Llavero

Qué hace cada campo, interruptor y ajuste: 53 controles en esta página. Es el texto que hay detrás del ⓘ junto a cada etiqueta en las apps: en el escritorio, pasa el puntero por encima o haz clic (o pulsa F1 en el campo); en el teléfono, tócalo.

La línea bajo cada nombre indica el identificador que usa el código y dice cuándo solo una de las apps tiene el control.

Identidad

Dónde: Llavero › Identidades › Nueva identidad.

Nombre visible

identity.label

Cómo llamas a esta identidad en la lista. Una identidad es un inicio de sesión (nombre de usuario, contraseña, clave) guardado una vez y reutilizado por muchos hosts.

• Ejemplo: deploy@production

Nombre de usuario

identity.username

El nombre de la cuenta en los servidores que usan esta identidad.

• Ejemplo: deploy

Contraseña

identity.password

La contraseña de esa cuenta, si inicia sesión con una. Déjala vacía para un inicio de sesión solo con clave. En el escritorio, una contraseña guardada no se vuelve a mostrar: deja el campo vacío para conservarla o escribe una nueva para sustituirla.

• Predeterminado: Ninguna.
• Atención: Se guarda en la bóveda y se sincroniza con ella, salvo que Ajustes › Seguridad › “Sincronizar claves e identidades” esté desactivado.

Quitar la contraseña guardada

identity.removePassword · Solo escritorio

Elimina la contraseña guardada con esta identidad al guardar. Los hosts que usan la identidad iniciarán sesión con su clave o pedirán una contraseña.

• Predeterminado: Desactivado.

Clave

identity.key

La clave privada con la que inicia sesión esta identidad. Solo se ofrecen claves de la misma bóveda.

• Predeterminado: Sin clave.

Generar una clave

Dónde: Llavero › Claves › Generar.

Tipo

keygen.type

El tipo de par de claves que se crea. Ed25519 es corta, rápida y la aceptan todos los servidores actuales. Elige ECDSA o RSA solo para un servidor que lo exija. Los tipos de “llave de seguridad” guardan la mitad privada en una llave de seguridad física (una llave FIDO2 como YubiKey o SoloKey: conectada por USB o, en un teléfono, también acercada a su parte trasera por NFC), que debe estar presente para iniciar sesión. Cualquier llave FIDO2 puede crear ECDSA; la mayoría de las recientes también Ed25519.

• Predeterminado: Ed25519.
• Más: Leer más (en inglés)

Tamaño

keygen.bits · Solo escritorio

La longitud de una clave RSA o ECDSA en bits. Más larga es más segura y más lenta. RSA: 2048, 3072 o 4096. ECDSA: 256, 384 o 521.

• Predeterminado: RSA 4096, ECDSA 256.

Aplicación

keygen.application

El nombre bajo el que una llave de seguridad guarda esta credencial. Debe empezar por “ssh:”. Cámbialo solo para separar varias claves SSH en una misma llave de seguridad.

• Predeterminado: ssh:
• Ejemplo: ssh:work

Exigir un toque en cada inicio de sesión

keygen.requireTouch

Debes tocar la llave de seguridad cada vez que inicia sesión, lo que demuestra que hay una persona presente. Si lo desactivas, firma sin avisar.

• Predeterminado: Activado.
• Atención: Si está desactivado, el servidor también debe permitirlo (la opción no-touch-required en la línea de esa clave del archivo authorized_keys del servidor), y nada demuestra que hubiera una persona presente.

Exigir el PIN o la biometría de la llave de seguridad

keygen.verifyRequired

Cada inicio de sesión también necesita el PIN o la huella de la llave de seguridad, no solo un toque. Úsalo para una clave que sería peligrosa si la robaran junto con el dispositivo.

• Predeterminado: Desactivado.

PIN de la llave de seguridad

keygen.pin

El PIN de la llave de seguridad, necesario para crear la credencial si la llave tiene uno. Se usa una vez y no se guarda.

• Predeterminado: Vacío.

Guardar la clave en la llave de seguridad

keygen.resident

Guarda la clave en la propia llave de seguridad (una clave “residente” o “detectable”), para que puedas cargarla en Sternway en otro equipo o teléfono con Importar desde llave de seguridad, o con ssh-keygen -K. Requiere una llave de seguridad con PIN.

