Chaveiro

O que cada campo, chave e configuração faz: 53 controles nesta página. É o texto por trás do ⓘ ao lado de cada rótulo nos apps: no computador, passe o ponteiro ou clique (ou pressione F1 no campo); no celular, toque nele.

A linha sob cada nome traz o identificador que o código usa e diz quando só um dos apps tem o controle.

Identidade

Onde: Chaveiro › Identidades › Nova identidade.

Rótulo

identity.label

Como você chama esta identidade na lista. Uma identidade é um login (nome de usuário, senha, chave) salvo uma vez e reutilizado por vários hosts.

• Exemplo: deploy@production

Nome de usuário

identity.username

O nome da conta nos servidores que usam esta identidade.

• Exemplo: deploy

Senha

identity.password

A senha dessa conta, se ela fizer login com uma. Deixe vazio para um login só com chave. No desktop, uma senha salva nunca é exibida de novo: deixe o campo vazio para mantê-la ou digite uma nova para substituí-la.

• Padrão: Nenhuma.
• Atenção: Ela é armazenada no cofre e sincronizada com ele, a menos que Configurações › Segurança › “Sincronizar chaves e identidades” esteja desativado.

Remover a senha salva

identity.removePassword · Só no computador

Exclui a senha salva com esta identidade quando você salvar. Os hosts que usam a identidade passam a fazer login com a chave dela ou a pedir uma senha.

• Padrão: Desativado.

Chave

identity.key

A chave privada com que esta identidade faz login. Só são oferecidas chaves do mesmo cofre.

• Padrão: Sem chave.

Gerar uma chave

Onde: Chaveiro › Chaves › Gerar.

Tipo

keygen.type

O tipo de par de chaves a criar. Ed25519 é curta, rápida e aceita por todo servidor atual. Escolha ECDSA ou RSA apenas para um servidor que exija. Os tipos “chave de segurança” mantêm a metade privada em uma chave de segurança física (uma chave FIDO2 como YubiKey ou SoloKey: conectada ao USB ou, no celular, também encostada na traseira via NFC), que precisa estar presente para fazer login. Toda chave FIDO2 consegue criar ECDSA; a maioria das mais novas também Ed25519.

• Padrão: Ed25519.
• Mais: Leia mais (em inglês)

Tamanho

keygen.bits · Só no computador

O comprimento de uma chave RSA ou ECDSA em bits. Maior é mais forte e mais lento. RSA: 2048, 3072 ou 4096. ECDSA: 256, 384 ou 521.

• Padrão: RSA 4096, ECDSA 256.

Aplicativo

keygen.application

O nome sob o qual uma chave de segurança guarda esta credencial. Deve começar com “ssh:”. Altere-o só para separar várias chaves SSH em uma mesma chave de segurança.

• Padrão: ssh:
• Exemplo: ssh:work

Exigir um toque a cada login

keygen.requireTouch

Você precisa tocar na chave de segurança a cada login, o que comprova que há uma pessoa presente. Desativar permite que ela assine em silêncio.

• Padrão: Ativado.
• Atenção: Com isto desativado, o servidor também precisa permitir (a opção no-touch-required na linha dessa chave no arquivo authorized_keys do servidor), e nada comprova que uma pessoa estava presente.

Exigir o PIN ou a biometria da chave de segurança

keygen.verifyRequired

Todo login também exige o PIN ou a impressão digital da chave de segurança, não só um toque. Use para uma chave que seria perigosa se roubada junto com o dispositivo.

• Padrão: Desativado.

PIN da chave de segurança

keygen.pin

O PIN da chave de segurança, necessário para criar a credencial quando a chave tem um. É usado uma vez e não é salvo.

• Padrão: Vazio.

Armazenar a chave na chave de segurança

keygen.resident

Mantém a chave na própria chave de segurança (uma chave “residente” ou “detectável”), para que você possa carregá-la no Sternway em outro computador ou celular com Importar da chave de segurança, ou com ssh-keygen -K. Exige uma chave de segurança com PIN.

• Padrão: Desativado: o arquivo da chave fica neste chaveiro e só funciona com a mesma chave de segurança.
• Atenção: Qualquer pessoa que tenha a chave de segurança e saiba o PIN dela pode carregar a chave.
• Mais: Leia mais (em inglês)

Nome de usuário na chave de segurança

keygen.user

Um nome sob o qual a chave de segurança guarda uma chave armazenada, para que uma chave possa conter várias chaves SSH para a mesma aplicação. Uma chave armazenada com a mesma aplicação e o mesmo nome de usuário substitui a anterior. No máximo 32 bytes.

