Backup y recuperación

La master key es la raíz de confianza de todo el vault: cada entrada está cifrada bajo ella. Si se pierde — un Keychain borrado, una máquina muerta — los registros cifrados son irrecuperables. kovra key crea un backup portable y cifrado para que eso nunca se convierta en una catástrofe.

Exportar un backup

kovra key export pide hacer un bioProve (la clave es la raíz de confianza del vault — en una Mac con Touch ID solo la huella lo aprueba, no la contraseña de inicio de sesión, y el diálogo indica que exporta la clave que abre todos los secretos), luego una recovery passphrase (dos veces), y escribe un blob age estándar con armadura ASCII — cifrado bajo esa passphrase. La clave en texto plano nunca aterriza en un archivo.

kovra key export --out kovra-master.age

El blob es portable: se restaura con kovra key import, o se descifra con cualquier implementación de age en un desastre real. Variantes útiles:

--clipboard — copia el blob (cifrado) para pegarlo en un gestor de contraseñas.
--op — lo guarda directamente en 1Password vía la CLI op; kovra genera la recovery passphrase y la guarda junto al blob, así no hay nada que memorizar.

Conviene guardar el backup en un lugar independiente de la máquina de la que salió — un gestor de contraseñas, no el mismo disco.

Restaurar

kovra key import lee el blob, pide la recovery passphrase y vuelve a poner la clave en el keyring del SO:

kovra key import kovra-master.age

Una vez restaurada, el vault se desbloquea exactamente como antes.

kovra restaura solo la clave propia de la bóveda: un respaldo cuya clave no abre los registros de la bóveda se rechaza (“this backup’s key does not open the vault”), de modo que un blob que armó otra persona no puede instalar una clave que su autor conoce. Reemplazar una clave que ya está en el keyring pide --force y su aprobación.

Esta es también la solución cuando kovra indica que la master key del keyring no abre esta bóveda. Cualquier programa que corre con su usuario puede reescribir o borrar el ítem del Keychain sin ningún prompt; kovra no puede impedirlo, pero la comprobación de la clave de la bóveda (keycheck.sec) lo detecta, y kovra se detiene en lugar de sellar secretos nuevos bajo la clave equivocada. Restaure la clave correcta desde su respaldo.