• Predeterminado: Desactivado: el archivo de clave se queda en este llavero y solo funciona con la misma llave de seguridad.
• Atención: Cualquiera que tenga la llave de seguridad y conozca su PIN puede cargar la clave.
• Más: Leer más (en inglés)

Nombre de usuario en la llave de seguridad

keygen.user

Un nombre bajo el que la llave de seguridad guarda una clave almacenada, para que una llave pueda contener varias claves SSH para la misma aplicación. Una clave almacenada con la misma aplicación y nombre de usuario sustituye a la anterior. Como máximo 32 bytes.

• Predeterminado: Vacío.
• Ejemplo: ada

Nombre visible

keygen.label

Cómo llamas a esta clave en la lista. Obligatorio, hasta 256 caracteres.

• Ejemplo: Portátil 2026

Comentario

keygen.comment

Una nota guardada dentro de la clave pública. Aparece en el archivo authorized_keys de un servidor, para que un administrador sepa de quién es la clave.

• Predeterminado: Vacío en el escritorio; “sternway-mobile” en el móvil.
• Ejemplo: ada@laptop

Frase de contraseña

keygen.passphrase

Una contraseña que cifra la propia clave privada. Se te pide cada vez que se usa la clave; no se guarda. Déjala vacía para una clave que funcione sin preguntar.

• Predeterminado: Ninguna.
• Atención: No hay un segundo campo para confirmarla ni forma de recuperarla: una frase de contraseña mal escrita u olvidada deja la clave inservible.

Importar una clave

Dónde: Llavero › Claves › Importar.

Clave privada

keyImport.privateKey

Una clave privada existente, elegida como archivo o pegada completa, incluidas sus líneas BEGIN y END. Se aceptan archivos OpenSSH, PEM (PKCS#1, PKCS#8, SEC1) y .ppk de PuTTY; un .ppk se convierte a OpenSSH. Un archivo .pub elegido con ella debe ser la mitad pública correspondiente.

• Atención: Una clave privada permite a quien la tenga iniciar sesión como tú. Importa solo las tuyas y elimina después las copias sueltas.

Frase de contraseña

keyImport.passphrase

La frase de contraseña de la clave que se importa, necesaria solo si la clave está cifrada. Se usa para leer la clave.

• Atención: El escritorio no la conserva y la vuelve a pedir cuando se usa la clave. El móvil la guarda con la clave en el dispositivo, así que luego la clave funciona sin preguntar.

Nombre visible

keyImport.label

Cómo llamas a esta clave en la lista. Si se deja vacío, toma el comentario de la clave y, si no, el nombre del archivo.

Importar desde llave de seguridad

Dónde: Llavero › Claves › Importar desde llave de seguridad.

PIN de la llave de seguridad

keyLoad.pin

El PIN de la llave de seguridad. Leer las claves guardadas en ella siempre lo requiere. Se usa una vez y no se guarda.

• Atención: Unos cuantos PIN incorrectos seguidos bloquean la llave de seguridad; un PIN bloqueado solo se puede restablecer, lo que borra las claves guardadas en ella.
• Más: Leer más (en inglés)

Frase de contraseña de los archivos de clave

keyLoad.passphrase

Opcional. Cifra los archivos de clave que Sternway guarda para las claves cargadas; entonces se te pide en cada inicio de sesión, además del toque.

• Predeterminado: Ninguna.

Claves: exportar, renombrar, instalar, hardware

Dónde: Llavero › una clave.

Frase de contraseña del archivo (opcional)

keyExport.passphrase

Cifra la copia exportada con esta frase de contraseña; la clave guardada en la app no cambia. Solo se ofrece para una clave que no tiene frase de contraseña propia.

• Predeterminado: Ninguna: el archivo exportado no está cifrado.
• Atención: Sin frase de contraseña, cualquiera que obtenga el archivo puede iniciar sesión como tú.

Confirmar frase de contraseña

keyExport.passphraseConfirm

Vuelve a escribir la misma frase de contraseña para detectar una errata antes de escribir el archivo.

Nombre

key.rename

Cómo llamas a esta clave en la lista. Cambiarle el nombre no cambia nada en los servidores.

Nombre visible

hwKey.label · Solo escritorio

Cómo llamas a esta clave de hardware en la lista. Su mitad privada se crea en el hardware seguro de este equipo y nunca se puede copiar, sincronizar ni exportar.

Pedir confirmación en cada uso

hwKey.requirePresence · Solo escritorio

El equipo te pide la huella, el rostro o el PIN cada vez que la clave inicia sesión.

• Predeterminado: Activado.

