O Obscura Photo Vault é seguro?

1. De quem ele protege as suas fotos

Nós fazemos o app, então leia esta página com isso em mente. Tentamos escrevê-la de modo que você não precise confiar em nós. Cada afirmação tem um link para algo que você pode ler ou testar.

“Seguro” só significa algo quando você diz contra quem. Esta é a versão simples, pessoa por pessoa.

As quatro primeiras linhas são aquilo para que o app foi feito. A quinta depende de um segundo cofre, e a seção 5 mostra onde ela para. As duas últimas acontecem enquanto o cofre está aberto, então a criptografia sozinha faz pouco contra elas. A maioria dos apps de cofre tem esses mesmos limites, e o nosso guia sobre se apps de cofre são seguros explica por quê.

2. O que acontece com uma foto dentro do app

Isto descreve a versão 1.14 e posteriores. Todos os detalhes estão no nosso documento de segurança.

Ela é trancada antes de ser salva

Quando você adiciona uma foto, o app a criptografa na memória. Só a versão trancada é gravada no celular. As pequenas imagens de pré-visualização também são trancadas, assim como a lista de pastas, nomes e etiquetas. Os vídeos são o único caso em que o iOS mantém por pouco tempo uma cópia legível num arquivo temporário enquanto o vídeo é importado. O app a apaga assim que a cópia trancada é gravada.

A sua senha desbloqueia uma chave, e a chave tranca as fotos

Cada cofre tem a sua própria chave mestra. É um número aleatório longo, gerado uma vez, quando você cria o cofre. A sua senha não tranca as suas fotos diretamente. Ela desbloqueia essa chave mestra.

Transformar a sua senha numa chave é lento de propósito. Leva cerca de um segundo num iPhone, porque o app repete um passo 600.000 vezes. Um segundo não é nada para você. Para alguém testando milhões de tentativas, isso soma um tempo enorme. O nosso guia simples sobre os termos da criptografia explica os números.

Cada arquivo tem um selo contra adulteração

Cada arquivo trancado carrega um selo. Se um único byte for alterado, o arquivo se recusa a abrir. Ele foi feito para não mostrar a você algo que foi alterado sem aviso.

Os vídeos são reproduzidos sem cópia legível no celular

Quando você reproduz um vídeo, o app destranca só a parte que está sendo mostrada, na memória. Nenhuma cópia legível do vídeo é gravada no armazenamento do celular.

Quando o cofre bloqueia, a chave é apagada

Bloquear o cofre apaga a chave mestra da memória. Para ver qualquer coisa de novo, você precisa da senha ou do Face ID.

Para onde as suas fotos podem ir

Só três lugares: o celular, o backup do seu iPhone e qualquer arquivo de exportação que você crie. No backup e na exportação, os arquivos continuam trancados. O app não nos envia nada, porque não há para onde enviar.

3. Por que você não precisa acreditar na nossa palavra

A maioria dos apps de cofre diz que mantém as suas fotos seguras. Poucos dizem como. Em agosto de 2026, lemos as páginas na App Store dos cinco apps de cofre com mais avaliações. Nenhum deles citou o método de criptografia nem os parâmetros. Um disse “nível militar” (military-grade). Você pode ver as citações na nossa comparação de apps de cofre de fotos.

Uma expressão assim pede que você confie nela. Tentamos oferecer mais do que uma expressão, em três passos. Cada um pede que você confie um pouco menos em nós.

Passo 1: uma descrição por escrito, com os limites

O documento de segurança descreve como o app tranca as suas fotos. Ele também tem uma seção inteira sobre aquilo contra o que o app não protege. Uma afirmação por escrito permite que você nos cobre. Mas ainda são só palavras.

Passo 2: o próprio código

O código que tranca os arquivos é público. Ele se chama ObscuraCrypto, e qualquer pessoa pode lê-lo no GitHub. Ele cobre como a sua senha vira uma chave e como cada foto, vídeo, pré-visualização, pasta protegida e arquivo de backup é trancado.

Ele usa apenas os componentes da própria Apple para as partes difíceis, e nenhum código de outras empresas. Ele vem com testes. Alguns desses testes abrem arquivos de exemplo que o próprio app gravou. Isso mostra que o código público lê o que o app grava.

