Todo gerenciador de senhas promete a mesma coisa: que os seus dados são cifrados e que nem a empresa consegue lê-los. Quase sempre é verdade. Mas há uma pergunta que a promessa não responde — se está tudo cifrado no seu aparelho, por que o cofre precisa de conta, de servidor e de conexão?
Foi essa pergunta que deu origem ao SafePad, o aplicativo Android que desenvolvemos aqui na JRM Martins. Ele guarda senhas, cartões e notas confidenciais, e a resposta que ele dá é radical: não precisa. Não há servidor, não há conta para criar, não há sincronização, telemetria ou anúncio.
A promessa que se pode verificar
"Não enviamos seus dados" é uma frase que qualquer aplicativo pode escrever. O SafePad faz algo diferente: ele não declara a permissão de acesso à internet no Android.
A diferença é enorme, e não é de retórica. Sem essa permissão, quem impede a transmissão não é a boa vontade do desenvolvedor — é o sistema operacional. Mesmo que o código tentasse enviar alguma coisa, mesmo que uma versão futura fosse comprometida, a chamada simplesmente falharia.
Você não precisa confiar em nós. Abra a ficha do aplicativo na Google Play, toque em "Permissões" e veja a lista inteira: uma única permissão, a de biometria, e mesmo essa só é usada se você optar pelo desbloqueio por digital.
Uma promessa que o usuário pode conferir sozinho, em trinta segundos, vale mais do que um parágrafo bem escrito numa política de privacidade.
O que acontece quando você digita a Senha Mestra
Sua Senha Mestra não é guardada em lugar nenhum — nem cifrada, nem em pedaços, nem "com hash". Ela é a matéria-prima de um cálculo.
Esse cálculo é o Argon2id, o algoritmo que venceu a competição internacional de derivação de chaves. Ele é propositalmente lento e, mais importante, consome muita memória: cada tentativa exige 64 MB. Isso é irrelevante para você, que digita a senha uma vez e espera um décimo de segundo — e devastador para quem tenta adivinhá-la, porque memória é justamente o recurso que as placas de vídeo usadas em ataques de força bruta não têm de sobra.
Do cálculo sai a chave que cifra cada item com AES-256-GCM, antes de qualquer gravação em disco. E essa chave nunca toca o armazenamento: ela vive apenas na memória enquanto o cofre está aberto, e é apagada no instante em que ele é trancado.
É por isso que a consequência mais dura do aplicativo é também a mais honesta: não existe recuperação de senha. Se você esquecer a Senha Mestra, ninguém abre o seu cofre — nem você, nem nós. É o preço direto de não existir cópia nenhuma da sua chave em lugar algum.
Três decisões que quase ninguém vê
Um cofre se define menos pelo que anuncia e mais pelas escolhas que faz quando ninguém está olhando. Três delas dão o tom.
- A tela não pode ser fotografada. Todas as telas do aplicativo bloqueiam captura, gravação e até a miniatura que aparece na lista de aplicativos recentes. Um print acidental — ou um aplicativo que grava a tela em segundo plano — não leva nada.
- O preenchimento automático exige desbloqueio, sempre. Quando o SafePad completa um login em outro aplicativo, ele nunca entrega os dados direto ao sistema: primeiro pede a Senha Mestra ou a biometria, depois monta a resposta. Fazer diferente seria mais cômodo e deixaria o cofre legível para qualquer aplicativo capaz de simular um formulário.
- A biometria é atalho, nunca substituto. Sua digital libera uma chave guardada no cofre de hardware do Android. Cadastrar uma digital nova invalida esse atalho na hora, e o aplicativo volta a pedir a Senha Mestra — que continua sendo o segredo de verdade.
Backup: a parte que você controla
Um cofre sem cópia é uma perda esperando a hora. O SafePad exporta um arquivo cifrado e autocontido, protegido por uma senha que só você conhece, e o entrega ao compartilhamento do Android — de onde você o manda para o Google Drive, para o e-mail, para o computador, para onde quiser.
Repare no que não acontece aí: o aplicativo não faz login em conta nenhuma, não sobe nada sozinho e não conhece o destino. Quem envia o arquivo é o aplicativo que você escolheu, com a conta dele. Depois de alguns dias sem backup, o SafePad lembra você — e só lembra.
Não é preguiça de implementar sincronização. Um backup automático exigiria manter uma chave de cifragem disponível com o cofre trancado, o que derrubaria tudo o que foi descrito acima.
Para quem isso faz sentido
Não para todo mundo, e vale dizer com clareza. Quem precisa que a mesma senha apareça no celular, no navegador do trabalho e no tablet, atualizada em tempo real, vai querer um cofre com nuvem — e há bons.
O SafePad é para o outro perfil: quem prefere que os segredos não existam em nenhum servidor, quem guarda no cofre coisas que não deveriam sequer transitar por uma rede, e quem entende que sincronização é uma comodidade paga em superfície de ataque.
É o mesmo princípio que aplicamos nos projetos que entregamos aos nossos clientes: decidir conscientemente onde cada dado mora, em vez de aceitar o padrão do fornecedor e descobrir depois o que foi parar onde.
Onde conhecer
O SafePad está em fase de publicação na Google Play. A página do aplicativo aqui no site traz o modelo de segurança em detalhe, as telas reais do cofre e as perguntas mais frequentes — inclusive as desconfortáveis.
E se a sua empresa tem uma dúvida parecida com a que originou este projeto — onde os seus dados estão, quem consegue lê-los e o que acontece se o fornecedor sumir —, essa é exatamente a conversa que gostamos de ter.
