Como fazer backup de suas chaves Nostr sem perdê-las

O pedido de suporte mais doloroso do Nostr é "Perdi meu nsec, como recupero minha conta". A resposta é sempre a mesma: você não consegue. Nenhuma empresa possui uma cópia. Nenhum truque criptográfico o recupera. A conta acabou.

Este guia é para garantir que essa conversa nunca aconteça com você. Três estratégias de backup, classificadas por segurança e praticidade, além dos erros específicos que silenciosamente produzem uma perda irrecuperável.

TL;DR. Salve seu nsec em um gerenciador de senhas com criptografia ponta a ponta (1Password, Bitwarden, KeePassXC ou iCloud Keychain) no momento em que seu cliente o gera. Para identidades de alto valor, adicione um backup em papel em um cofre. Nunca salve o nsec no iCloud Notes, Google Keep, uma captura de tela ou qualquer unidade em nuvem onde o provedor possa ler texto simples.

Quando estiver pronto, pegue seu endereço @nostr.blog →

O que você está realmente fazendo backup

Sua identidade Nostr é a chave privada, codificada como uma string Bech32 nsec1.... 63 caracteres, começa com nsec1. Qualquer pessoa que tenha essa string tem controle total da conta.

Você não precisa fazer backup de:

• O npub (derivável do nsec)
• Seus metadados de perfil (recuperáveis de relays enquanto você conseguir assinar eventos)
• Sua lista de seguidores (o mesmo)
• Suas postagens (elas existem em relays mesmo se você perder a chave)

Você precisa fazer backup de:

• O nsec. Apenas o nsec.

Tudo mais decorre de ter o nsec. Nada decorre de ter apenas o npub.

Opção 1: Gerenciador de senhas

A recomendação padrão para quase todo usuário.

O que funciona: 1Password, Bitwarden, KeePassXC, Proton Pass, Dashlane, qualquer gerenciador de senhas que criptografe seu cofre com uma senha mestre e armazene apenas texto cifrado nos servidores do provedor. O iCloud Keychain da Apple também se qualifica; é criptografado ponta a ponta com sua senha de dispositivo.

Configuração (exemplo 1Password; o fluxo é equivalente em outros):

1. Crie um novo item, categoria "Secure Note" ou "Password".
2. Titule com algo inequívoco: Nostr nsec (alice@nostr.blog).
3. Cole o nsec completo, incluindo o prefixo nsec1, no campo de senha.
4. Salve.
5. Verifique se o item está sincronizado entre seus dispositivos abrindo 1Password em um segundo dispositivo e encontrando a mesma entrada.

Por que funciona: O cofre é criptografado com sua senha mestre antes de sair do seu dispositivo. O provedor armazena blobs cifrados e nunca tem o texto simples. Uma violação do provedor expõe blobs criptografados, não suas chaves reais.

Por que ainda pode falhar: Você esquece a senha mestre; você perde a recuperação da conta (alguns gerenciadores têm um PDF de kit de recuperação que você imprime, outros não); seu dispositivo é comprometido enquanto o cofre está desbloqueado e um invasor exporta os itens.

Correção para a fraqueza: Mantenha sua senha mestre em algum lugar físico e separado. Ative todas as opções de recuperação e 2FA que o gerenciador de senhas oferece. Não armazene a senha mestre em uma nota sincronizada.

Opção 2: Backup em papel

A opção mais resiliente contra falhas digitais. Funciona quando tudo eletrônico falha.

Configuração:

1. Abra um editor de texto e digite o nsec exatamente (ou use o recurso "exportar chave" do cliente se disponível para gerar um código QR).
2. Imprima em papel em uma impressora confiável. Não faça captura de tela; capturas de tela terminam em fotos em nuvem.
3. Escreva no papel: o nome da conta, a data e (opcional) onde você fez backup.
4. Armazene em um local que você confie fisicamente: um cofre doméstico, uma caixa de segurança, uma gaveta fechada. Não um caderno na sua mesa, não a primeira gaveta que alguém abriria.

Por que funciona: Uma cópia em papel não está online. Ninguém consegue exfiltrá-la remotamente. Sobrevive a perder seu telefone, seu laptop, seu provedor em nuvem e seu acesso à internet simultaneamente.

Por que pode falhar: Água, fogo, alguém encontrando. Os padrões de correção são um cofre à prova de fogo, uma placa de backup em aço (as mesmas que os usuários de frase-semente do Bitcoin compram) ou armazenar duas cópias em dois locais físicos diferentes.

Placas de backup em aço são uma atualização se a identidade é de alto valor. Elas sobrevivem a fogo, água e uma década de umidade. Uma placa básica custa em torno de $20. Você carimba o nsec em fileiras de metal com um furador. Excessivo para a maioria das pessoas, razoável para uma identidade Nostr ligada a renda real.

Opção 3: Assinador de hardware

A opção tecnicamente mais forte. Mais complexa de configurar.

