PassFortress door Erick M. Hernández Quiñones

PassFortress es el complemento de navegador de tu bóveda PassFortress (passfortress.com). Mientras navegas, detecta el dominio de la pestaña activa y te avisa si tienes credenciales guardadas para ese sitio.

QUÉ HACE

• Badge en el icono con el número de contraseñas que tienes guardadas para el dominio de la pestaña actual, sin tener que abrir nada.
• Un clic para copiar la contraseña al portapapeles.
• Copia también los identificadores asociados a esa contraseña (usuario, correo, alias: los pares clave/valor que guardaste con ella).
• Inicio de sesión con tu cuenta de PassFortress, compatible con la verificación en dos pasos por correo.
• Tema claro y oscuro.

CÓMO TRATA TU INFORMACIÓN

• Necesitas una cuenta en passfortress.com. La extensión habla únicamente con api.passfortress.com; no hay panel de ajustes para apuntarla a otro servidor.
• La master key que descifra tu bóveda no se guarda en disco: vive solo en la memoria de sesión del navegador. Se te vuelve a pedir al cerrar el navegador y tras 15 minutos de inactividad.
• La master key solo viaja cuando pides descifrar una contraseña concreta. El listado que enciende el badge es solo metadata y no la usa.
• La contraseña copiada se borra del portapapeles automáticamente al poco de copiarla.
• La extensión no inyecta código en las páginas que visitas ni lee su contenido. Para saber en qué dominio estás consulta la URL de la pestaña activa, y la comparación se hace en tu propio navegador.

EL PERMISO DE ACCESO A api.passfortress.com

En Firefox ese permiso es opcional: puedes concederlo o revocarlo cuando quieras desde Administrador de complementos. Si lo revocas, la extensión no puede consultar tu bóveda y te ofrecerá volver a concederlo. Es el único servidor al que se conecta.

EMPAREJAMIENTO POR DOMINIO

Decidir si una contraseña guardada es la del sitio que tienes delante es una decisión de seguridad: si sobra, se te ofrecería tu contraseña en la página de otro. Por eso la comparación usa el dominio registrable (eTLD+1) calculado con la Public Suffix List real, embebida en el propio paquete. Dos vecinos que cuelgan del mismo sufijo público (por ejemplo victima.ejemplo-hosting.com y atacante.ejemplo-hosting.com) no cuentan como el mismo sitio.

PARA QUÉ SE USA CADA PERMISO

• tabs: leer la URL de la pestaña activa para saber en qué dominio estás.
• storage: guardar tu sesión y la caché de metadata de la bóveda. La master key no va aquí.
• alarms: los temporizadores del bloqueo automático y del borrado del portapapeles.
• clipboardWrite: copiar al portapapeles y poder vaciarlo después.
• api.passfortress.com: la API de tu bóveda, el único servidor con el que habla la extensión.

Requiere una cuenta de PassFortress, que puedes crear gratis desde la propia extensión.