Last updated: October 23, 2026
Keyless privacy policy
Keyless is a zero-knowledge password manager. Everything you store in your vaults is encrypted on your device before it is sent anywhere, with keys that are derived from your master password and your Secret Key. Neither of them ever leaves your devices, so nobody else, including whoever runs the Keyless server, can read your vaults.
What the server stores
- Your email address, used to identify your account, and the app's language when you created it, used only to write the account emails in it.
- Your encrypted vault data (ciphertext), your public key and your encrypted keys, and the settings that follow your account to your other devices (how suggested passwords are made), encrypted the same way.
- Technical metadata needed to sync: how many vaults and items you have, approximate item sizes, and when they change.
- Connection logs kept by our hosting provider (IP address, time, request type) for security and operations.
- For each device signed in to your account: the IP address and country of its last connection and when it was last used, so you can see where your account is open and sign a device out. The device's name and system are encrypted like your vaults.
- For each passkey you add to sign in: its credential ID, when it was added and last used, and its name and an encrypted copy of what signing in needs (readable only with the passkey).
Accounts created with Google
Keyless no longer offers signing in with Google. Accounts created with it before keep the verified email address, name and profile picture Google sent then, stored with the account and used only to identify it, until the account is deleted. Keyless never had access to any other Google data or service.
Links shared with specific emails
When someone shares an item only with some email addresses, the server keeps a hash (SHA-256) of each address, not the address itself. To open such a link, you enter your email and receive a one-time code. For that, the server keeps your email address and the language of the page you used, and deletes them 30 days after your last code. This gives no access to anything other than the items shared with that address.
The browser extension
- The extension talks only to the Keyless app on the same computer (the browser's native messaging), over a channel encrypted with keys set up when you pair them. Logins, cards and other details reach a page only when you fill them, or when a setting you turned on fills them.
- It reads the pages you visit to find sign-in, payment and address forms and to offer Keyless there. What it finds stays in your browser and the app.
- Text you copy on a page that looks like an API key goes to the app on your computer, which checks its shape to offer saving it.
- When you choose to change a breached password, it opens the website's
/.well-known/change-password address.
- It has no analytics and no remote code. What you save through it goes to the app, which syncs it end-to-end encrypted with the rest of your vault.
Third parties
- Supabase hosts the Keyless server (authentication and database).
- Resend delivers the account emails (confirmations and one-time codes): it receives the address and the email's text.
- Have I Been Pwned checks whether a password appears in known breaches for Sentinel: once a day and when you save a new password (you can turn this off in Sentinel), or when you ask. Only the first 5 characters of the password's SHA-1 hash are sent (k-anonymity); the password itself never leaves your device.
- Have I Been Pwned and 2fa.directory publish the lists of breached websites, and of websites with two-factor codes or passkeys, that Sentinel downloads whole once a day and keeps on your device to compare there. Nothing about your items is sent to them; like any download, they see the request's IP address. Each list can be turned off in Sentinel: it is then not downloaded, and the copy on your device is deleted.
- The websites of your logins give their own icons: the desktop and Android apps download each login's website icon from that website (never through a service that would learn which sites you have), keep it encrypted on the device, and ask again once a month. The website sees the request's IP address, as when you visit it. Turn this off in the app's settings ("Show website icons"); the icons kept are then deleted.
Keyless has no ads, no analytics or tracking, and never sells or shares your data.
Deleting your data
You can delete your account in the app (Settings > Account). The account and everything stored with it are permanently deleted after 7 days, a window in which you can cancel by signing in again. Items you delete are kept, still encrypted, for 30 days in Recently Deleted.
Contact
Questions about this policy: [email protected].
Atualizada em 23 de outubro de 2026
Política de privacidade do Keyless
O Keyless é um gerenciador de senhas de conhecimento zero. Tudo o que você guarda nos cofres é criptografado no seu dispositivo antes de ir para qualquer lugar, com chaves que vêm da sua senha mestra e da sua Chave Secreta. Nenhuma das duas sai dos seus dispositivos, então ninguém mais, nem quem cuida do servidor do Keyless, consegue ler seus cofres.
O que o servidor guarda
- Seu e-mail, que identifica a sua conta, e o idioma do app quando você a criou, usado só para escrever nele os e-mails da conta.
- Os dados criptografados dos cofres, sua chave pública e suas chaves criptografadas, e as configurações que acompanham a sua conta nos outros aparelhos (como as senhas sugeridas são feitas), criptografadas do mesmo jeito.
- Metadados técnicos para sincronizar: quantos cofres e itens você tem, o tamanho aproximado dos itens e quando mudam.
- Registros de conexão mantidos pelo provedor de hospedagem (endereço IP, horário, tipo de pedido), para segurança e operação.
