Kan ik zelf de balans kiezen tussen gemak en privacy?

Ja, met opzet. Niet iedereen verdedigt zich tegen dezelfde dreigingen, dus het accountmodel is een ladder in plaats van één dogma. Elke trede houdt je notities versleuteld op je apparaat; wat verandert, is wie de sleutel heeft en wat wij over jou weten.

Het gemakkelijke uiteinde: meld je aan met Google, Apple of GitHub en laat "Houd het simpel & gemakkelijk" geselecteerd als daarom wordt gevraagd. Dat is de standaardkeuze. Wij bewaren je herstelzin versleuteld op onze server, zodat een nieuw apparaat je notities kan openen na aanmelding bij de provider en een authenticatorcode als 2FA aanstaat. In ruil kennen wij het e-mailadres achter die aanmelding en kan onze server je herstelzin ontsleutelen. Bewaar je herstelzin voor het geval je het provideraccount kwijtraakt, en bewaar je 2FA-reservesleutel als je aanmelden in twee stappen aanzet.

Het midden: meld je aan met Google, Apple of GitHub maar kies "Maximale veiligheid & privacy". Je herstelzin raakt onze servers nooit en de versleuteling is volledig zero-knowledge; nieuwe apparaten hebben de herstelzin nodig of een QR-scan van een apparaat dat al aangemeld is. We kennen dan nog steeds onvermijdelijk het e-mailadres achter die login, maar we zouden geen enkele notitie kunnen lezen, zelfs niet onder dwang.

Het private uiteinde: sla de logins helemaal over en gebruik alleen de herstelzin van 12 woorden. Geen e-mail, geen naam, geen identiteit, en in combinatie met een anonieme Pro-aankoop laat zelfs betalen nergens een naam achter. In ruil daarvoor beheer je de sleutel volledig zelf: raak je de herstelzin kwijt zonder aangemeld apparaat, dan kan niemand je helpen.

Instellingen > Account > Sleutelbeheer toont beide modi met hun voor- en nadelen en laat je wisselen. Als je het serverbeheer verlaat, verwijderen wij onze kopie nadat je drie woorden uit je opgeslagen herstelzin hebt bevestigd. Terugschakelen uploadt de herstelzin opnieuw en vraagt om een uitdrukkelijke keuze. Beide wijzigingen worden ondertekend met je accountsleutel en vereisen een verse authenticatorcode als 2FA aanstaat. Een herstelzinaccount kan een provider koppelen via Account > Accounts en daarna apart voor serverbeheer kiezen; koppelen uploadt de herstelzin niet. Elke modus ondersteunt ook app-vergrendeling met een PIN, biometrisch ontgrendelen en bescherming per notitie.