Geräteschutz
Schlüssel liegen im gerätegebundenen Keychain und sind entsperrt zugänglich, nicht in iCloud-Cache oder Widgets. Anzeige und Export des Wiederherstellungsschlüssels erfordern Geräteauthentifizierung. Exportdateien selbst schützen.
Getrennte Zustimmung
Pro, Schlüsselhosting, Transaktionen und Mitteilungen sind getrennte Entscheidungen. Admin wird nicht gehostet. Hintergrundberichte nutzen nur freigegebene Apple-Leserouten.
Verschlüsselungsgrenze
AES-256-GCM mit getrennten Umschlägen für Dienst und Wiederherstellung. Der autorisierte Dienst kann Schlüssel und Daten entschlüsseln. Keine Ende-zu-Ende-Verschlüsselung, die den Betreiber ausschließt. Die öffentliche API besitzt dieses Geheimnis nicht.
Anfragen und Ereignisse
Gerätesignaturen, kurzlebige Token und Replay-Schutz. Apple-Signaturen werden geprüft. Production und Sandbox sowie Konten bleiben getrennt; Datensätze sind verschlüsselt.
Widerruf und Wiederherstellung
Stoppen verhindert künftige Abfragen; Schlüssel löschen entfernt beide Kopien; Arbeitsbereich löschen entfernt Cloud-Daten. Gesendete Anfragen sind nicht rückholbar. Der Wiederherstellungsschlüssel kann nicht rekonstruiert werden. Kein unabhängiges Audit oder automatische Schlüsselrotation zugesichert.