Forge es BYOK de verdad: las claves viven cifradas en tu vault local, nunca en un servidor. Y la comunicacion con el companion movil esta endurecida de punta a punta.
Tus claves BYOK se guardan SOLO en un vault cifrado en tu maquina. El archivo de metadatos no lleva valores de secreto; el valor vive cifrado. El worker nunca tiene tus claves que descifrar.
El companion movil firma sus llamadas con una clave HMAC derivada por-handle (HKDF): cada dispositivo solo puede firmar por SU usuario -- no hay una clave global que permita impersonar a otro tenant. La migracion es automatica, sin re-parear.
HKDF deriva una clave por usuario; un dispositivo no puede firmar por otro.
El QR es autocontenido y caduca en 5 minutos -- un solo scan, nada que tipear.
Las firmas tienen ventana de 5 minutos contra reenvio.
El desktop escucha solo en loopback; el movil habla por un relay acotado.