En el dispositivo
Claves en Keychain exclusivo del dispositivo, accesibles al desbloquear, fuera de iCloud y widgets. Ver o exportar la clave de recuperación exige autenticación. Protege los archivos exportados.
Permisos separados
Pro, alojamiento de claves, transacciones y notificaciones se eligen por separado. Admin no se aloja. Los informes usan solo rutas Apple autorizadas de lectura.
Límite del cifrado
AES-256-GCM con envolturas separadas para servicio y recuperación. El servicio autorizado puede descifrar clave y datos. No es cifrado de extremo a extremo que excluya al operador. La API pública no posee ese secreto.
Solicitudes y eventos
Firmas del dispositivo, tokens breves y protección contra repetición. Se verifican firmas Apple y se separan Production/Sandbox y cuentas. Los registros se cifran.
Revocar y recuperar
Detener impide nuevas consultas; borrar la clave elimina dos copias; borrar el espacio elimina datos en la nube. No se pueden retirar solicitudes enviadas. No se puede reconstruir la clave de recuperación. No se promete auditoría independiente ni rotación automática de claves.