Passo 3: o seu próprio celular

Este é o passo que não depende de nós em nada. O projeto inclui um guia passo a passo para conferir os arquivos no seu próprio iPhone. Você precisa de um Mac e de uns vinte minutos. Você faz um backup do celular no Mac, copia os arquivos do cofre de dentro dele e roda algumas verificações:

• Os arquivos não são fotos legíveis. Eles não começam do jeito que um arquivo de foto ou vídeo começa, e não diminuem quando compactados, o que é típico de dados trancados.
• Só a sua senha abre o seu cofre. Ela abre exatamente um arquivo de cofre. Todos os outros arquivos dão a mesma resposta: senha incorreta.
• Trocar a senha não regrava nada. Troque a senha, confira de novo, e cada arquivo de foto está exatamente igual a antes. Só a tranca da chave mestra mudou.
• A adulteração é detectada. Altere um byte de um arquivo, e ele se recusa a abrir.

Nada disso precisa de ajuda nossa. Em termos simples, você está conferindo o que dizemos sobre o app com os arquivos do seu próprio celular.

Se o app algum dia deixar de existir

O mesmo projeto público inclui uma pequena ferramenta para Mac. Ela consegue abrir um arquivo de backup do Obscura com a sua senha e gravar as suas fotos e vídeos como arquivos normais. Então um arquivo de backup que você guarda não depende do app, nem de nós. As fotos de uma pasta com senha própria são a exceção, porque a segunda chave delas fica dentro do app.

4. O que o código público não prova

Publicar o código é um grande passo, mas tem limites. Estes são os que importam.

• Que o app no seu celular foi compilado a partir dele. A Apple assina e criptografa de novo todo app da App Store antes que ele chegue até você. Então ninguém fora da Apple consegue provar de qual código veio um download. O que as verificações acima provam é que os seus arquivos batem exatamente com o código público. Isso não poderia acontecer por acaso.
• O resto do app. As telas, o banco de dados, o funcionamento dos dez espaços de cofre e a limpeza das chaves na memória não estão no código público. O documento de segurança os descreve, mas você não pode ler esse código.
• Que um especialista o analisou. Nenhuma empresa de segurança externa auditou o app ou o código. Código público torna uma análise possível. Não significa que alguma tenha acontecido.

5. Os riscos que continuam, e qual a chance de cada um

Eles estão listados do mais provável para o menos provável. Cada um diz qual a chance e qual a gravidade das consequências.

• Esquecer a senha
• Os originais deixados no Fotos
• Uma senha fraca, e alguém com uma cópia dos seus dados
• Alguém vê a tela enquanto o cofre está aberto
• O Face ID usado por alguém que está com você
• Os Cofres Separados, e onde eles param
• Um risco pequeno e raro em bibliotecas de vídeo muito grandes
• Software malicioso no celular
• O app pode ser visto no seu celular

Esquecer a senha

Qual a chance: a forma mais provável de perder as suas fotos, muito mais provável do que qualquer ataque. Qual a gravidade: definitiva. Ninguém consegue redefini-la, nem nós.

É o mesmo fato que “ninguém mais consegue abrir”, visto do outro lado. Guarde a senha num gerenciador de senhas e guarde um arquivo de exportação num lugar seguro. O nosso guia sobre esquecer a senha do cofre trata dos dois.

Os originais deixados no Fotos

Qual a chance: muito comum. Qual a gravidade: a foto continua legível para qualquer pessoa com o código do seu celular.

Adicionar uma foto ao cofre faz uma cópia. O original fica na sua biblioteca até você apagá-lo. Depois ele fica em Apagados por 30 dias, e nas Fotos do iCloud até a exclusão chegar lá. Um app de cofre não consegue limpar todos esses lugares sozinho, então apagar os originais é com você. O nosso guia sobre onde as fotos continuam num iPhone lista todos os lugares.

Uma senha fraca, e alguém com uma cópia dos seus dados

Qual a chance: baixa. A pessoa precisa de uma cópia dos dados do seu celular, como um backup num computador, além de tempo e esforço. Qual a gravidade: ela poderia abrir esse cofre.

Com uma cópia, alguém pode testar senhas num computador na velocidade máxima que ele permitir. O passo lento da chave torna cada tentativa mais cara, mas não consegue salvar uma senha fraca. O repositório público dá estes tempos aproximados para uma placa de vídeo potente:

São só exemplos, então não os use. Uma senha impressa numa página da web é uma das primeiras que um atacante testa. “Aleatório” é o que importa aqui: um nome com um ano, ou um verso de música, é um padrão, mesmo quando é longo. Deixe um gerenciador de senhas escolher as palavras ou os caracteres para você.

