El registre de targeta més segur és el més petit. Per a la majoria de persones, el nom de l'emissor, el contacte d'assistència i els quatre últims dígits són suficients per identificar una targeta i denunciar-ne la pèrdua. Conserva-ho en una caixa forta xifrada, no desis mai un PIN ni un codi de seguretat, i fes servir l'aplicació del teu banc o una cartera de pagament per als pagaments reals.
Quines dades de la targeta és raonable conservar?
El nom de l'emissor, el telèfon d'assistència, els quatre últims dígits i extractes censurats. Normalment és suficient per identificar una targeta i denunciar-ne la pèrdua. Censura els números innecessaris dels extractes abans de desar-los.
Què no s'ha de desar mai?
El PIN. El codi de seguretat (CVV/CVC) juntament amb el número de la targeta. Una foto completa i sense censurar del davant i del darrere junts.
Segons el PCI DSS, els comerços tenen restringit conservar els codis de verificació després de l'autorització. Un registre personal tampoc no té cap motiu per conservar-ne cap.
Per què és arriscada una foto de la targeta?
El davant i el darrere junts revelen el número complet, la caducitat i el codi de seguretat en una sola imatge. En un carret de la càmera, aquesta imatge té la mateixa exposició que qualsevol altra foto: apareix quan et desplaces, una còpia de seguretat automàtica de fotos la pot pujar, les aplicacions amb accés a la fototeca la poden llegir i es queda a Eliminats recentment.
El xifratge protegeix un fitxer desat; desar menys redueix el que es podria exposar.
Pas a pas: com desar les dades de la targeta de manera segura?
1. Decideix quin és el registre més petit que et sigui útil.
2. Censura els números dels extractes abans d'importar-los.
3. Importa'ls a una carpeta de la caixa forta, per exemple «Targetes». El nom de la carpeta es xifra.
4. Desa la clau de recuperació per separat i conserva una còpia de seguretat xifrada.
5. Elimina les fotos i captures de pantalla originals. Importar no les elimina.
On encaixa una caixa forta i on encaixa el teu banc?
Una caixa forta és per a registres. El teu banc o la teva cartera és per als pagaments i la protecció contra el frau. Revault no tokenitza targetes, no fa pagaments ni substitueix els controls antifrau de l'emissor.
Què he de fer si perdo el telèfon o la cartera?
Contacta primer amb l'emissor de la targeta. El telèfon d'assistència que hi ha a la caixa forta és el motiu pel qual l'has desat. En un dispositiu nou, restaura la caixa forta amb la clau de recuperació i la còpia xifrada al núvol o la còpia de seguretat. Si creus que les claus de la caixa forta s'han exposat, passa els registres a una caixa forta nova.
Com protegeix Revault aquests registres i què no pot fer?
Els registres es xifren al teu dispositiu abans de desar-se. La caixa forta té una clau mestra AES-GCM de 256 bits aleatòria. El teu patró i un codi secret aleatori del dispositiu, processats amb PBKDF2-HMAC-SHA-256 amb 600.000 iteracions, protegeixen aquesta clau. Els fitxers, els noms de fitxer i les miniatures es xifren. Les aplicacions natives d'iOS i Android mantenen les caixes fortes al dispositiu tret que activis la sincronització privada amb iCloud o Google Drive, creïs una compartició o exportis. L'aplicació web utilitza un compte amb clau d'accés (passkey) i el núvol de Revault.
El que no pot amagar: el servei pot veure que existeix un objecte d'una certa mida i quan es va desar. Un dispositiu compromès pot llegir una caixa forta desbloquejada. Revault no ha passat cap auditoria de seguretat independent.
Preguntes habituals
Revault compleix el PCI? És una caixa forta personal, no un processador de pagaments, i no declara cap compliment del PCI.
Puc pagar amb targetes desades a Revault? No. Fes servir l'aplicació del teu banc o una cartera de pagament compatible.
És segur guardar un CVV en una aplicació de notes? Evita desar-lo, sigui on sigui.