Plainva

Segurança e compartilhamento

Experimental — ainda sem revisão independente. Workspaces criptografados são lançados como uma prévia. O design ainda não passou por uma revisão criptográfica independente, e evidências de dois dispositivos em hardware Android e iOS reais ainda estão sendo coletadas. Experimente, mas mantenha um backup de tudo que você não pode perder, e não confie nele para material que você precisa proteger.

Central de segurança, recifragem e slices publicados

Segurança e compartilhamento tem dois níveis. A Visão geral (primeiro nível) mostra o status de proteção, Concluir migração quando restam sobras de texto simples, Remover a conexão com a nuvem criptografada e dois cartões que abrem o segundo nível — Dispositivos e recuperação e Compartilhar com outros. No segundo nível, a navegação por áreas substitui a coluna esquerda de configurações, agrupada em Seu acesso (Dispositivos, recuperação) e Compartilhamento (Membros, grupos, slices, publicações); ‹ Visão geral volta ao primeiro nível. As ações visíveis continuam disponíveis: uma ação abre o vault, conexão, configuração ou desbloqueio necessário. A revogação pode iniciar recifragem completa retomável. Crie um Vault Slice por Detalhes → Conteúdo → Permissões → Revisão. Publicações externas ficam num workspace criptografado separado; a projeção higienizada remove propriedades privadas, links excluídos e incorporações. A liberação pública exige revisão criptográfica independente e testes reais Android/iOS.

Crie um Vault Slice com as quatro etapas Detalhes → Conteúdo → Permissões → Revisão. Publicar uma fatia para pessoas fora do vault funciona no desktop e no telefone: Criar publicação cria um espaço criptografado próprio, com chaves próprias, em uma pasta própria; Convidar destinatário deixa alguém entrar; Retirar o acesso ou Retirar a publicação desfaz isso — com um limite: retirar não recupera o que alguém já copiou, apenas impede que algo novo chegue e torna a próxima época de chave ilegível para essa pessoa. Uma publicação higienizada ainda remove propriedades privadas do frontmatter, neutraliza links para notas excluídas e omite embeds excluídos; as permissões no Google Drive, OneDrive, Nextcloud, Dropbox, WebDAV ou S3 são proteção adicional, nunca substituto dos papéis criptografados, e o Plainva mostra a orientação do provedor escolhido sem alterar nenhuma configuração de compartilhamento por você. No telefone o caminho é o mesmo, pela linha da fatia: Publicar um slice do vault a cria e ela passa a aparecer em Publicações com o modo, o acesso, o número de objetos e o seu estado — Em dia, quantas alterações ainda estão pendentes, ou Falha ao atualizar com o motivo. Um toque na linha abre os Destinatários com Convidar destinatário e Retirar o acesso; um toque longo oferece Retirar a publicação. A publicação pública permanece bloqueada até a revisão criptográfica independente e evidências reais em dois aparelhos Android/iOS.

Última revisão: 2026-09-04

Plainva mantém o vault como arquivos legíveis no dispositivo e armazena a cópia na nuvem como objetos criptografados opacos. Depois de conectar uma conta, abra Configurações → vault → Segurança e compartilhamento.

No celular, a área informa primeiro o estado real deste vault: Somente neste dispositivo sem conexão de nuvem, Esta conexão não é criptografada em um vault de nuvem comum — Configurar a criptografia executa ali as mesmas três etapas do computador (identidade → arquivo de recuperação e código → ativação com progresso retomável) — ou as etapas de entrada assim que a conexão tiver um espaço de trabalho criptografado.

Configuração

  1. Escolha nomes de proprietário e dispositivo. As chaves ficam no chaveiro do sistema ou, se indisponível, sob uma frase secreta local.
  2. Salve o arquivo .pvrecovery e guarde separadamente o código exibido — não no vault que ele abre: o Plainva recusa um local dentro desse vault, porque ali o único artefato que você não consegue recriar ficaria legível exatamente enquanto você não precisar dele. Cada bloco tem um número de grupo visível; o Plainva pergunta por dois deles, e seus valores permanecem ocultos enquanto a pergunta está aberta. Exibi-los é permitido, mas então um par novo é sorteado — copiar não responde à pergunta feita aqui. Um grupo que você respondeu corretamente volta a aparecer. As duas partes são necessárias e não contêm credenciais da nuvem.
  3. Ative o workspace. O Plainva publica a política assinada e criptografa todos os arquivos locais em .pvws/. O vault local continua legível. Se a execução for interrompida — uma falha, uma queda de energia, o app fechado — na vez seguinte o status diz Configuração incompleta e oferece Retomar configuração: suas chaves já estão salvas há muito nesse momento, falta apenas o resto da conversão.