Clave

keyInstall.key

La clave cuya mitad pública se añade a la lista de claves aceptadas del servidor (el archivo authorized_keys de la cuenta con la que inicias sesión), para que esa cuenta acepte esta clave a partir de entonces. La mitad privada nunca sale de este dispositivo. Una clave que ya está en la lista no se añade dos veces.

Hosts

keyInstall.hosts

Los servidores a los que añadir la clave. La app inicia sesión en cada uno de la forma habitual, crea ~/.ssh y authorized_keys si no existen y añade una línea. No se cambia nada de lo que ya hay en el archivo, y una clave que ya está se deja tal cual.

Certificado

Dónde: Llavero › Certificados › Adjuntar certificado.

Certificado

cert.certificate

Un certificado SSH es una clave pública firmada por la autoridad de certificación de tu organización; los servidores que confían en esa autoridad lo aceptan sin que la clave esté instalada en cada uno. Pega el contenido del archivo …-cert.pub y sus detalles se leen automáticamente.

• Ejemplo: ssh-ed25519-cert-v01@openssh.com AAAA…

Clave

cert.key

La clave privada para la que se emitió este certificado. La clave que corresponde al certificado se elige automáticamente si está en el llavero.

Tipo

cert.type · Solo escritorio

Un certificado de usuario te permite iniciar sesión en servidores; un certificado de host identifica a un servidor. Se lee del certificado; cámbialo solo si no se pudo leer el certificado.

• Predeterminado: Usuario.

Principales

cert.principals · Solo escritorio

Los nombres de cuenta para los que es válido el certificado (OpenSSH los llama principals), separados por comas. Un servidor solo acepta el certificado para una cuenta indicada aquí. Se lee del certificado.

• Ejemplo: deploy, ubuntu

Válido desde

cert.validAfter · Solo escritorio

El momento en que el certificado empieza a funcionar, en tu hora local. Vacío significa que no tiene inicio. Un certificado solo se ofrece al conectar mientras es válido.

Válido hasta

cert.validBefore · Solo escritorio

El momento en que caduca el certificado, en tu hora local. Vacío significa que nunca caduca. Después, los servidores lo rechazan y necesitas uno nuevo.

Número de serie

cert.serial · Solo escritorio

El número que la autoridad de certificación dio a este certificado, leído del propio certificado. Es lo que necesita el administrador de la autoridad para encontrar o revocar este certificado, así que indícalo cuando preguntes por uno.

ID de clave

cert.keyIdField · Solo escritorio

El nombre que la autoridad de certificación escribió en el certificado, que los servidores anotan en sus registros. Se lee del certificado.

Huella digital de la CA (SHA256)

cert.caFingerprint · Solo escritorio

La huella de la autoridad que firmó el certificado, para que compruebes que es la que esperas. Se lee del certificado.

Autoridad de certificación

Dónde: Llavero › una clave › Autoridad de certificación.

Certificado más largo (horas)

ca.maxValidity · Solo escritorio

Convierte esta clave en una autoridad de certificación (CA) que firma certificados SSH para otras claves, aquí en este dispositivo: su clave privada sigue cifrada en tu bóveda y nunca se envía a un servidor. Es lo máximo que puede durar un certificado que firme; cada certificado puede ser más corto.

• Predeterminado: 168 horas (7 días); como máximo 8784 (366 días).
• Atención: Quien pueda usar esta clave puede dejar que cualquiera inicie sesión donde se confíe en la autoridad: guárdala en una bóveda que solo puedan abrir las personas adecuadas. En una bóveda compartida, cada miembro que puede editarla puede firmar con ella. Una clave con la que inician sesión hosts no puede ser una autoridad, y una clave de autoridad nunca se pone en un agente reenviado.

Clave a certificar

caSign.subject · Solo escritorio

La clave para la que es el certificado. El certificado se guarda con esa clave, y al iniciar sesión con ella se presenta desde entonces.

Certificado para

caSign.type · Solo escritorio

Un certificado de usuario inicia la sesión de una persona en servidores que confían en esta CA (TrustedUserCAKeys). Un certificado de host indica a los clientes que un servidor es quien dice ser (@cert-authority en known_hosts).

• Predeterminado: Usuario.

Principals

caSign.principals · Solo escritorio

En un certificado de usuario, las cuentas con las que puede iniciar sesión; en uno de host, los nombres del servidor. Sepáralos con comas o espacios.

• Ejemplo: deploy, ubuntu
• Atención: Al menos uno. Un principal no tiene espacios, comas, caracteres de control ni controles de dirección del texto.