Use quatro ou mais palavras aleatórias. No próprio celular, adivinhar é lento, mas as esperas extras do app só começam depois de 100 senhas erradas seguidas. Essa contagem também zera quando o app reinicia. Nós dizemos isso no documento de segurança. O freio de verdade é o segundo que cada tentativa leva.

Alguém vê a tela enquanto o cofre está aberto

Qual a chance: depende da sua vida. Qual a gravidade: a pessoa vê o que está na tela.

A criptografia só protege arquivos trancados. O app esconde o conteúdo no seletor de apps. Por padrão, ele se bloqueia sozinho depois de cinco minutos sem uso. Você pode configurá-lo para bloquear na hora, ou desativar o Bloqueio Automático, e nesse caso ele fica aberto até você bloqueá-lo.

O Face ID usado por alguém que está com você

Qual a chance: baixa. Exige alguém com você e com o seu celular. Qual a gravidade: o cofre abre.

Um rosto é mais fácil de conseguir do que uma senha. Se a preocupação é alguém próximo de você, desative o Face ID para o cofre e use só a senha.

Os Cofres Separados, e onde eles param

Qual a chance: baixa. As falhas conhecidas exigem acesso direto ao armazenamento do celular, ou alguém que conheça bem o app. Qual a gravidade: alguém poderia perceber que você usa mais de um cofre.

O caso do dia a dia funciona bem. Alguém pede para ver as suas fotos, e você abre um segundo cofre com fotos que você não se importa de mostrar. É um cofre real, não um falso. O app não tem lista de cofres nem contagem, e nada na tela sugere que exista outro cofre.

Os arquivos no celular são construídos para combinar com isso. O app sempre mantém dez arquivos de cofre, usados ou não, e eles são feitos do mesmo jeito. O desbloqueio verifica todos eles, então o tempo que leva não mostra qual cofre abriu. Um segundo cofre exige a versão Pro do app.

As falhas conhecidas ficam fora do app: o número total de arquivos de fotos, um décimo primeiro cofre e as Chaves do iCloud. Alguém que sabe que o app permite mais de um cofre também pode simplesmente continuar perguntando. O nosso guia sobre os Cofres Separados explica cada uma.

Um risco pequeno e raro em bibliotecas de vídeo muito grandes

Qual a chance: muito improvável. Cerca de 1 em 35.000 com 500 vídeos grandes num cofre, e cerca de 1 em 90 com 10.000. Qual a gravidade: limitada.

Cada vídeo grande recebe uma etiqueta aleatória curta que o diferencia dos outros. Dois vídeos poderiam, raramente, receber a mesma etiqueta. Alguém com os dois arquivos poderia então descobrir um pouco sobre como os dois se relacionam. Mesmo assim, essa pessoa não conseguiria abrir o cofre nem qualquer outro arquivo. Uma versão futura do formato de arquivo vai eliminar isso.

Software malicioso no celular

Qual a chance: rara para a maioria das pessoas. A Apple chama os ataques que invadem um iPhone atualizado de “extremamente raros e altamente sofisticados”. Qual a gravidade: grave, se acontecer enquanto você usa o cofre.

Apps comuns não conseguem alcançar o cofre. O iOS mantém separados os arquivos e a memória de cada app, então outro app no seu celular não consegue ler os arquivos do cofre nem olhar dentro do app enquanto ele roda. O risco é um software que quebre essa barreira. Isso significa uma falha no próprio iOS, um celular com jailbreak ou um perfil de dispositivo instalado por alguém em quem você não confia.

O que um software assim conseguiria alcançar depende do que o cofre está fazendo:

• Enquanto o cofre está bloqueado: só arquivos trancados. É o mesmo que alguém com uma cópia dos seus dados, e uma senha forte protege você do mesmo jeito.
• Enquanto o cofre está aberto: a chave mestra está na memória do app, assim como as fotos na tela. Um software que invadiu o celular poderia copiá-las.
• Enquanto você desbloqueia: ele poderia observar a tela, ou capturar a senha enquanto você a digita.

Então esse tipo de ataque não precisa quebrar a criptografia. Ele espera você abrir o cofre. Quanto tempo o cofre fica aberto depende do seu ajuste de Bloqueio Automático. Por padrão, ele bloqueia depois de cinco minutos sem uso, e você pode diminuir esse tempo. Se você desativar o Bloqueio Automático, o cofre e a chave ficam abertos até você bloqueá-lo manualmente.