O texto simples antigo permanece ao lado de .pvws/ durante a migração. Só no estado Protegido ele pode ser removido explicitamente; arquivos locais nunca são removidos.

No dia a dia

As alterações feitas offline permanecem em uma fila durável. Toda alteração é assinada; uma exclusão remota sozinha nunca apaga um arquivo local, mas uma lápide assinada pode. Edições paralelas offline são preservadas como cópias .CONFLICT-…. Bloquear apaga de fato as chaves do workspace da memória — a chave de assinatura, a de descriptografia e toda chave de grupo que a sessão buscou; Desbloquear as pede novamente ao chaveiro do sistema ou à frase secreta local.

Dispositivos e recuperação

Para adicionar o seu próprio segundo dispositivo, abra Dispositivos e recuperação → Dispositivos → Adicionar outro dispositivo: o Plainva mostra um código de convite vinculado à sua própria participação — ele não cria um novo membro. Cole-o no segundo dispositivo (Segurança e compartilhamento → entrar) e aprove-o em um dispositivo que já participa; compare primeiro a impressão digital nos dois dispositivos. Enquanto o segundo dispositivo espera, ele mostra por quanto tempo a solicitação continua válida e pede a comparação da impressão digital exatamente como o lado que aprova — uma comparação só serve se os dois lados olharem. Se a consulta falhar, o motivo está ali; antes, uma conexão interrompida parecia exatamente igual a “ainda ninguém aprovou”. Para incluir outra pessoa, use Compartilhar com outros → Membros → Convidar uma pessoa (veja abaixo). Um dispositivo removido não pode assinar novas alterações válidas. O convite e a solicitação de emparelhamento de um dispositivo que entra também são mostrados como códigos QR escaneáveis — no celular, Escanear convite lê um código com a câmera em vez de colar texto.

Remover um dispositivo ou um membro tem dois custos possíveis, e o celular também oferece os dois. Somente daqui em diante encerra o acesso a novas chaves imediatamente e é rápido. Recriptografar tudo também reescreve tudo o que já está criptografado; é um trabalho longo, continua em segundo plano e retoma sozinho após reiniciar — um cartão próprio mostra uma barra de progresso e um contador de objetos enquanto roda, e diz ali que a execução sobrevive a uma reinicialização. Nenhuma das duas opções consegue recuperar o que o outro lado já baixou, por isso a pergunta avisa disso antes de você escolher. Você nunca pode remover o dispositivo que está segurando: isso deixaria este dispositivo trancado para fora, com apenas o pacote de recuperação restando.

Onde nenhum chaveiro do sistema responde — normalmente uma máquina Linux sem sessão de desktop — as chaves deste dispositivo ficam sob uma frase secreta local. Você pode alterá-la: Dispositivos e recuperação → Dispositivos → Alterar a frase secreta. O Plainva pede a frase secreta atual mesmo com o workspace desbloqueado — uma máquina desbloqueada e sem supervisão é justamente o caso em que uma alteração silenciosa deixaria o proprietário de fora. Só as chaves deste dispositivo são lacradas de novo: seu arquivo de recuperação e o código dele continuam válidos, e os outros dispositivos não percebem nada. O celular não tem esse botão, porque ali não há o que alterar — Android e iOS sempre têm um armazenamento de chaves, então a variante com frase secreta nunca se aplica.

A recuperação fica em Dispositivos e recuperação → Recuperação, dividida em Status atual (se há um pacote de recuperação salvo, e a impressão digital do workspace) e o Fluxo de recuperação. Se todos os dispositivos forem perdidos, escolha ali Restaurar acesso e abra o arquivo .pvrecovery com seu código guardado separadamente; o Plainva cria um novo dispositivo proprietário, pode revogar os dispositivos perdidos e não reescreve os objetos de conteúdo. Renovar recuperação substitui o conjunto de recuperação antigo por meio de uma cadeia de ancoragem com assinatura dupla. Guarde novamente o novo arquivo e o código separadamente; o conjunto antigo fica inválido depois. O Plainva pergunta antes, porque o arquivo que você tem em mãos deixa de funcionar nesse momento.

