Unveränderlicher Tresor
Nichts wird jemals überschrieben.
Jeder andere Tresor bearbeitet Daten direkt. Ändern Sie ein Passwort und das alte ist weg – keine Aufzeichnung, dass es jemals existierte, keine Möglichkeit zu beweisen, was letzten Dienstag gültig war. Clavitor überschreibt nicht. Jede Änderung schreibt eine neue Revision. Die Historie bleibt erhalten. Die Aufzeichnung ist vollständig.
Append-only, konsequent.
Ein Anmeldedatensatz in Clavitor ist keine Zeile, die Sie bearbeiten. Es ist ein Stapel von Revisionen. Aktualisieren Sie ein Passwort und der Tresor fügt eine neue Version ein – er berührt niemals die alte. Die neueste Revision ist der aktuelle Wert; jede Revision davor ist noch intakt und in der richtigen Reihenfolge vorhanden.
01 — Schreiben
Jedes Mal eine neue Revision
Jede Aktualisierung ist ein INSERT, niemals ein UPDATE. Der Eintrag behält eine stabile Identität; die Versionsnummer steigt. Das Lesen eines Anmeldedatensatzes gibt die höchste Version zurück – denselben Wert, den Sie erwarten würden –, während jede vorherige Version genau so erhalten bleibt, wie sie geschrieben wurde.
02 — Beibehalten
Historie für die Lebensdauer des Tresors
Alte Revisionen werden so lange aufbewahrt, wie der Tresor existiert. Rotationshistorie, der Wert vor dem Breach, das Feld, wie es an einem bestimmten Datum aussah – nichts davon wird verworfen. Die Vergangenheit ist kein Log, von dem Sie hoffen, dass jemand es aufbewahrt hat. Es sind die Daten selbst.
03 — Löschen
Ein "Tombstone", keine Auslöschung
Das Löschen eines Anmeldedatensatzes schreibt eine weitere Revision, die ihn als gelöscht markiert. Der Eintrag wird nicht mehr aufgelöst – aber die Aufzeichnung, dass er existierte und wann er entfernt wurde, bleibt erhalten. Ein Löschen, das Sie nachweisen können, ist mehr wert als ein Löschen, das keine Spuren hinterlässt.
Warum es wichtig ist
Die Fragen, die ein veränderlicher Tresor nicht beantworten kann.
Wenn jede Bearbeitung das Vorherige zerstört, werden ganze Klassen von Fragen unlösbar. Unveränderlichkeit beantwortet sie durch ihre Konstruktion.
"Wie lautete der Schlüssel am Tag des Vorfalls?"
Ein rotiertes Geheimnis verschwindet normalerweise in dem Moment, in dem es ersetzt wird. Hier ist der Wert, der während des Zeitfensters gültig war, immer noch im Tresor, mit seiner Version und dem Zeitstempel, der dies beweist. Forensik hört auf, Archäologie zu sein.
"Wer hat das geändert und was stand vorher darin?"
Jede Aktualisierung, Löschung, Bereichsänderung und Agentenänderung schreibt ein Audit-Ereignis, das mit der neuen Revision verknüpft ist. Die Historie und die Aufzeichnung, wer sie erstellt hat, sind dieselbe Geschichte, auf zwei Arten erzählt – und keine davon kann heimlich zurückgespult werden. Zur manipulationssicheren Audit-Spur →
"Können wir das einfach rückgängig machen?"
Eine fehlerhafte Rotation, eine versehentliche Bearbeitung, ein kompromittierter Agent, der ein Feld überschrieben hat – wenn nichts zerstört wird, ist die Wiederherstellung des vorherigen Werts das Lesen einer früheren Version, nicht das Wiederherstellen eines Backups und die Hoffnung, dass es aktuell genug ist.
"Hat sich etwas geändert, während wir nicht hingesehen haben?"
Es kann sich nicht lautlos ändern. Es gibt keine In-Place-Mutation, die man verpassen könnte. Der aktuelle Zustand ist eine Revision mit einer Nummer, einem Autor und einem Zeitstempel – und das gilt auch für jeden Zustand, der ihm vorausging.
Ein Prinzip, der gesamte Tresor.
Unveränderlichkeit ist kein Feature, das an Anmeldedaten angeklebt ist. Es ist die Art und Weise, wie jeder Datensatz in Clavitor aufgebaut ist. Ihre Einträge, das Audit-Log, die verschlüsselten Schlüsseldatensätze, der Inhalt dieser Seiten selbst – alles append-only, alles auf dieselbe Weise. Es gibt keinen Ort im System, an dem die Wahrheit überschrieben wird.
Repliziert ohne Konflikte
Da eine Revision einmal geschrieben und niemals geändert wird, ist das Kopieren auf die andere Seite des Planeten trivial: ein Vorwärts-Cursor mit expliziter Bestätigung, wenn die Zeile ankommt. Keine zu synchronisierende Bearbeitung, kein zu lösender Konflikt, keine Frage „welche Kopie ist richtig". Append-only-Daten haben exakt eine Historie.
Ciphertext, aufbewahrt – kein Klartext, geleakt
Die aufbewahrte Historie ist ruhend verschlüsselt, genau wie der aktuelle Wert, mit Schlüsseln, die niemals unsere Server erreichen. Die Vergangenheit aufzubewahren geht nicht auf Kosten Ihrer Sicherheit: Eine gestohlene Festplatte enthält alten und neuen Ciphertext, beide gleichermaßen unlesbar. Wie die Verschlüsselung funktioniert →
Die einzige Ausnahme
Wir dokumentieren die einzige Stelle, an der wir direkt schreiben.
Ehrlichkeit ist Teil des Designs. Es gibt exakt ein Feld, das direkt geschrieben wird, anstatt als neue Revision: verified_at, die Markierung, die aufzeichnet, wann ein Anmeldedatensatz zuletzt funktioniert hat. Es handelt sich um Nutzungsmetadaten, nicht um eine Inhaltsänderung – daher aktualisiert es die neueste Revision direkt, und jeder Stempel wird selbst im Audit-Log erfasst. Wir informieren Sie hier darüber, denn eine undokumentierte Ausnahme ist das, was eine Unveränderlichkeitsaussage hohl macht. Dies ist die einzige.
Löschung, richtig gemacht.
Append-only bedeutet nicht, dass Sie niemals vergessen werden können. Es bedeutet, dass das Vergessen absichtlich, vollständig und dokumentiert geschieht. Tombstones pro Revision behandeln den alltäglichen Fall. Wenn eine tatsächliche Auslöschung erforderlich ist – eine DSGVO-Anfrage, eine Kontoschließung –, ist die Löschung tresorweit und irreversibel, wird als bewusste Operation ausgeführt und niemals als stille Feldüberschreibung. Sie werden niemals heimlich bearbeitet; wenn Sie entfernt werden, geschieht das absichtlich und vollständig.
Ein ehrlicher Tresor bewahrt seine Historie.
Unveränderlichkeit ist die halbe Geschichte. Die andere Hälfte ist die Aufzeichnung, wer was berührt hat – verknüpft, bezeugt und nachweisbar.