Vault 分享的安全建议 — 不要分享主保险库、不要在常规聊天工具传密码
红线（绝对不能做的）
红线一：不要分享主保险库
主保险库的密码同时也是 Enpass 应用的解锁密码。如果把主保险库分享出去：
- 对方输入一次密码 → 解锁整个 Enpass → 看到你所有 Vault → 所有密码都暴露
- 对方可以在你不在的时候翻看、修改、甚至删除所有数据
- 等于你给了对方"你的数字身份的全部控制权"
正确做法： 专门创建一个独立的 Vault 来共享。主保险库永远只属于你。
红线二：不要通过微信 / WhatsApp / Telegram 普通聊天传 Vault 密码
常规聊天工具的加密程度：
- 微信：端到端加密（E2EE）只在"企业微信"或"文件传输"特定场景开启。普通聊天消息在服务器上可能可以被访问（微信服务器持有密钥）。
- WhatsApp：普通聊天是端到端加密（服务器不持密钥），但"状态/群聊/语音"有例外
- Telegram：默认聊天不加密（在 Telegram 服务器上明文存储）。只有"秘密聊天 / Secret Chat"是 E2EE
安全传递方式：
- 面对面口头告诉（最直接、最安全、但需要时间地点配合）
- 端到端加密聊天：Signal（默认 E2EE）、Wire、Threema、Telegram 秘密聊天
- 加密邮件（ProtonMail 端到端加密、或 GPG 加密）
- 短密码（如 4~6 位 PIN）用常规聊天、长完整密码面对面或加密通道
红线三：Keyfile 不要通过云盘或聊天工具传
Keyfile 是一个文件。如果通过云盘传：
- Keyfile 和 Vault 文件可能落在同一个位置 → 等于没有物理隔离
如果通过聊天工具传：
- 聊天记录被留存 → Keyfile 文件可能在服务器上被复制
- 接收方可能没注意 → 直接存到了不安全的位置
安全传递方式：
- AirDrop（Apple 设备间，P2P 直传、不经过服务器）
- USB 硬盘 / 随身碟（物理传递）
- 面对面（接收方现场从传输设备上复制到安全位置后立即删除）
红线四：对方的云账号用完后不要保持登录状态
添加完共享 Vault 后，一定要退出对方的云账号（回到浏览器登出）。原因：
- 如果你的设备被别人拿走 → 对方的云账号可能还保持登录 → 其他人可能访问/修改云盘文件
- 某些浏览器（Chrome / Edge）会保存登录状态 → 自动重新登录 → 你没注意到
推荐做法（应该养成的习惯）
习惯一：共享 Vault 用独立密码
家庭共用 Vault 的密码应该是：
- 和任何一方的主密码完全不同（哪怕用助记词法也要换一套）
- 和任何一方在某个网站上用的密码也完全不同（不要和某个购物网站的密码相同）
- 夫妻双方都能记住（不需要记到 Enpass 里，因为每次解锁共享 Vault 都要输）
- 或者存进各自的主保险库的安全备注字段里（这样你不会忘，对方能信任你）
习惯二：每个成员自己做备份
共享 Vault 的加密数据库在云盘里有一份、在每个成员设备上有本地副本。每个成员自己做的 Enpass 自动备份里也会包含这个共享 Vault。
如果你是 Vault 分享方，Enpass 自动备份会备份你这边的 Vault 文件。作为接收方，你的 Enpass 自动备份也会备份你那边的副本。两边都等于有了双重保险。
习惯三：定期检查云盘权限
每隔 3~6 个月去云盘里检查一下：
- 共享文件夹的权限配置是否正确
- 有没有多余的成员被误加进来
- 如果之前加过现在已经不再分享的成员 → 移除权限
习惯四：成员变动时改 Vault 密码
以下情况必须修改共享 Vault 密码：
- 某个成员离开分享组（比如兄弟姐妹独立后、合租室友搬走）
- 某个成员换设备或换主密码
- 你怀疑某个成员的设备可能有安全问题（比如手机丢过、电脑中过毒）
- 周期性修改（比如每 12 个月改一次）
习惯五：共享 Vault 里只放真正应该共享的内容
共享 Vault 的定位是"全家人都要用到的东西"：
- ✅ Netflix / Amazon Prime 订阅密码
- ✅ 家庭 Wi-Fi 密码
- ✅ 有线电视 / 流媒体
- ✅ 账单邮箱 / 税务信息
- ❌ 个人邮箱主密码
- ❌ 个人社交账号（除非明确要共用）
- ❌ 个人银行账户
如果某些条目不太确定该不该共享，放到自己的主保险库里更安全。
离婚 / 家庭成员冲突 / 信任破裂时
最极端的情况是家庭成员关系变化、需要立即终止共享：
紧急撤销流程
- 第一时间修改共享 Vault 密码（加密 Vault 文件用新密码 → 对方手里的旧副本打不开了）
- 云盘里立即移除对方的访问权限（把对方的邮箱从共享列表里删掉）
- 如果有 Keyfile → 考虑生成新 Keyfile（旧 Keyfile 对方可能还留着）
- 等云同步完成后 → 对方那边会收到 Vault 文件更新（但新密码他们不知道了）
- 通知对方："我已经修改了 Vault 密码、撤销了你的访问、你的数据可能要重新找地方存"（这一步的措辞取决于你们的关系）
提前预防
如果担心将来可能有家庭成员关系变化：
- 单独给重要条目加密（不放进共享 Vault，还是放主保险库）
- 关键密码只用你自己知道的（不要告诉任何人）
- 共享 Vault 里的账号，如果是你注册的、邮箱是你的主邮箱 → 控制权永远在你手里（你随时可以去网站后台改密码）
Enpass Business 版本的 Vault 分享
如果家庭/团队规模变大、需要更精细的权限管理（谁能编辑/谁只能查看），可以考虑升级到 Enpass Business（也叫 Enpass Hub）：
| 功能 | 个人 Premium Vault 分享 | Enpass Business |
|---|---|---|
| 权限粒度 | 云盘级（粗） | Vault 级 + 条目级（细） |
| 成员管理 | 云盘层面 | Enpass Hub 控制台 |
| 密码政策 | 无 | 可以强制密码复杂度、定期修改 |
| 审计日志 | 无 | 有（谁在什么时候改了什么） |
| 主密码恢复 | 无 | 管理员可以恢复（管理员也有风险） |
| 经过 Enpass 服务器吗 | ❌ | ✅ |
Business 版本适合真正的团队需要精细管理的场景。家庭场景下个人 Premium + 云盘分享通常够用。
最后一条纪律
Enpass Vault 分享的本质是"两个人持有同一个加密文件的副本、共享同一个密码"。 信任是这个机制的前提——不信任的人不要让他们进入分享圈。
下一个：常见问题排查——参见 Wi-Fi Sync 问题排查。