Plainva

セキュリティと共有

実験的機能——独立した検証はまだ行われていません。 暗号化ワークスペースはプレビューとして提供しています。暗号設計は独立した第三者による監査をまだ受けておらず、実機の Android および iOS での2台構成の検証も進行中です。試していただいて構いませんが、失っては困るものは必ずバックアップを取り、本当に保護が必要な内容についてはまだ頼らないでください。

セキュリティセンター、再暗号化、公開 Slice

セキュリティと共有 には 2 つの階層があります。概要（第 1 階層）には、保護状態、（平文の残りがある場合の）移行を完了、暗号化されたクラウドへの接続を解除、そして第 2 階層を開く 2 つのカード（デバイスと復旧 と 他の人と共有）が表示されます。第 2 階層では、領域ナビゲーションが設定の左カラムに代わり、自分のアクセス（デバイス、復旧）と 共有（メンバー、グループ、スライス、公開）にまとめられます。‹ 概要 で第 1 階層に戻ります。表示されているアクションは引き続き使用できます。必要に応じて Vault、接続、設定、ロック解除を開きます。取り消し時は再開可能な完全再暗号化を実行できます。Vault Slice は 詳細 → 内容 → 権限 → 確認 で作成します。外部公開は別の暗号化 Workspace を使い、净化投影は私有属性・除外リンク・埋め込みを削除します。公開リリースには独立暗号レビューと実機 Android/iOS 証拠が必要です。

Vault Slice は 詳細 → 内容 → 権限 → 確認 という 4 つのステップで作成します。保管庫の外の人へのスライスの公開はデスクトップでもスマートフォンでも行えます。公開を作成 は独自の鍵をもつ別個の暗号化ワークスペースを専用フォルダーに作り、受け取り手を招待 で誰かを入れられ、アクセス権を取り消す または 公開を取り下げる で取り戻せます。ただし限界が一つあります。取り消しても、相手がすでに複製したものは取り戻せません。できるのは、これ以降新しいものが届かないようにし、次の鍵世代を読めなくすることだけです。サニタイズされた公開では、さらに非公開のフロントマター項目を取り除き、除外したノートへのリンクを無効化し、除外した埋め込みを省きます。Google Drive、OneDrive、Nextcloud、Dropbox、WebDAV、S3 の権限は追加の保護であり、暗号化された役割の代わりにはなりません。Plainva は選んだ提供元に応じた助言を表示しますが、共有設定を代わりに変更することはありません。スマートフォンでも道筋は同じで、スライスの行から始まります。保管庫スライスを公開 で作成すると、公開 の下にモード、アクセス権、オブジェクト数、そして状態が並びます — 最新です、未反映の変更数、または理由付きの 更新に失敗しました。行をタップすると 受け取り手 が開き、受け取り手を招待 と アクセス権を取り消す が使えます。長押しすると 公開を取り下げる が現れます。独立した暗号レビューと実機の Android/iOS 二台による確認が記録されるまで、一般公開は保留のままです。

最終確認: 2026-09-04

Plainvaはデバイス上の保管庫を通常の読めるファイルのまま保ち、クラウドコピーを不透明な暗号化オブジェクトとして保存します。アカウント接続後、設定 → 保管庫 → セキュリティと共有を開きます。

モバイルでは、この画面がまずこの保管庫の実際の状態を示します。クラウド接続がなければ この端末のみ、通常のクラウド保管庫なら この接続は暗号化されていません — そこで 暗号化を設定 を選ぶと、デスクトップ版と同じ 3 ステップ（アイデンティティ → 復旧ファイルとコード → 再開可能な進捗付きの有効化）が実行されます。接続に暗号化ワークスペースがあれば参加手順が表示されます。

設定

  1. 所有者名とデバイス名を選びます。鍵はOSキーチェーン、利用できない場合はローカルパスフレーズで保護されます。
  2. .pvrecoveryファイルを保存し、表示された復旧コードを別の場所に保管します — そのファイルが開く保管庫の中には保存できません。Plainvaはその保管庫内の場所を拒否します。再作成できない唯一の成果物が、必要にならない間だけそこで読める状態になってしまうからです。各コードブロックには見やすいグループ番号があります。Plainvaはそのうち2つを尋ね、質問が開いている間は値を隠したままにします。表示すること自体は可能ですが、その場合は新しい組が引き直されます — コピーはここで問われていることの答えにならないからです。正しく答えたグループは再び表示されます。復旧には両方が必要で、クラウド認証情報は含みません。
  3. ワークスペースを有効化します。Plainvaは署名済みポリシーを公開し、ローカルの全ファイルを.pvws/へ暗号化します。ローカル保管庫は読めるままです。処理が途中で止まった場合 — クラッシュ、停電、アプリの終了 — 次回の状態はセットアップ未完了と表示し、セットアップを再開を提示します。その時点で鍵はとうに保存されており、残っているのは変換の続きだけです。

