درباره
مثل دژ ساخته شده، چون باید می‌شد.
دژ برای یک دلیل وجود دارد: مدیر گذرواژه باید از نظر معماری «نتواند» به شما خیانت کند.
بیشتر سرویس‌ها از شما می‌خواهند به نیت‌شان اعتماد کنید. دژ طوری ساخته شده که نیت بی‌اهمیت باشد: هر راز روی دستگاه شما و با کلیدهایی رمز می‌شود که از گذرواژهٔ اصلی‌تان مشتق شده‌اند — گذرواژه‌ای که هرگز از دستگاه خارج نمی‌شود. آنچه سرورهای ما نگه می‌دارند — متنِ رمز مهروموم‌شده و کلیدهای بسته‌بندی‌شده — برای ما، برای مهاجم‌ها و برای هر مقام پرسنده بی‌فایده است.
همین قید همه‌چیز را شکل می‌دهد. بازیابی از طریق پرسش‌هایی کار می‌کند که پاسخ‌شان را هرگز نمی‌بینیم. ورود دومرحله‌ای طوری طراحی شده که حتی مسیر اضطراری هم نتواند بی‌سروصدا گاوصندوق‌تان را بخواند. پشتیبان‌ها ظرف‌های قابل‌حملی هستند که با عبارت عبور خودشان مهر شده‌اند. و وقتی حساب‌تان را حذف می‌کنید، حذف واقعی است: رکورد احراز هویت، متنِ رمز، تاریخچهٔ همگام‌سازی، اتصال پرداخت — همه پاک می‌شوند.
دژ از بدو تولد دوزبانه است، نه با ترجمه. فارسی و انگلیسی هر دو شهروند درجه‌یک‌اند، با طراحی راست‌به‌چپ کامل در همه‌جا. ابزار امنیتی نباید شما را مجبور کند به زبان دیگری فکر کنید.
طراحی کامل رمزنگاری — الگوریتم‌ها، جریان کلیدها، مرزهای اعتماد و گزارش اصلاحاتِ بازبینی خصمانه — به‌تفصیل مستند شده و در صورت درخواست در دسترس است. ترجیح می‌دهیم راستی‌آزمایی شویم تا اینکه صرفاً باور شویم.
اصول
دانش-صفر یا هیچ
اگر قابلیتی مستلزم دیدنِ متن ساده توسط سرورهای ما باشد، آن قابلیت تغییر می‌کند — نه معماری.
شکستِ بلند، شکستِ بسته
متنِ رمزِ دست‌کاری‌شده از رمزگشایی سر باز می‌زند. بررسی نشستِ نامطمئن، درخواست را رد می‌کند. شکست خاموش، دشمن است.
خروجِ شما یک قابلیت است
هر وقت خواستید پشتیبان رمزشده بگیرید. همه‌چیز را بدون تیکت پشتیبانی حذف کنید. دژی که نتوان از آن بیرون رفت، زندان است.
اول راستی‌آزمایی، بعد اعتماد
مستندات امنیتی مدوّن، محدودیت‌های صادقانه و بازبینی خصمانه — مکتوب، نه درِگوشی.