• Padrão: Vazio.
• Exemplo: ada

Rótulo

keygen.label

Como você chama esta chave na lista. Obrigatório, até 256 caracteres.

• Exemplo: Notebook 2026

Comentário

keygen.comment

Uma nota armazenada dentro da chave pública. Ela aparece no arquivo authorized_keys de um servidor, para que um administrador saiba de quem é a chave.

• Padrão: Vazio no desktop; “sternway-mobile” no celular.
• Exemplo: ada@laptop

Frase secreta

keygen.passphrase

Uma senha que criptografa a própria chave privada. Ela é pedida a cada uso da chave; não é salva. Deixe vazio para uma chave que funcione sem perguntar.

• Padrão: Nenhuma.
• Atenção: Não há um segundo campo para confirmá-la nem forma de recuperá-la: uma frase secreta digitada errado ou esquecida torna a chave inútil.

Importar uma chave

Onde: Chaveiro › Chaves › Importar.

Chave privada

keyImport.privateKey

Uma chave privada existente, escolhida como arquivo ou colada por inteiro, incluindo as linhas BEGIN e END. São aceitos arquivos OpenSSH, PEM (PKCS#1, PKCS#8, SEC1) e PuTTY .ppk; um .ppk é convertido para OpenSSH. Um arquivo .pub escolhido junto deve ser a metade pública correspondente.

• Atenção: Uma chave privada permite que qualquer pessoa que a tenha faça login como você. Importe só as suas e exclua as cópias soltas depois.

Frase secreta

keyImport.passphrase

A frase secreta da chave sendo importada, necessária só quando a chave é criptografada. Ela é usada para ler a chave.

• Atenção: O desktop não a guarda e pergunta de novo quando a chave é usada. O celular a salva com a chave no dispositivo, então a chave passa a funcionar sem perguntar.

Rótulo

keyImport.label

Como você chama esta chave na lista. Se ficar vazio, recebe o comentário da chave e, na falta dele, o nome do arquivo.

Importar de chave de segurança

Onde: Chaveiro › Chaves › Importar de chave de segurança.

PIN da chave de segurança

keyLoad.pin

O PIN da chave de segurança. Ler as chaves armazenadas nela sempre o exige. É usado uma vez e não é salvo.

• Atenção: Alguns PINs incorretos seguidos bloqueiam a chave de segurança; um PIN bloqueado só pode ser redefinido, o que apaga as chaves armazenadas nela.
• Mais: Leia mais (em inglês)

Frase secreta dos arquivos de chave

keyLoad.passphrase

Opcional. Criptografa os arquivos de chave que o Sternway salva para as chaves carregadas; ela passa a ser pedida a cada login, além do toque.

• Padrão: Nenhuma.

Chaves: exportar, renomear, instalar, hardware

Onde: Chaveiro › uma chave.

Frase secreta do arquivo (opcional)

keyExport.passphrase

Criptografa a cópia exportada com esta frase secreta; a chave guardada no app não é alterada. Só é oferecida para uma chave que não tem frase secreta própria.

• Padrão: Nenhuma: o arquivo exportado não é criptografado.
• Atenção: Sem frase secreta, qualquer pessoa que obtiver o arquivo pode fazer login como você.

Confirmar frase secreta

keyExport.passphraseConfirm

Digite a mesma frase secreta de novo, para pegar um erro de digitação antes de o arquivo ser gravado.

Nome

key.rename

Como você chama esta chave na lista. Renomear não muda nada nos servidores.

Rótulo

hwKey.label · Só no computador

Como você chama esta chave de hardware na lista. A metade privada é criada no hardware seguro deste computador e nunca pode ser copiada, sincronizada nem exportada.

Pedir confirmação a cada uso

hwKey.requirePresence · Só no computador

O computador pede sua impressão digital, rosto ou PIN a cada vez que a chave faz login.

• Padrão: Ativado.

Chave

keyInstall.key

A chave cuja metade pública é adicionada à lista de chaves aceitas do servidor (o arquivo authorized_keys da conta com que você faz login), para que essa conta passe a aceitar esta chave. A metade privada nunca sai deste dispositivo. Uma chave que já está na lista não é adicionada duas vezes.