旧平文は移行中.pvws/の隣に残ります。状態が保護済みになってから明示的に削除でき、ローカルファイルは削除されません。

日常の利用

オフラインでの変更は永続的なキューに残ります。すべての変更には署名が付きます。リモート側で削除されただけではローカルのファイルが消えることはありませんが、署名付きの削除記録（トゥームストーン）であれば削除されます。オフラインで並行して編集した内容は .CONFLICT-… というコピーとして保存されます。ロックはワークスペースの鍵をメモリから実際に消去します — 署名鍵、復号鍵、そしてセッションが取得したすべてのグループ鍵です。ロック解除はそれらをシステムのキーチェーンまたはローカルのパスフレーズから取り直します。

デバイスと復旧

自分の 2 台目のデバイスを追加するには、デバイスと復旧 → デバイス → 別のデバイスを追加 を開きます。Plainva は自分のメンバーシップに紐づいた招待コードを表示します — 新しいメンバーは作成されません。2 台目のデバイスで貼り付け（セキュリティと共有 → 参加）、すでに参加しているデバイスで承認してください。先に両方のデバイスでフィンガープリントを比較します。2 台目のデバイスは待機中に、要求があとどれだけ有効かを示し、承認する側とまったく同じようにフィンガープリントの照合を求めます — 照合は両側が見て初めて意味を持つからです。問い合わせが失敗した場合は理由が示されます。以前は接続が切れていても「まだ誰も承認していない」とまったく同じに見えていました。代わりに別の人を招く場合は、他の人と共有 → メンバー → 人を招待 を使います（下記参照）。削除したデバイスは新しい有効な変更に署名できません。招待と、参加するデバイスからのペアリング要求は、スキャン可能な QR コードとしても表示されます — モバイルでは、招待をスキャン がテキストを貼り付ける代わりにカメラでコードを読み取ります。

デバイスやメンバーを削除するには 2 つのコストがあり、モバイルでも両方が用意されています。今後のみ は新しい鍵へのアクセスをすぐに終了し、短時間で完了します。すべて再暗号化 はすでに暗号化された内容もすべて書き直します。これは時間のかかる作業で、バックグラウンドで継続し、再起動後も自動的に再開されます — 実行中は専用のカードが進捗バーとオブジェクト数を表示し、この処理が再起動をまたいで続くこともそこに書かれています。どちらの方法も、相手側がすでにダウンロード済みの内容を取り戻すことはできません。そのため、選択する前に確認画面でその旨が示されます。今お使いのデバイスを削除することはできません。削除すると、この端末がロックアウトされ、復旧パッケージしか残らなくなります。

システムのキーチェーンが応答しない環境 — 通常はデスクトップセッションのない Linux マシン — では、このデバイスの鍵はローカルのパスフレーズの下に置かれます。変更もできます: デバイスと復旧 → デバイス → パスフレーズを変更。Plainva はワークスペースがロック解除されていても現在のパスフレーズを尋ねます — 無人でロック解除されたマシンこそ、黙って変更されると持ち主が締め出される場面だからです。封じ直されるのはこのデバイスの鍵だけです。復旧ファイルとそのコードは有効なままで、他のデバイスは何も気づきません。モバイルにこのボタンはありません。そこには変更するものがないからです — Android と iOS には常にキーストアがあり、パスフレーズ方式が使われることはありません。

復旧は デバイスと復旧 → 復旧 にあり、現在の状態（復旧パッケージが保存されているか、およびワークスペースのフィンガープリント）と 復旧の手順 に分かれています。すべてのデバイスを失った場合は、そこで アクセスを復旧 を選び、別に保管したコードで .pvrecovery ファイルを開きます。Plainva は新しい所有者デバイスを作成し、失われたデバイスを失効でき、コンテンツオブジェクトは書き換えません。復旧情報を更新 は、二重署名のアンカーチェーンによって古い復旧セットを置き換えます。新しいファイルとコードを再び別々に保管してください。その後、古いセットは無効になります。 その瞬間に手元のファイルが使えなくなるため、Plainvaは実行前に確認します。