Membros, funções e slices

Proprietários e administradores podem convidar membros, criar grupos e limitar uma função ao workspace inteiro, a um slice ou a um objeto. Editor pode ler e editar, Commenter ler e comentar, Reader apenas ler e Contributor apenas contribuir com conteúdo novo no escopo atribuído — e como um contributor não pode ler o que já existe mas precisa poder continuar escrevendo a própria nota, o direito de gravação dele vale para tudo o que ele mesmo criou. A tabela completa fica em O que os papéis permitem, na área Membros; ali também está a frase que de outro modo seria repetida pela metade em cada caixa de diálogo: as permissões no provedor são uma segunda fechadura, nunca um substituto dos papéis criptografados. A verificação ocorre antes de cada gravação local em disco e novamente antes da assinatura, valendo também para importações, restaurações, automações, ações de IA e alterações feitas por outros programas locais.

A propriedade pode passar para outro membro ativo. Abra Compartilhar com outros → Membros (no celular: a área Team) e escolha Transferir a propriedade ao lado dessa pessoa. É preciso o arquivo de recuperação atual e seu código, porque propriedade e conjunto de recuperação se movem juntos: o Plainva cria primeiro um pacote de recuperação substituto e só o entrega depois que você o salvar. Entregue esse arquivo e o novo código ao novo proprietário por canais separados — você se torna Admin, e essa pessoa passa a ser a única Owner.

Um slice pode conter uma pasta, uma seleção explícita de objetos ou uma regra dinâmica por caminho, tipo, tags e propriedades. As três são escolhidas, não digitadas: você marca os membros de um grupo em uma lista, procura e marca as notas de um slice de seleção, e monta uma regra dinâmica linha a linha com campo, comparação e valor — as sugestões de tags e propriedades vêm dos mesmos objetos com que a prévia compara, de modo que o que é oferecido aqui pode realmente encontrar algo. O valor bruto salvo continua acessível em Detalhes técnicos e continua editável; uma regra escrita à mão que o construtor não consegue expressar nunca é reescrita em silêncio. A pasta de um slice de pasta é escolhida diretamente do vault com Escolher pasta… — no telefone também; quem prefere digitar o caminho continua podendo.

Sempre use Prévia antes de criar — no celular também. Só os identificadores estáveis de objeto exibidos são materializados; um mesmo arquivo pode carregar envelopes criptografados para vários grupos. Objetos não autorizados não são materializados nem entram em pesquisa, grafo ou prévias. No celular você pode criar um slice de pasta; seleção e regra dinâmica ficam no desktop, porque ambas precisam de uma superfície de escolha sobre todo o conjunto de objetos.

Se a definição de um slice não puder mais ser lida — uma entrada editada à mão, uma regra quebrada — então ele não concede nada, nem mesmo pelos objetos que cobria por último. As duas versões nomeiam o motivo em vez de mostrar “0 objetos”: um zero se lê como um compartilhamento vazio, não como um quebrado. E quando você tira uma nota de uma pasta compartilhada, o Plainva pergunta antes e nomeia os grupos que perdem o acesso — a própria perda você percebe na hora, a dos outros nunca.

Comentários, versões e quarentena

Comentários e sugestões — a coluna, as âncoras, o modo de sugestão, a visão geral e as notificações — estão descritos em Comentários e sugestões; funcionam em todo cofre. Esta página mantém só o que depende do workspace.

Quando uma nota está publicada e seus destinatários escreveram algo, isso aparece abaixo dos seus próprios tópicos: uma seção Retornos de “…” por publicação, com os nomes da lista de membros dela. Essas anotações ficam no workspace da publicação, nunca no seu cofre, por isso aqui você só pode lê-las. Responder, resolver ou aplicar uma sugestão seria uma escrita na publicação e não é possível deste lado. Se a publicação contém uma versão depurada, o cartão informa que a sugestão não pode ser aplicada aqui; se alguém perdeu o acesso, isso também consta ali. Se uma publicação está bloqueada ou sua chave falta neste dispositivo, a seção dela simplesmente não aparece: seus próprios comentários não são afetados. No telefone essa coluna não existe.

Histórico de versões lê revisões criptografadas do workspace e restaura uma revisão anterior como uma nova alteração assinada ou como uma cópia.

Artefatos remotos inválidos são isolados individualmente em Integridade e forks locais. Você pode tentar novamente, exportar o ciphertext, marcar como reparado um artefato reparado externamente, ou ignorá-lo deliberadamente. Um arquivo inválido não bloqueia o restante de uma sincronização válida, e a mera ausência remota nunca significa exclusão. Uma alteração de um programa local sem permissão de escrita é mantida como uma cópia privada de fork. Um fork local — a cópia que este dispositivo guarda quando uma gravação foi recusada — tem Comparar: a mesma visão de comparação de um conflito, com as saídas Adotar, Manter ambos e Descartar; depois o fork sai da lista. No telefone é igual.