Válido durante (horas)

caSign.validity · Solo escritorio

Cuánto tiempo funciona el certificado, desde un minuto antes de firmarlo (para un servidor cuyo reloj va algo atrasado). Los certificados cortos no hace falta revocarlos: simplemente caducan.

• Predeterminado: 8 horas; como máximo el certificado más largo de la CA.

ID de clave

caSign.keyId · Solo escritorio

Un nombre escrito en el certificado, que los servidores anotan en sus registros cuando se usa.

• Predeterminado: El nombre de la clave para la que es.
• Atención: Sin caracteres de control ni controles de dirección del texto: cambiarían cómo se leen los registros de los servidores.

Comando forzado

caSign.forceCommand · Solo escritorio

Si se indica, un inicio de sesión con este certificado solo ejecuta este comando, se pida lo que se pida (force-command de OpenSSH). Solo para un certificado de usuario.

• Predeterminado: Ninguno: cualquier comando.
• Ejemplo: /usr/local/bin/backup –run

Permitido desde

caSign.sourceAddress · Solo escritorio

Si se indica, el certificado solo funciona desde estas direcciones IP o rangos CIDR, separados por comas (source-address de OpenSSH). Solo para un certificado de usuario.

• Predeterminado: Vacío: desde cualquier lugar.
• Ejemplo: 10.0.0.0/8,192.168.1.7
• Atención: Un rango es su dirección de red y máscara (10.0.0.0/8, no 10.0.0.1/8): los servidores rechazan un rango con bits activos más allá de la máscara.

Permite

caSign.extensions · Solo escritorio

Lo que puede hacer una sesión con este certificado: un terminal (pty), reenvío de puertos, reenvío del agente, reenvío X11 y el ~/.ssh/rc del usuario. Desmarca lo que el certificado no deba permitir. Solo para un certificado de usuario.

• Predeterminado: Las cinco, como las da ssh-keygen.

Frase de contraseña de la clave de la CA

caSign.passphrase · Solo escritorio

Esta clave de CA está cifrada y su frase de contraseña no está guardada: escríbela para firmar. Se usa solo para este certificado y no se guarda.

Hosts que avala

caTrust.hostPattern · Solo escritorio

Los nombres de host cuyos certificados de host de esta CA son de confianza, como en known_hosts: comodines y listas separadas por comas. Un host que muestre un certificado firmado por esta CA para su nombre queda reconocido sin preguntar.

• Ejemplo: *.example.com
• Atención: Confía en una autoridad solo para los nombres de los que debe responder: podrá hablar por cada host que cubra el patrón. En una bóveda compartida se rechaza * solo.

Step CA

Dónde: Llavero › una clave › Step CA.

Dirección de la CA

stepCa.url · Solo escritorio

La dirección de tu servidor step-ca, de donde esta clave obtiene certificados SSH de corta duración. Solo se usa https (http sin cifrar solo hacia este equipo). Cada respuesta de la CA se lee hasta 1 MiB.

• Ejemplo: https://ca.example.com
• Atención: En una clave de una bóveda que otros pueden cambiar, estos ajustes deciden adónde va tu inicio de sesión: la app pregunta antes de que este dispositivo los use por primera vez y después de cada cambio.

Huella de la raíz

stepCa.rootFingerprint · Solo escritorio

La huella SHA-256 del certificado raíz de la CA, tal como la muestra step certificate fingerprint root_ca.crt. La app solo confía en esta raíz para la CA: un servidor con otra raíz se rechaza antes de enviar nada.

• Atención: Pídesela al administrador de tu CA por un canal de confianza, no a la propia CA.

Provisioner

stepCa.provisioner · Solo escritorio

Cómo comprueba la CA que eres tú: un provisioner JWK pide su contraseña; uno OIDC abre tu proveedor de identidad en el navegador. Carga la lista desde la CA y elige.

Principals

stepCa.principals · Solo escritorio

Las cuentas que se piden a la CA, separadas por comas o espacios. La CA decide cuáles concede.

• Ejemplo: deploy

Contraseña del provisioner

stepCa.password · Solo escritorio

La contraseña del provisioner JWK. Abre, aquí en este dispositivo, la clave del provisioner que la CA entrega cifrada, para firmar la petición; se usa solo para este certificado y nunca se guarda ni se envía.

• Atención: Quien tenga esta contraseña puede pedir a la autoridad un certificado para cualquier principal que el provisioner permita, para cualquier clave: en una clave de equipo, compártela solo con quienes puedan.