メンバー、ロール、Slice

所有者と管理者はメンバーを招待し、グループを作成し、ロールをワークスペース全体、Slice、または1オブジェクトに限定できます。Editorは閲覧と編集、Commenterは閲覧とコメント、Readerは閲覧のみ、Contributorは指定範囲での新規作成のみが可能です — contributor は既存の内容を読めませんが、自分が書いたノートは書き続けられる必要があるため、書き込み権限は自分が作成したものすべてに及びます。完全な表はメンバー画面の各ロールでできることに折りたたまれています。そこには、そうしなければ各ダイアログで半分ずつ繰り返されることになる一文もあります: 提供元での権限は二つ目の錠であって、暗号化されたロールの代わりにはなりません。検査はローカルへの書き込みごとに行われ、署名の直前にもう一度行われます。したがってインポート、復元、自動化、AI 操作、そして他のローカルプログラムによる変更にも適用されます。

所有権は、他のアクティブなメンバーに移せます。他の人と共有 → メンバーを開き（モバイルでは Team 画面）、その人の横にある 所有権を移す を選びます。所有権と復旧セットは一緒に移動するため、現在の復旧ファイルとそのコードが必要です。Plainvaはまず代わりの復旧パッケージを作成し、保存した後にのみ引き渡します。そのファイルと新しいコードを別々の経路で新しい所有者に渡してください。渡した側はAdminになり、相手だけが唯一のOwnerになります。

Slice はフォルダー、明示的なオブジェクト選択、またはパス・種類・タグ・プロパティによる動的ルールを含められます。3 つとも入力するのではなく選びます: グループのメンバーは一覧でチェックし、選択 Slice のノートは検索してチェックし、動的ルールはフィールド・比較・値から 1 行ずつ組み立てます — タグとプロパティの候補は、プレビューが照合するのと同じオブジェクトから取られるので、ここで提示されるものは実際に何かに一致し得ます。保存された生の値は技術的な詳細から引き続き参照でき、編集もできます。ビルダーが表現できない手書きのルールが黙って書き換えられることはありません。 フォルダー Slice のフォルダーは フォルダーを選択… で Vault から直接選べます——スマートフォンでも同じです。パスを入力したい場合は、これまでどおり入力できます。

作成前に必ずプレビューを使ってください — モバイルでも同じです。実体化されるのは表示された安定オブジェクト ID だけで、1 つのファイルが複数グループ向けの暗号化エンベロープを持つこともあります。権限のないオブジェクトは実体化されず、検索、グラフ、プレビューにも入りません。モバイルで作成できるのはフォルダーの Slice です。選択と動的ルールはデスクトップに残ります。どちらもオブジェクト全体を見渡す選択画面を必要とするからです。

Slice の定義が読めなくなった場合 — 手で書き換えられた項目、壊れたルール — その Slice は何も許可しません。最後に含んでいたオブジェクト経由でも同じです。両方の画面は「0 件」と表示する代わりに理由を示します: ゼロは壊れた共有ではなく空の共有のように読めてしまうからです。また、共有フォルダーからノートを移動すると、Plainva は先に確認し、アクセスを失うグループ名を挙げます — 自分の損失にはすぐ気づきますが、他人の損失には決して気づかないからです。

コメント、バージョン、隔離

コメントと提案（列、アンカー、提案モード、一覧、通知）は コメントと提案 で説明しています。これらはすべての保管庫で使えます。このページにはワークスペースに関わることだけを残しています。

ノートを公開していて受け取った人が何かを書いた場合、それは自分のスレッドの下に表示されます。公開ごとに 「…」からの返信 という独立したセクションになり、名前はその公開のメンバー一覧から取られます。これらの書き込みは公開側のワークスペースにあり、自分の Vault には決して入りません。そのためここでは読むことしかできません。返信・解決・提案の適用はいずれも公開側への書き込みになるため、この側からは行えません。公開側が整理された版を持っている場合は、提案をここでは適用できないことがカードに表示されます。誰かがアクセスできなくなった場合も同様に表示されます。公開がロックされている、またはこの端末にその鍵がない場合、そのセクションは単に表示されません。自分のコメントには影響しません。スマートフォンにこの列はありません。

バージョン履歴は暗号化されたワークスペースのリビジョンを読み込み、過去のリビジョンを新しい署名付き変更、またはコピーとして復元します。

不正なリモート成果物は、1件ずつ整合性とローカルforkに隔離されます。再試行、ciphertextとしての書き出し、外部で修復済みとしてのマーク付け、または意図的な無視を選べます。不正なファイルが1件あっても他の有効な同期は止まらず、リモートに存在しないというだけでは削除にはなりません。書き込み権限のないローカルプログラムによる変更は、非公開のforkコピーとして保持されます。 ローカルfork（書き込みが拒否されたときにこの端末が保持するコピー）には 比較 があります。競合と同じ比較ビューで、採用・両方残す・破棄のいずれかを選べ、その後 fork は一覧から消えます。スマートフォンでも同じです。

