Clefkey. est un gestionnaire de mots de passe web zero-knowledge : le serveur ne voit jamais les mots de passe en clair. Le chiffrement et le déchiffrement se font dans le navigateur. En pratique, le serveur reçoit et stocke uniquement des données déjà rendues inutilisables sans le mot de passe maître. Les secrets en clair existent seulement dans le navigateur, pendant une session déverrouillée. Si quelqu’un copie la base de données, il obtient des blobs, des sels et un vérificateur, pas le contenu des coffres.
Le mot de passe maître joue donc deux rôles à la fois : il authentifie la personne auprès de l’API (via un dérivé), et il déverrouille le matériel cryptographique nécessaire pour lire ou écrire les entrées. Le serveur ne connaît jamais ce mot de passe.