Quando o cofre bloqueia, o app apaga a chave da memória. Ele não mantém nenhuma cópia legível das suas fotos no armazenamento depois que elas são adicionadas, então um cofre bloqueado não deixa nada legível para trás.

O que você pode fazer: mantenha o iOS atualizado, não faça jailbreak no celular e não instale perfis de pessoas em quem você não confia. Mantenha o Bloqueio Automático ativado, com um tempo curto. Se você acha que é alvo de alguém em particular, o Modo de Isolamento da Apple foi feito para isso.

O app pode ser visto no seu celular

Qual a chance: é certo. Qual a gravidade: leve para a maioria das pessoas.

O app fica na sua Tela de Início e nas suas compras da App Store. A criptografia esconde o que está no cofre. Não esconde que o cofre existe.

6. O que podemos e não podemos fazer

O app não tem conta nem servidor. Isso define o que podemos fazer por você, nos dois sentidos.

• Não conseguimos ver as suas fotos. Elas nunca chegam até nós.
• Não conseguimos redefinir a sua senha nem recuperar um cofre para você.
• Não conseguimos perder as suas fotos num vazamento. Não guardamos nada seu para perder.
• Não coletamos dados sobre você. O rótulo de privacidade na App Store diz Dados Não Coletados. Esse rótulo é a nossa própria resposta, e a Apple não o confere. Você pode testar: o app funciona por completo no Modo Avião.

Se o Backup do iCloud estiver ativado, o seu cofre faz parte dele, como arquivos trancados. A Apple não consegue lê-los sem a sua senha. O nosso guia sobre mudar ou apagar um app de cofre trata de backups e de celulares novos.

7. Para quem ele serve, e para quem não serve

Ele serve para você se você quer fotos que continuem ilegíveis para alguém com o seu celular ou o seu código, e vai guardar bem a sua senha. Ele também serve se você quer conferir as afirmações, não só lê-las.

Procure outra opção se você precisa de alguém que redefina uma senha esquecida, ou se você quer que as suas fotos sincronizem entre aparelhos por uma conta na nuvem. Um cofre na nuvem é uma troca diferente. O nosso guia sobre a segurança dos apps de cofre mostra o que ela ganha e o que ela custa.

8. Perguntas frequentes

O Obscura Photo Vault é seguro?

Para aquilo que ele se propõe a fazer, sim, e você pode conferir. As suas fotos ficam trancadas no seu celular com uma chave gerada a partir de uma senha que só você sabe. Não há conta nem servidor. O código que tranca os arquivos é público. Ele não protege você de tudo. O maior risco real é esquecer a senha, porque ninguém consegue redefini-la.

O desenvolvedor do Obscura Photo Vault consegue ver as minhas fotos?

Não. O app não tem servidor nem conta, então as suas fotos nunca chegam até nós. Não guardamos a sua senha nem nenhuma chave. É também por isso que não conseguimos redefinir uma senha esquecida nem recuperar um cofre para você.

O Obscura Photo Vault é de código aberto?

A criptografia, sim. O código que transforma a sua senha numa chave e tranca as suas fotos, vídeos, pastas e backups está publicado no GitHub como ObscuraCrypto. O resto do app, como as telas e o banco de dados, não.

O Obscura Photo Vault passou por auditoria independente?

Não. Nenhuma empresa de segurança externa analisou o app nem o código de criptografia. O código é público para que qualquer pessoa possa fazer isso, e o documento de segurança descreve a arquitetura em detalhes. Isso torna uma análise possível. Não significa que alguma tenha acontecido.

Consigo recuperar as minhas fotos sem o app?

Sim, a partir de um arquivo de backup. O projeto público ObscuraCrypto inclui uma pequena ferramenta para Mac que abre um arquivo de backup do Obscura com a sua senha e grava as fotos e os vídeos como arquivos normais. As fotos de uma pasta com senha própria são a exceção. A segunda chave delas fica dentro do app.

O Obscura Photo Vault é o mesmo que o app de câmera Obscura?

Não. O Obscura Photo Vault é um cofre de fotos com criptografia feito pela Orlio Inc. O Obscura, o app de câmera manual, é outro app, de outro desenvolvedor. Esta página trata só do cofre de fotos.