O que é: Um dispositivo que armazena o nsec e assina eventos remotamente, sem o nsec nunca tocar no dispositivo cliente. Seu telefone ou laptop conversa com o assinador por um canal seguro (Bluetooth, USB ou uma assinatura de relay criptografada), envia um evento para ele assinar e recebe o evento assinado de volta.

Opções em 2026:

• Amber (Android) é um aplicativo assinador Nostr dedicado que roda em um telefone separado e recebe solicitações de assinatura por um canal local.
• Aplicativos bunker de assinador remoto rodam em algum lugar que você confia (seu próprio servidor, um dispositivo confiável) e recebem solicitações de assinatura sobre o próprio Nostr usando NIP-46.
• Carteiras de hardware com suporte Nostr (alguns firmware Coldcard, alguns firmware Jade e projetos dedicados como Seedsigner) conseguem assinar eventos Nostr como um trabalho secundário.

Por que funciona: O nsec nunca sai do assinador. Mesmo se seu telefone ou laptop estiverem completamente comprometidos, o invasor não consegue roubar a chave porque não consegue acessá-la. No máximo, conseguem enganar o assinador para assinar eventos maliciosos, mas apenas enquanto têm conectividade ativa.

Por que é difícil: A configuração é mais envolvida que um gerenciador de senhas. Você precisa de um segundo dispositivo ou uma implantação de bunker. A maioria dos clientes móveis ainda não suportam assinadores remotos como cidadãos de primeira classe. Menos usuários seguem esse caminho, mas os que o fazem são aqueles com as maiores necessidades de segurança.

Onde não salvar o nsec

Cada opção nesta lista produziu um pedido de suporte que terminou em "sua conta acabou". Evite todas elas.

• iCloud Notes. A Apple armazena o conteúdo da nota em uma forma que consegue ler. Não criptografado ponta a ponta. Uma violação do iCloud significa uma violação de sua identidade Nostr.
• Google Keep. Mesmo problema, com Google.
• Capturas de tela do rolo de câmera. A captura de tela sincroniza automaticamente com iCloud Photos ou Google Photos em texto simples. Mesmo se você a deletar do telefone, provedores em nuvem frequentemente retêm cópias recentes.
• Rascunhos de email ou auto-emails. Seu provedor de email consegue ler rascunhos e mails enviados. Se forem violados (e vários provedores principais foram na última década), o nsec está no vazamento.
• Telegram "Mensagens Salvas" ou qualquer auto-DM de chat. Os chats padrão do Telegram não são criptografados ponta a ponta. Signal é melhor mas não foi projetado como backup de senha.
• Um arquivo de texto simples no Dropbox, Google Drive, iCloud Drive, OneDrive. O provedor consegue ler o arquivo. Uma violação do provedor expõe seu nsec.
• O gerenciador de senhas integrado do navegador se não for criptografado E2E. Verifique se o seu é. iCloud Keychain do Safari é; algumas senhas de perfil do Chrome não são a menos que você ative a configuração de criptografia no dispositivo.

A regra unificadora: se o provedor conseguir, em princípio, ler o texto simples, não armazene seu nsec lá. Se o provedor conseguir apenas ler texto cifrado, a localização é aceitável.

Um layout realista de dois backups para a maioria dos usuários

O que recomendamos se você quer segurança boa mas não paranóica:

1. Gerenciador de senhas com o nsec como um item Secure Note ou Password. Caminho de recuperação de uso diário.
2. Backup em papel impresso e armazenado em um local físico específico. Recuperação de desastre.

Tempo total de configuração: dez minutos. Custo recorrente total: zero. Proteção total contra perda rotineira de chave: muito alta.

Para identidades de maior risco, adicione:

• Uma segunda cópia física em um local diferente (cofre de um familiar confiável, caixa de segurança)
• Uma placa de aço em vez de papel
• Um assinador de hardware ou remoto como caminho de uso diário, com o backup nsec reservado como recuperação de emergência

Erros que perdem contas, classificados por quão comuns são

De threads de suporte reais em todo o ecossistema Nostr:

1. "Vou fazer backup depois." A causa única mais comum de perda permanente. O "depois" não chega antes do telefone ser apagado, perdido ou atualizado.
2. Confiar em um único local. Telefone na piscina, keychain redefinida após um incidente de segurança, conta de gerenciador de senhas bloqueada. Duas cópias em dois tipos diferentes de armazenamento resolve isso.
3. Não rotular o backup. Um gerenciador de senhas com 200 entradas onde uma delas é uma string "nsec1..." sem rótulo é uma busca falhada de distância da perda.
4. Usar o npub onde o nsec era necessário. O usuário acha que fez backup mas apenas salvou a metade pública. Verifique se seu backup começa com nsec1, não npub1.
5. Capturas de tela. Uma captura de tela da tela "detalhes da conta", sincronizada automaticamente com um provedor em nuvem, e o nsec está sentado no data center de outro em texto simples.

Cada um deles é um problema de 30 segundos para prevenir e um problema permanente para recuperar. A assimetria é toda a razão pela qual este artigo existe.