- 保险库是一个加密文件，存放在应用的私有目录中。每个条目用 XChaCha20-Poly1305 单独加密；保险库密钥由主密码经 Argon2id 派生的密钥包裹（至少 64 MiB 内存、3 轮，并按你的设备性能调高）。
- 主密码从不保存。快速解锁（面容 ID、触控 ID、指纹、PIN 码）在设备支持时使用系统安全硬件，默认关闭。
- 常春钥不含任何联网代码。在 iPhone、Mac、安卓、Windows 与 Linux 的 Flatpak 版上也没有联网权限；Linux 的 RPM 版和其他 Fedora 软件一样没有沙箱。
- 合并同步副本时只接受用你自己保险库的密钥认证通过的文件；常春钥从不为了合并而询问另一台设备的密码。
- 密钥保存在锁定的内存中，保险库锁定时清除；复制的密码会从剪贴板清除，并在系统允许时不进入剪贴板历史。
- Linux 安装包与更新软件源由 VNET LIMITED 签名；系统会拒绝未签名或被篡改的更新。
常春钥防不住的情况
设备已被恶意软件、键盘记录器控制，或他人拥有管理员权限。完整的残余风险清单见使用帮助。
独立审查
常春钥尚未经过独立安全审查。在此之前，请不要把它当作重要密码的唯一保存处。（审查完成后：审查人、日期、范围与报告摘要。）
报告安全漏洞
请发邮件至 support@xlab.nz，标题注明"安全"。请在公开披露前给我们合理的修复时间。