Account e accesso

Tre tipi di credenziale, non di più

1. Il tuo accesso: una passkey, oppure una password con il codice di un’app di autenticazione, o tutte e due.
2. Un token per host, creato quando l’host entra. Rientrare lo sostituisce.
3. I segreti nel vault: i login dei motori, i token delle forge.

Tutto il resto che serve a Kedalio (il token di un run per il connettore, un token breve per un client) deriva da questi, dura poco e non devi gestirlo tu.

Il tuo account

L’installer stampa un link che crea il primo account del server, che ne è anche l’amministratore. Il link vale una volta, per sette giorni. Nella sua pagina scegli come entri:

• una passkey, tenuta dal tuo dispositivo o dal tuo password manager;
• una password di almeno 12 caratteri, con il codice a sei cifre di un’app di autenticazione: la pagina mostra un codice QR e la chiave;
• o tutte e due, che è la scelta sicura: ognuna fa da riserva all’altra.

Il fuso orario del browser viene salvato con l’account.

Al primo accesso ti viene mostrato, una volta sola, il codice di recupero del vault. Scrivilo e tienilo lontano dal server: ripristina il vault su un server nuovo, o quando il file della chiave va perso.

Ogni account ha il suo database. L’amministratore può invitare altri (POST /api/accounts, che risponde con un link d’invito); l’app non ha ancora una pagina per gli inviti.

Entrare

/sign-in accetta una passkey, oppure la password e il codice. Dopo cinque tentativi sbagliati da un indirizzo, quell’indirizzo aspetta quindici minuti. Una sessione dura trenta giorni dall’ultimo uso, al massimo novanta.

Una richiesta seria di un agente chiede di nuovo la tua passkey prima di essere consentita (Squadre e incarichi).

Il tuo accesso

Nell’app, Sistema → Il tuo accesso ha:

• Passkey: aggiungine una con un nome che riconosci («Bitwarden», «iPhone»), o toglila. L’ultimo modo di entrare non si può togliere: prima aggiungi una password o un’altra passkey.
• Password e codice: impostali o cambiali. Prima confermi che sei tu, con una passkey o con la password e il codice attuali; poi inquadri la chiave nuova, scegli la password e inserisci il codice.
• Accessi aperti: le sessioni aperte, e Chiudi l’accesso per ciascuna. Un terminale che hai collegato da Orion compare come «Terminale su »; fa quello che fa l’app tranne cambiare chi può entrare (passkey, password, sessioni, app collegate, inviti, aggiungere un computer, importare o ripristinare da Agents Multi), che gli viene negato. Revocare il computer chiude anche la sua sessione del terminale.
• App collegate: Claude, ChatGPT e gli altri client che hai collegato con il connettore, e Scollega per ciascuno.

Il fuso orario («Gli incarichi e il report del mattino seguono questo orologio») sta in Sistema → Preferenze.

Finché hai un solo modo di entrare, la pagina lo dice: con una passkey sola, perderla ti chiude fuori. Un altro modo per rientrare non c’è ancora.

Il vault

I segreti sono cifrati sul server (AES-256-GCM), con una chiave per account protetta dalla chiave dell’istanza. Si scrivono e non si rileggono: un elenco mostra solo i nomi. Ogni modifica finisce nel registro di audit, per nome.

Un segreto arriva a un run solo quando quel run ne ha bisogno: il login del motore nella variabile che il motore legge, il token della forge per git. Sull’host resta in memoria; il file di login di Codex viene scritto in una cartella in memoria e sparisce con il run. Quello che uno strumento restituisce a un client viene mascherato quando somiglia a un segreto.

Nell’app, Sistema → Chiavi e token contiene i token delle forge (aggiungi una forge, o riscrivi lo stesso nome per sostituirne il token) ed elenca gli altri segreti per nome, ciascuno con Elimina; un segreto in uso non si elimina, e la pagina dice da cosa. I login dei motori si aggiungono in Sistema → Account e costi (Motori e costi). Una chiave o un token per un server MCP è un segreto in più nel vault, chiamato per nome dove il server è definito (Strumenti e integrazioni); arriva a un run solo quando quel server è attivo per lui.

Notifiche sul telefono

L’app si installa sul telefono come web app. In Sistema → Preferenze → Notifiche su questo dispositivo accendile e Manda una prova. Su iPhone aggiungi prima Kedalio alla schermata Home: Safari mostra le notifiche solo per una web app installata.

Le notifiche hanno quattro livelli: info (una risposta, un’esecuzione), ask (una richiesta, un brief), serious (una richiesta seria) e report (il resoconto del mattino). Le ore di silenzio e la pausa globale (entrambe in Preferenze) trattengono i primi due; quelle serie arrivano lo stesso, senza suono durante le ore di silenzio; il resoconto arriva alla sua ora, trattenuto solo dalla pausa (Run senza nessuno).

Non ancora costruiti: recuperare un account senza i suoi modi di entrare, una pagina per gli inviti, e aprire il vault con la tua passkey.