分层加密架构，旨在保护凭据在存储和传输中的安全。
所有敏感凭据均使用由 libsodium 驱动的 XChaCha20-Poly1305 认证加密算法进行加密。快速、安全且能抵御时序攻击。
唯一的 Data Encryption Key (DEK) 加密每个凭据。DEK 本身由 Key Encryption Key (KEK) 加密，提供额外的保护层。
主 Key Encryption Key 存储在数据库之外的文件中，权限严格设置为 0600。只有应用进程可以读取——Web 服务器或其他用户均无法访问。
您的邮件凭据是通往收件箱的钥匙。我们以最高标准对待它们。
即使攻击者获得数据库访问权限，没有单独存储在文件系统中的 KEK，加密的凭据也毫无用处。
Key Encryption Key 可以轮换而无需逐个重新加密每个凭据。新 DEK 在下次访问时用新 KEK 包装。
密码和 OAuth 令牌绝不以明文存储。它们以加密形式静态存在，仅在需要进行邮件操作时在内存中解密。
XChaCha20-Poly1305 同时提供机密性和完整性——对密文的任何篡改都会被检测并拒绝。
简单的三步流程从您输入凭据的那一刻起就保护它们。
当您添加邮箱账户时，您的密码通过 HTTPS 接收并立即传递给加密服务。
为凭据生成唯一的 Data Encryption Key。DEK 使用 XChaCha20-Poly1305 加密密码。
DEK 随后被主 Key Encryption Key 加密（包装）并与密文一起存储。明文密码被丢弃。
Clacks 使用 XChaCha20-Poly1305，这是由 libsodium 密码学库提供的认证加密算法。
信封加密是一种双层方法：每个凭据用自己的 DEK 加密，而 DEK 由主 KEK 加密。
可以。KEK 可由管理员轮换。DEK 在下次访问时用新 KEK 重新包装。