Sinais 1 a 3: o modelo de negócio aparece
Um: anúncios dentro do app. SDKs de anúncios existem para coletar e transmitir; diga o que disser a política de privacidade, existe um canal de dados morando dentro do seu app de cofre. Dois: conta obrigatória para uma tarefa puramente local. Criptografia local não precisa de identidade; contas existem para o funil comercial do fornecedor, e cada conta é mais um lugar onde seu uso fica registrado. Três: "recupere seu PIN por e-mail". Criptografia genuína não pode ser recuperada por uma equipe de suporte — um app que oferece isso está dizendo que guarda chaves do seu conteúdo.
Sinais 4 e 5: a tecnologia é um mistério
Quatro: nenhum detalhe de criptografia em lugar nenhum. "Nível militar" e um ícone de cadeado não são documentação. Um cofre confiável diz o nome do algoritmo, de onde vêm as chaves e o que acontece com PINs errados — detalhes que um impostor não consegue preencher de forma convincente. Cinco: envio para a nuvem que você não pediu. Se os arquivos saem do aparelho "para backup" ou "para processamento" por padrão, a segurança do cofre virou a segurança dos servidores do fornecedor, e ninguém te perguntou.
Sinais 6 e 7: os detalhes que ninguém checa
Seis: sobras em texto plano. Fotos importadas que ficam na fototeca sem aviso, miniaturas visíveis no seletor de apps, pré-visualizações legíveis num backup feito no computador — desleixo por onde o conteúdo escapa da fronteira da criptografia. Sete: limites não declarados. Toda ferramenta de segurança tem modos de falha; um fornecedor que não lista nenhum ou os desconhece ou está escondendo. Documentar os limites com honestidade é o sinal de confiança mais forte que essa categoria tem.
Dois minutos no site de um fornecedor respondem a maior parte dessas perguntas. Se as respostas não estão lá, a resposta é não.