- Para cada dispositivo conectado à sua conta: o endereço IP e o país do último acesso e quando foi usado pela última vez, para você ver onde sua conta está aberta e desconectar um dispositivo. O nome e o sistema do dispositivo são criptografados como os seus cofres.
- Para cada chave de acesso (passkey) que você adicionar para entrar: o ID da credencial, quando foi adicionada e usada pela última vez, e o nome e uma cópia criptografada do que a entrada precisa (que só a chave de acesso abre).
Contas criadas com o Google
O Keyless não oferece mais a entrada com o Google. As contas criadas com ele antes guardam o e-mail verificado, o nome e a foto de perfil que o Google enviou na época, junto com a conta e só para identificá-la, até a conta ser excluída. O Keyless nunca teve acesso a nenhum outro dado ou serviço do Google.
Links compartilhados com e-mails específicos
Quando alguém compartilha um item só com alguns e-mails, o servidor guarda um hash (SHA-256) de cada endereço, não o endereço. Para abrir um link assim, você informa seu e-mail e recebe um código de uso único. Para isso, o servidor guarda o seu e-mail e o idioma da página que você usou, e os apaga 30 dias depois do seu último código. Isso não dá acesso a nada além dos itens compartilhados com esse endereço.
A extensão do navegador
- A extensão conversa apenas com o app do Keyless no mesmo computador (pelo native messaging do navegador), por um canal criptografado com chaves combinadas quando você os conecta. Logins, cartões e outros dados chegam a uma página só quando você os preenche, ou quando uma opção que você ligou preenche.
- Ela lê as páginas que você visita para achar formulários de login, pagamento e endereço e oferecer o Keyless ali. O que ela encontra fica no seu navegador e no app.
- Um texto que você copia numa página e que parece uma chave de API vai para o app no seu computador, que confere o formato para oferecer guardá-lo.
- Quando você escolhe trocar uma senha vazada, ela abre o endereço
/.well-known/change-password do site.
- Ela não tem análise de uso nem código remoto. O que você salva por ela vai para o app, que sincroniza com criptografia de ponta a ponta junto com o resto do seu cofre.
Terceiros
- O Supabase hospeda o servidor do Keyless (autenticação e banco de dados).
- Resend entrega os e-mails da conta (confirmações e códigos de uso único): recebe o endereço e o texto do e-mail.
- O Have I Been Pwned verifica se uma senha aparece em vazamentos conhecidos, para o Sentinela: uma vez por dia e quando você salva uma senha nova (dá para desligar no Sentinela), ou quando você pede. Só os 5 primeiros caracteres do hash SHA-1 da senha são enviados (k-anonimato); a senha nunca sai do seu dispositivo.
- O Have I Been Pwned e o 2fa.directory publicam as listas de sites que vazaram dados e de sites com códigos de verificação ou chaves de acesso, que o Sentinela baixa inteiras uma vez por dia e guarda no seu dispositivo para comparar ali. Nada sobre os seus itens é enviado a eles; como em qualquer download, eles veem o endereço IP do pedido. Cada lista pode ser desligada no Sentinela: ela deixa de ser baixada, e a cópia no seu dispositivo é apagada.
- Os sites dos seus logins fornecem os próprios ícones: os apps de computador e de Android baixam o ícone do site de cada login do próprio site (nunca por um serviço que saberia quais sites você tem), guardam o ícone cifrado no dispositivo e pedem de novo uma vez por mês. O site vê o endereço IP do pedido, como quando você o visita. Dá para desligar nas configurações do app ("Mostrar ícones dos sites"); os ícones guardados são apagados.
O Keyless não tem anúncios, análise de uso nem rastreamento, e nunca vende nem compartilha seus dados.
Apagar seus dados
Você pode apagar sua conta no app (Configurações > Conta). A conta e tudo o que está guardado com ela são apagados de vez depois de 7 dias, prazo em que dá para desistir entrando de novo. Itens que você apaga ficam guardados, ainda criptografados, por 30 dias em Excluídos recentemente.
Contato
Dúvidas sobre esta política: [email protected].
Actualizada el 23 de octubre de 2026
Política de privacidad de Keyless
Keyless es un gestor de contraseñas de conocimiento cero. Todo lo que guardas en tus bóvedas se cifra en tu dispositivo antes de enviarse a cualquier sitio, con claves que salen de tu contraseña maestra y tu Clave Secreta. Ninguna de las dos sale de tus dispositivos, así que nadie más, ni quien gestiona el servidor de Keyless, puede leer tus bóvedas.
Qué guarda el servidor
- Tu correo electrónico, que identifica tu cuenta, y el idioma de la app cuando la creaste, usado solo para escribir en él los correos de la cuenta.
