🔐 Seguridad de accesos: pairing, clientes y bloqueo
El motor solo obedece a clientes emparejados. Esta guía cubre cómo se concede ese acceso y cómo retirarlo.
El pairing
- El motor genera un PIN de 6 dígitos al arrancar sin clientes: válido ~10 minutos y de un solo uso — introducirlo en la app crea el vínculo permanente.
- Por la red local la app descubre motores vía Bonjour (
_iobackup._tcp) pero sigue necesitando el PIN: ver el motor no da acceso. - Cada cliente emparejado tiene su propio token — no se comparte una contraseña maestra.
Revocar un cliente
Si pierdes un dispositivo o deja de ser tuyo: Ajustes → clientes emparejados → Revocar. Su token deja de valer al instante; el resto de clientes no se ve afectado.
El icono del motor
El icono de bandeja/menú recibe un acceso limitado («Icono del motor»): ve el estado y las transferencias, pero no puede cambiar configuración. Está en ~/.iobackup/menubar.json (macOS) / %LOCALAPPDATA%\IO Backup\tray.json (Windows).
Lo que un acceso remoto NO puede hacer
Aunque alguien obtuviera un código de túnel, por el canal remoto están prohibidos por diseño:
- Cambiar comandos pre/post de las tareas (ejecución de comandos queda para uso local).
- Emparejar nuevos clientes (
/auth/pairsolo acepta conexiones locales). - Rotar el código de vinculación.
Bloqueo de la app
Ajustes → Bloqueo: PIN/biometría al abrir la app. Protege el mando si el equipo o el móvil queda desatendido — el motor sigue copiando, la app es solo la llave.
El trial y la licencia
El plan lo decide siempre el servidor de io-backup.com (licencias): el motor no puede auto-concederse Pro y cada activación queda ligada a su engine_id criptográfico.