加密

口令经 Argon2id（64 MB，3 次迭代）包裹一把随机数据密钥。24 个单词的恢复码再包一层。分块用 FastCDC，然后 AES-256-GCM。分块编号是 HMAC(数据密钥, 明文)。路径和单文件大小只在加密清单里。存下来的分块填充到 64 KiB，所以大小不是明文长度。源码：packages/core/src/crypto.js、packages/core/src/byo.js、packages/server/src/index.js。

UndoHaven 能看到什么？

服务器上有账户 id、可选显示名、设备名、快照时间、填充后的总字节、HMAC 分块编号、套餐和被包裹的密钥。没有邮箱（我们不收集）、没有路径、没有单文件大小、没有口令或恢复码。自有桶时，分块不会进我们的 R2。可选的云端索引仍然只是加密清单。