Backup e restore

I tuoi dati Custodir vivono in un unico database cifrato (wealth.db, SQLCipher AES-256). Il backup è una snapshot consistente di quel file; il restore lo rimette al suo posto.

La chiave di cifratura (leggi questo per primo)

Custodir non usa una password: al primo avvio genera una chiave casuale a 64 caratteri esadecimali e la custodisce nel portachiavi del sistema operativo (su Windows: Gestione credenziali, voce wealth-tracker). Tutto — database e backup — è cifrato con quella chiave.

La chiave è l’unico punto di non ritorno

I backup proteggono dai danni al file (corruzione, cancellazione, PC rotto), non dalla perdita della chiave: sono cifrati con la stessa chiave del database. Se la voce nel portachiavi sparisce (reinstallazione di Windows, nuovo profilo utente, reset del PC) e non hai salvato la chiave, né il database né i backup sono recuperabili. Non esiste “recupero password”: è il prezzo della privacy by design.

Fallo ora, una volta sola: apri Gestione credenziali → Credenziali Windows → wealth-tracker, copia il valore e salvalo nel tuo password manager (Bitwarden, 1Password, KeePass…). Con quella chiave puoi riaprire database e backup su qualunque macchina.

Cosa viene salvato

File	Contenuto	Nel backup?
wealth.db	Transazioni, posizioni, snapshot, impostazioni, target	✅ snapshot consistente (VACUUM INTO)
vault.enc	Credenziali broker, chiavi API, 2FA	❌ non incluso — le credenziali si reinseriscono
Prezzi storici, cache, log	Ricostruibili da soli	❌ non serve

Backup automatici

Due job schedulati, nessuna configurazione richiesta:

• Backup locale (notturno) — snapshot in userData/data/backups/, retention ultimi 30 file. Esito notificato su Telegram (✅/❌).
• Backup remoto opzionale (GitHub) — se configuri WEALTH_BACKUP_REPO_PATH e WEALTH_BACKUP_AGE_RECIPIENT, l’ultima snapshot viene cifrata una seconda volta con age e pushata su un tuo repository privato. La copia remota resta comunque leggibile solo con la chiave del database.
• Verifica mensile — un job ripristina l’ultimo backup in una cartella temporanea e ne controlla l’integrità (PRAGMA integrity_check); se fallisce arriva un alert Telegram. Niente backup silenziosamente rotti.

Backup manuale one-shot: npm run db:backup (dalla cartella dell’app, per utenti avanzati).

Restore

Nella beta il ripristino è una procedura guidata manuale (scrivici su supporto@custodir.com se vuoi assistenza):

1. Chiudi Custodir.
2. Stessa macchina (portachiavi intatto): esegui npm run db:restore e scegli il backup — la chiave viene letta dal portachiavi, l’integrità verificata prima di toccare il database live.
3. Macchina nuova: installa Custodir, poi imposta la variabile d’ambiente WEALTH_DB_KEY con la chiave a 64 caratteri che avevi salvato (oppure ricrea la voce wealth-tracker in Gestione credenziali) e procedi come al punto 2.
4. Riavvia Custodir e verifica il portafoglio. Le credenziali broker nel vault vanno reinserite.

Se il restore segnala integrità fallita, il database live non viene toccato: prova con un backup precedente.

Best practice

• Cartella backup dentro una directory sincronizzata dal tuo cloud personale (Dropbox/OneDrive) oppure il backup GitHub cifrato: copia off-machine automatica.
• La chiave nel password manager (vedi sopra): è l’unica cosa che i backup non possono salvarti.

Cosa NON è un backup

• Export CSV/JSON — vista parziale (niente snapshot, target, impostazioni).
• Il cloud Custodir — non riceve mai dati patrimoniali, quindi non può ripristinarli.