整合性とローカルフォークが示すもの

クラウドから来たアーティファクトが検証に失敗すると、それは隔離され、それ以外の同期は続きます。カードは原因とデバイスごとに 1 つのグループを示します。項目数、説明、そして（ある場合は）できることの行が付きます。最も多いのは途切れたチェーンです。このデバイスは別のデバイスからの変更 No. 14 を待っているのに、クラウドには No. 16 がある——多くは同じデバイスの二つ目の状態（独自のストレージを持つ開発用インスタンスなど）や、再接続して 1 から数え直しているデバイスが原因です。再確認は次の同期を待ってから、まだ未解決のものを伝えます。検証を通ったものは未解決から自然に消え、すべての下に解決済みとして残ります。診断をエクスポートは原因、デバイス、シーケンス番号、時刻を含む JSON ファイルを書き出します（スマートフォンではクリップボードへ）。内容は含みません。⋯ の下には修復済みにするとグループを無視があります。無視は取り消せず、そのグループの変更は失われます。項目を表示はアーティファクトごとにクラウドキーと技術的な理由を示します。

暗号化された保管庫を正しく削除する

暗号化された保管庫が不要になったら、クラウドフォルダーを削除する前にPlainvaで廃止してください。順序が重要です。フェイルクローズドの保護は、Plainvaがまだ接続を暗号化されたものと想定しているあいだにクラウドコピーが消えると、同期を停止したままにします — これは、攻撃者が暗号化を剥がして平文を強制するのを防ぎます。

  1. 設定 → 保管庫 → Security & Sharing を開きます。
  2. 概要で、暗号化 カードの 暗号化されたクラウドへの接続を解除 を選びます。Plainvaはこの端末のローカル鍵とワークスペースデータを消去し、保管庫を通常の保管庫として開き直します。（これはこの端末のみの操作で、クラウドのコピーは暗号化されたままです。クラウド側も平文に戻したい場合は 暗号化の解除 を使います——下の段落を参照してください。）
  3. クラウドから消したい場合は、そのうえで初めてプロバイダー側のクラウドフォルダー（.pvws/ オブジェクト）を削除します。Plainvaが暗号化されたクラウドオブジェクトを代わりに削除することはありません。

モバイルでは、同じ手順が同じ場所にありますが、一つだけ違いがあり、保管庫の名前を入力して確認します。それ以外はまったく同じです — ローカル鍵とワークスペースデータが消去され、保管庫は通常の保管庫として開き直され、クラウド内の暗号化されたオブジェクトは自分で削除するまで残ります。この操作はリモートな要素を一切含まないため、接続がなくても機能します。

代わりに暗号化を完全に終了し、保管庫を通常のファイルとしてクラウドに保持するには、同じ 暗号化 カードで 暗号化を解除 を選びます。Plainvaは保管庫を通常のクラウド保管庫として開き直し、すべてのノートを平文ファイルとして同じクラウドに再アップロードし、その後は暗号化しなくなります。ローカルファイルは一切変更されず、何も削除されません。古い暗号化された .pvws/ フォルダーは、プロバイダー側で自分で削除するまで残ります（Plainvaはそれらの不変オブジェクトを代わりに削除できません）。まず警告を確認してください — ノートは平文として暗号化された保存先から出ます。 スマートフォンでは、同じ操作がセキュリティの概要にある 暗号化クラウドとの接続を解除 の隣にあります。平文アップロードは通常の同期キューで続行され（アプリを切り替えても、モバイルデータのルールに従って）、カードが残りのファイル数を表示します。

すでにクラウドコピーを削除していて、同期が「ワークスペースがありません」または「マニフェストがありません」というエラーで失敗する場合、対処はエラーが表示される場所で提供される同じリセットです。

どちらの操作も明示的で、確認を伴います。Plainvaが暗号化された接続を黙って平文に格下げすることはなく、どちらの操作もローカルファイルを削除しません。クラウドに本当に必要な暗号化コンテンツがまだある場合は、代わりにキャンセルしてください — リセットすると平文同期が再開されます。

アプリデータを消去で保管庫を削除する（Splash → 保管庫を削除 → アプリデータも消去）と、これらの暗号化マーカーも消えます。そうして削除した保管庫は、あとの再接続を妨げるものを何も残しません。