Hosts

keyInstall.hosts

Os servidores aos quais adicionar a chave. O app faz login em cada um da forma habitual, cria ~/.ssh e authorized_keys se não existirem e acrescenta uma linha. Nada do que já está no arquivo é alterado, e uma chave que já está lá é deixada como está.

Certificado

Onde: Chaveiro › Certificados › Anexar certificado.

Certificado

cert.certificate

Um certificado SSH é uma chave pública assinada pela autoridade certificadora da sua organização; servidores que confiam na autoridade o aceitam sem que a chave precise estar instalada em cada um. Cole o conteúdo do arquivo …-cert.pub e os detalhes dele são lidos para você.

• Exemplo: ssh-ed25519-cert-v01@openssh.com AAAA…

Chave

cert.key

A chave privada para a qual este certificado foi emitido. A chave que corresponde ao certificado é escolhida para você quando está no Chaveiro.

Tipo

cert.type · Só no computador

Um certificado de usuário faz seu login nos servidores; um certificado de host identifica um servidor. Lido do certificado; altere só quando não foi possível ler o certificado.

• Padrão: Usuário.

Principals

cert.principals · Só no computador

Os nomes de conta para os quais o certificado é válido (o OpenSSH os chama de principals), separados por vírgulas. Um servidor só aceita o certificado para uma conta listada aqui. Lido do certificado.

• Exemplo: deploy, ubuntu

Válido após

cert.validAfter · Só no computador

O momento em que o certificado começa a valer, no seu horário local. Vazio significa que não tem início. Um certificado só é oferecido ao conectar enquanto é válido.

Válido antes de

cert.validBefore · Só no computador

O momento em que o certificado expira, no seu horário local. Vazio significa que nunca expira. Depois disso, os servidores o recusam e você precisa de um novo.

Número de série

cert.serial · Só no computador

O número que a autoridade certificadora deu a este certificado, lido do próprio certificado. É o que o administrador da autoridade precisa para encontrar ou revogar este certificado, então informe-o quando perguntar sobre um.

ID da chave

cert.keyIdField · Só no computador

O nome que a autoridade certificadora gravou no certificado, que os servidores registram nos logs. Lido do certificado.

Impressão digital da CA (SHA256)

cert.caFingerprint · Só no computador

A impressão digital da autoridade que assinou o certificado, para você conferir se é a esperada. Lida do certificado.

Autoridade certificadora

Onde: Chaveiro › uma chave › Autoridade certificadora.

Certificado mais longo (horas)

ca.maxValidity · Só no computador

Torna esta chave uma autoridade certificadora (CA) que assina certificados SSH para outras chaves, aqui neste dispositivo: a chave privada continua criptografada no seu cofre e nunca é enviada a um servidor. É o máximo que um certificado assinado por ela pode durar; cada certificado pode ser mais curto.

• Padrão: 168 horas (7 dias); no máximo 8784 (366 dias).
• Atenção: Quem puder usar esta chave pode deixar qualquer pessoa entrar onde a autoridade é confiável: guarde-a em um cofre que só as pessoas certas possam abrir. Em um cofre compartilhado, todo membro que pode editá-lo pode assinar com ela. Uma chave com que hosts entram não pode ser uma autoridade, e uma chave de autoridade nunca vai para um agente encaminhado.

Chave a certificar

caSign.subject · Só no computador

A chave para a qual o certificado é emitido. O certificado é salvo com essa chave, e um login com ela passa a apresentá-lo.

Certificado para

caSign.type · Só no computador

Um certificado de usuário faz o login de uma pessoa em servidores que confiam nesta CA (TrustedUserCAKeys). Um certificado de host mostra aos clientes que um servidor é quem diz ser (@cert-authority no known_hosts).

• Padrão: Usuário.

Principals

caSign.principals · Só no computador

Num certificado de usuário, as contas com que ele pode fazer login; num certificado de host, os nomes do servidor. Separe-os com vírgulas ou espaços.

• Exemplo: deploy, ubuntu
• Atenção: Pelo menos um. Um principal não tem espaços, vírgulas, caracteres de controle nem controles de direção do texto.

