Varningstecken 1–3: affärsmodellen lyser igenom
Ett: annonser inne i appen. Annons-SDK:er finns till för att samla in och sända; vad än integritetspolicyn säger bor en datakanal inuti din valvapp. Två: ett obligatoriskt konto för ett helt lokalt jobb. Lokal kryptering behöver ingen identitet; konton finns för leverantörens tratt, och varje konto är ännu en plats där ditt användande registreras. Tre: ”återställ din PIN via e-post”. Äkta kryptering kan inte återställas av en supportavdelning — en app som erbjuder det berättar att den håller nycklar till ditt innehåll.
Varningstecken 4–5: tekniken är ett mysterium
Fyra: inga krypteringsdetaljer någonstans. ”Militär standard” och en hänglåsikon är inte dokumentation. Ett pålitligt valv namnger algoritmen, var nycklarna kommer ifrån, och vad som händer vid fel PIN — detaljer som en bluff inte kan fylla i övertygande. Fem: molnuppladdning du inte bett om. Om filer lämnar enheten ”för säkerhetskopiering” eller ”för bearbetning” som standard blev valvets säkerhet leverantörens serversäkerhet, och ingen frågade dig.
Varningstecken 6–7: detaljerna ingen kontrollerar
Sex: rester i klartext. Importerade foton som ligger kvar i fotobiblioteket utan varning, miniatyrbilder synliga i appväxlaren, förhandsvisningar läsbara i en datorsäkerhetskopia — slarv där innehåll tar sig utanför krypteringens gräns. Sju: inga angivna begränsningar. Varje säkerhetsverktyg har felfall; en leverantör som inte listar några är antingen omedveten om dem eller döljer dem. Ärlig dokumentation av begränsningar är den starkaste enskilda förtroendesignalen den här kategorin har.
Två minuter på en leverantörs webbplats besvarar de flesta av dessa. Saknas svaren är svaret nej.