O que Integridade e bifurcações locais diz

Se um artefato vindo da nuvem falha em uma verificação, ele fica em quarentena e a sincronização continua para todo o resto. O cartão mostra um grupo por causa e dispositivo — com o número de entradas, uma explicação e, quando existe, uma linha O que você pode fazer. O grupo mais comum é uma cadeia interrompida: este dispositivo espera de outro a alteração nº 14, enquanto na nuvem está a nº 16 — normalmente há por trás uma segunda cópia do mesmo dispositivo (por exemplo uma instância de desenvolvimento com armazenamento próprio) ou um dispositivo reconectado que volta a contar do 1. Verificar novamente espera a próxima sincronização e diz o que ainda está aberto; o que passa some sozinho de Abertos e fica em Todos como resolvido. Exportar diagnóstico grava um arquivo JSON com causa, dispositivo, números de sequência e horários (no telefone, na área de transferência), nunca com conteúdo. Atrás de ⋯ ficam Marcar como resolvido e Ignorar grupo — ignorar é definitivo, as alterações do grupo se perdem. Mostrar entradas nomeia por artefato a chave na nuvem e o motivo técnico.

Remover corretamente um vault cifrado

Quando você não precisar mais de um vault cifrado, desative-o no Plainva antes de excluir a pasta na nuvem. A ordem importa: a proteção fail-closed mantém a sincronização parada se a cópia na nuvem desaparecer enquanto o Plainva ainda espera que a conexão esteja cifrada — isso protege você de um invasor que remova a cifragem para forçar texto simples.

  1. Abra Configurações → vault → Security & Sharing.
  2. Na visão geral, no cartão Criptografia, escolha Remover a conexão com a nuvem criptografada. O Plainva apaga as chaves locais e os dados do workspace neste dispositivo e reabre o vault como um vault normal. (Isto é local do dispositivo: a cópia na nuvem continua criptografada. Para tê-la de volta como texto simples, o caminho é Anular a criptografia — veja o parágrafo abaixo.)
  3. Só então exclua a pasta na nuvem (os objetos .pvws/) no seu provedor, se quiser se livrar dela. O Plainva não exclui por você os objetos cifrados da nuvem.

No celular, a mesma etapa fica no mesmo lugar, com uma diferença: você a confirma digitando o nome do vault. Tudo o mais é idêntico — as chaves locais e os dados do workspace desaparecem, o vault reabre como um vault normal, e os objetos criptografados na nuvem permanecem até você mesmo excluí-los. Funciona sem conexão, porque nada nisso é remoto.

Para, em vez disso, encerrar a criptografia por completo e manter o vault na nuvem como arquivos comuns, escolha Remover a criptografia no mesmo cartão Criptografia: o Plainva reabre o vault como um vault de nuvem normal e reenvia todas as suas notas para a mesma nuvem como arquivos de texto simples e, então, para de criptografar. Os arquivos locais nunca são alterados e nada é excluído; a antiga pasta criptografada .pvws/ permanece até você excluí-la no seu provedor (o Plainva não pode remover por você esses objetos imutáveis). Confirme primeiro o aviso de perigo — as notas saem do armazenamento criptografado como texto simples. No telefone, a mesma ação está na visão geral de Segurança ao lado de Remover a conexão com a nuvem criptografada; o envio em texto simples continua ali pela fila de sincronização normal — mesmo depois de trocar de app, sob as regras de dados móveis — e um cartão conta quantos arquivos ainda faltam.

Se você já excluiu a cópia na nuvem e a sincronização agora falha com um erro “workspace ausente” ou “manifesto ausente”, a correção é o mesmo redefinir, oferecido onde o erro aparece:

Ambas as ações são explícitas e confirmadas. O Plainva nunca rebaixa silenciosamente uma conexão cifrada para texto simples, e nenhuma das ações exclui arquivos locais. Se a nuvem ainda contiver conteúdo cifrado que você realmente quer, cancele em vez disso — redefinir retomaria a sincronização em texto simples.

Remover um vault com Esquecer os dados do aplicativo (Splash → remover um vault → esquecer também os dados do aplicativo) também limpa esses marcadores de criptografia, de modo que um vault removido assim não deixa nada que possa bloquear uma reconexão posterior.