita, la scheda dice che il suggerimento non può essere applicato qui; se qualcuno non ha più accesso, anche questo è indicato lì. Se una pubblicazione è bloccata o la sua chiave manca su questo dispositivo, la sua sezione semplicemente non compare — i tuoi commenti non ne sono toccati. Sul telefono questa colonna non esiste.

Cronologia versioni legge le revisioni cifrate del workspace e ripristina una revisione precedente come nuova modifica firmata o come copia.

Gli artefatti remoti non validi vengono isolati singolarmente in Integrità e fork locali. Puoi riprovare, esportare il ciphertext, contrassegnare come riparato un artefatto riparato esternamente, oppure ignorarlo deliberatamente. Un file non valido non blocca il resto della sincronizzazione valida, e la sola assenza remota non equivale mai a eliminazione. Una modifica apportata da un programma locale senza permesso di scrittura viene conservata come una copia privata del fork. Un fork locale — la copia che questo dispositivo conserva quando una scrittura è stata rifiutata — ha Confronta: la stessa vista di confronto di un conflitto, con le uscite Adotta, Tieni entrambi e Scarta; poi il fork sparisce dall’elenco. Sul telefono allo stesso modo.

Cosa dice Integrità e fork locali

Se un artefatto dal cloud non supera un controllo, resta in quarantena e la sincronizzazione prosegue per tutto il resto. La scheda mostra un gruppo per causa e dispositivo, con il numero di voci, una spiegazione e, dove c’è, una riga Cosa puoi fare. Il gruppo più frequente è una catena interrotta: questo dispositivo attende da un altro la modifica n. 14 mentre nel cloud c’è la n. 16 — di solito dietro c’è una seconda copia dello stesso dispositivo (per esempio un’istanza di sviluppo con un proprio archivio) o un dispositivo ricollegato che riparte a contare da 1. Ricontrolla attende la prossima sincronizzazione e dice cosa è ancora aperto; ciò che passa sparisce da solo da Aperti e resta sotto Tutti come risolto. Esporta diagnosi scrive un file JSON con causa, dispositivo, numeri di sequenza e orari (sul telefono negli appunti), mai contenuti. Dietro ⋯ stanno Segna come risolto e Ignora gruppo: ignorare è definitivo, le modifiche del gruppo vanno perse. Mostra voci nomina per ogni artefatto la chiave cloud e il motivo tecnico.

Rimuovere correttamente un vault cifrato

Quando non ti serve più un vault cifrato, dismettilo in Plainva prima di eliminare la cartella cloud. L’ordine conta: la protezione fail-closed mantiene la sincronizzazione ferma se la copia cloud sparisce mentre Plainva si aspetta ancora una connessione cifrata — questo ti protegge da un aggressore che tolga la cifratura per forzare il testo in chiaro.

  1. Apri Impostazioni → vault → Security & Sharing.
  2. Nella panoramica, nella scheda Crittografia, scegli Rimuovi la connessione al cloud crittografato. Plainva cancella le chiavi locali e i dati del workspace su questo dispositivo e riapre il vault come un vault normale. (Questa è un’operazione locale del dispositivo: la copia nel cloud resta cifrata. Per riaverla in testo in chiaro la strada è Annulla la crittografia — vedi il paragrafo qui sotto.)
  3. Solo a questo punto elimina la cartella cloud (gli oggetti .pvws/) presso il tuo provider se vuoi liberartene. Plainva non elimina per te gli oggetti cifrati nel cloud.

Su mobile lo stesso passaggio si trova nello stesso punto, con una differenza: lo confermi digitando il nome del vault. Tutto il resto è identico — le chiavi locali e i dati del workspace spariscono, il vault si riapre come un vault normale e gli oggetti crittografati nel cloud restano finché non li elimini tu stesso. Funziona senza connessione, perché in questo passaggio non c’è nulla di remoto.

Per, invece, porre completamente fine alla crittografia e mantenere il vault nel cloud come file normali, scegli Rimuovere la crittografia nella stessa scheda Crittografia: Plainva riapre il vault come un normale vault cloud e ricarica tutte le tue note nello stesso cloud come file in chiaro, poi smette di cifrare. I file locali non vengono mai modificati e nulla viene eliminato; la vecchia cartella cifrata .pvws/ resta finché non la elimini presso il tuo provider (Plainva non può rimuovere per te quegli oggetti immutabili). Conferma prima l’avviso di pericolo — le note lasciano l’archivio cifrato come testo in chiaro. Sul telefono la stessa azione si trova nella panoramica Sicurezza accanto a Rimuovi il collegamento al cloud cifrato; il caricamento in chiaro prosegue lì tramite la normale coda di sincronizzazione — anche dopo un cambio di app, secondo le regole per i dati mobili — e una scheda conta quanti file mancano ancora.

Se hai già eliminato la copia cloud e la sincronizzazione ora fallisce con un errore «area di lavoro mancante» o «manifest mancante», la soluzione è lo stesso ripristino, offerto dove compare l’errore:

Entrambe le azioni sono esplicite e confermate. Plainva non declassa mai in silenzio una connessione cifrata a testo in chiaro, e nessuna delle due azioni elimina file locali. Se il cloud contiene ancora contenuti cifrati che vuoi davvero, annulla invece — reimpostare riprenderebbe la sincronizzazione in chiaro.

Rimuovere un vault con Dimentica i dati dell’app (Splash → rimuovere un vault → dimentica anche i dati dell’app) cancella anche questi marcatori di cifratura, così un vault rimosso in questo modo non lascia nulla che possa bloccare una riconnessione successiva.