- Los datos cifrados de tus bóvedas, tu clave pública y tus claves cifradas, y los ajustes que acompañan a tu cuenta en tus otros dispositivos (cómo se hacen las contraseñas sugeridas), cifrados de la misma forma.
- Metadatos técnicos para sincronizar: cuántas bóvedas y elementos tienes, su tamaño aproximado y cuándo cambian.
- Registros de conexión del proveedor de alojamiento (dirección IP, hora, tipo de petición), por seguridad y operación.
- Para cada dispositivo con la sesión iniciada en tu cuenta: la dirección IP y el país de su última conexión y cuándo se usó por última vez, para que veas dónde está abierta tu cuenta y puedas cerrar la sesión de un dispositivo. El nombre y el sistema del dispositivo se cifran como tus bóvedas.
- Para cada llave de acceso (passkey) que añadas para iniciar sesión: el ID de la credencial, cuándo se añadió y se usó por última vez, y su nombre y una copia cifrada de lo que necesita el inicio de sesión (que solo la llave de acceso abre).
Cuentas creadas con Google
Keyless ya no ofrece iniciar sesión con Google. Las cuentas creadas con él antes conservan el correo verificado, el nombre y la foto de perfil que Google envió en su momento, guardados con la cuenta y solo para identificarla, hasta que se elimine la cuenta. Keyless nunca tuvo acceso a ningún otro dato o servicio de Google.
Enlaces compartidos con correos concretos
Cuando alguien comparte un elemento solo con algunos correos, el servidor guarda un hash (SHA-256) de cada dirección, no la dirección. Para abrir un enlace así, escribes tu correo y recibes un código de un solo uso. Para ello, el servidor guarda tu correo y el idioma de la página que usaste, y los borra 30 días después de tu último código. Esto no da acceso a nada más que a los elementos compartidos con esa dirección.
La extensión del navegador
- La extensión solo habla con la app de Keyless en el mismo ordenador (mediante el native messaging del navegador), por un canal cifrado con claves acordadas al conectarlas. Los inicios de sesión, tarjetas y otros datos llegan a una página solo cuando los rellenas, o cuando una opción que activaste los rellena.
- Lee las páginas que visitas para encontrar formularios de inicio de sesión, pago y dirección y ofrecer Keyless allí. Lo que encuentra se queda en tu navegador y en la app.
- Un texto que copias en una página y que parece una clave de API va a la app en tu ordenador, que comprueba su formato para ofrecer guardarlo.
- Cuando eliges cambiar una contraseña filtrada, abre la dirección
/.well-known/change-password del sitio.
- No tiene analítica ni código remoto. Lo que guardas con ella va a la app, que lo sincroniza con cifrado de extremo a extremo junto con el resto de tu bóveda.
Terceros
- Supabase aloja el servidor de Keyless (autenticación y base de datos).
- Resend entrega los correos de la cuenta (confirmaciones y códigos de un solo uso): recibe la dirección y el texto del correo.
- Have I Been Pwned comprueba si una contraseña aparece en filtraciones conocidas, para Centinela: una vez al día y cuando guardas una contraseña nueva (puedes desactivarlo en Centinela), o cuando lo pides. Solo se envían los 5 primeros caracteres del hash SHA-1 de la contraseña (k-anonimato); la contraseña nunca sale de tu dispositivo.
- Have I Been Pwned y 2fa.directory publican las listas de sitios con filtraciones y de sitios con códigos de verificación o llaves de acceso, que Centinela descarga enteras una vez al día y guarda en tu dispositivo para comparar allí. No se les envía nada sobre tus elementos; como en cualquier descarga, ven la dirección IP de la petición. Cada lista se puede desactivar en Centinela: deja de descargarse, y la copia en tu dispositivo se borra.
- Los sitios de tus inicios de sesión dan sus propios iconos: las apps de escritorio y de Android descargan el icono del sitio de cada inicio de sesión desde ese mismo sitio (nunca a través de un servicio que sabría qué sitios tienes), lo guardan cifrado en el dispositivo y lo piden de nuevo una vez al mes. El sitio ve la dirección IP de la petición, como cuando lo visitas. Se puede desactivar en los ajustes de la app ("Mostrar los iconos de los sitios"); los iconos guardados se borran.
Keyless no tiene anuncios, analítica ni rastreo, y nunca vende ni comparte tus datos.
Borrar tus datos
Puedes borrar tu cuenta en la app (Ajustes > Cuenta). La cuenta y todo lo guardado con ella se borran para siempre al cabo de 7 días, plazo en el que puedes cancelarlo iniciando sesión de nuevo. Los elementos que borras se guardan, aún cifrados, 30 días en Eliminados recientemente.
Contacto
Preguntas sobre esta política: [email protected].