Válido por (horas)

caSign.validity · Só no computador

Por quanto tempo o certificado funciona, a partir de um minuto antes de ser assinado (para um servidor cujo relógio está um pouco atrasado). Certificados curtos não precisam ser revogados: simplesmente expiram.

• Padrão: 8 horas; no máximo o certificado mais longo da CA.

ID da chave

caSign.keyId · Só no computador

Um nome gravado no certificado, que os servidores registram nos logs quando ele é usado.

• Padrão: O nome da chave para a qual ele é.
• Atenção: Sem caracteres de controle nem controles de direção do texto: eles mudariam como os logs dos servidores são lidos.

Comando forçado

caSign.forceCommand · Só no computador

Se definido, um login com este certificado executa só este comando, seja o que for pedido (force-command do OpenSSH). Só para certificado de usuário.

• Padrão: Nenhum: qualquer comando.
• Exemplo: /usr/local/bin/backup –run

Permitido a partir de

caSign.sourceAddress · Só no computador

Se definido, o certificado só funciona a partir destes endereços IP ou faixas CIDR, separados por vírgulas (source-address do OpenSSH). Só para certificado de usuário.

• Padrão: Vazio: de qualquer lugar.
• Exemplo: 10.0.0.0/8,192.168.1.7
• Atenção: Um intervalo é o seu endereço de rede e máscara (10.0.0.0/8, não 10.0.0.1/8): os servidores recusam um intervalo com bits ligados além da máscara.

Permite

caSign.extensions · Só no computador

O que uma sessão com este certificado pode fazer: um terminal (pty), encaminhamento de portas, encaminhamento do agente, encaminhamento X11 e o ~/.ssh/rc do usuário. Desmarque o que o certificado não deve permitir. Só para certificado de usuário.

• Padrão: As cinco, como o ssh-keygen dá.

Frase secreta da chave da CA

caSign.passphrase · Só no computador

Esta chave de CA é criptografada e a frase secreta não está salva: digite-a para assinar. Ela é usada só para este certificado e não é guardada.

Hosts que ela garante

caTrust.hostPattern · Só no computador

Os nomes de host cujos certificados de host desta CA são confiáveis, como no known_hosts: curingas e listas separadas por vírgulas. Um host que mostrar um certificado assinado por esta CA para o seu nome passa a ser conhecido sem perguntar.

• Exemplo: *.example.com
• Atenção: Confie em uma autoridade só para os nomes pelos quais ela deve responder: ela poderá falar por todo host que o padrão cobre. Em um cofre compartilhado, * sozinho é recusado.

Step CA

Onde: Chaveiro › uma chave › Step CA.

Endereço da CA

stepCa.url · Só no computador

O endereço do seu servidor step-ca, de onde esta chave recebe certificados SSH de curta duração. Só https é usado (http sem criptografia só para este computador). Cada resposta da CA é lida até 1 MiB.

• Exemplo: https://ca.example.com
• Atenção: Em uma chave de um cofre que outras pessoas podem alterar, estas configurações decidem para onde vai o seu login: o app pergunta antes de este dispositivo usá-las pela primeira vez e depois de cada alteração.

Impressão digital da raiz

stepCa.rootFingerprint · Só no computador

A impressão digital SHA-256 do certificado raiz da CA, como step certificate fingerprint root_ca.crt a mostra. O app só confia nessa raiz para a CA: um servidor com outra raiz é recusado antes de qualquer envio.

• Atenção: Obtenha-a com o administrador da sua CA por um canal confiável, não com a própria CA.

Provisioner

stepCa.provisioner · Só no computador

Como a CA confere que é você: um provisioner JWK pede a senha dele; um OIDC abre o seu provedor de identidade no navegador. Carregue a lista da CA e escolha.

Principals

stepCa.principals · Só no computador

As contas a pedir à CA, separadas por vírgulas ou espaços. A CA decide quais concede.

• Exemplo: deploy

Senha do provisioner

stepCa.password · Só no computador

A senha do provisioner JWK. Ela abre, aqui neste dispositivo, a chave do provisioner que a CA entrega criptografada, para assinar o pedido; é usada só para este certificado e nunca é salva nem enviada.

• Atenção: Quem tiver esta senha pode pedir à autoridade um certificado para qualquer principal que o provisioner permita, para qualquer chave: em uma chave de equipe, compartilhe-a só com quem pode.