.nt2backup 作為主權格式

主張：退出路徑是格式，不是口號

無法離開產品的保管箱不算本機優先。那只是帶著離線介面的託管資料。

NT² Vault 的退出路徑是一個你可以大聲說出的副檔名：.nt2backup。主張比「我們有匯出」更尖銳。這個檔案是主權格式：由使用者持有的包裹，內含可攜保管箱設定檔與項目與附件的密文——足以讓另一台已註冊的裝置還原真正重要的東西，而不必要求邊緣節點變成託管人。

那份包裹不是祕密試算表。不是最後變成「我們重設了你的密碼」的客服工單。也不是只有 NT² Premium 才有、免費方案較弱的特權。免費使用者用同一家族的加密批次移動保管箱；可選的雲端同步則以 HTTP 運送相關位元組。傳輸方式改變時，安全模型不會分叉。

若只記得一句話：.nt2backup 是在雲端可選、主密碼永不離開裝置的前提下，讓所有權保持可攜的方式。

約束：傾印、神諭，以及「雲端就是備份」

加密保管箱產品常被三種失敗模式纏住。它們看起來都像可攜性——直到你問金鑰在誰手上。

明文傾印。 匯出成 CSV、未加密 JSON，或「為互通性準備的開放格式」聽起來很大方。對結構化保管箱而言，那是第二份明文人生——在 USB、email、會索引檔案內容的同步資料夾裡。靜止時的零知識若在退出路徑上悄悄放棄，就幾乎沒有意義。主權格式必須運送密封承載，而不是你打過的字的友善解壓。

由服務提供者塑造的還原。「直接從我們的伺服器還原」在服務提供者同時握有足夠材料、能在你忘記密碼後解鎖你時很方便。那份方便就是神諭。NT² 依設計拒絕密碼重設：鹽值留在裝置上，邊緣不存放你可下載的密碼驗證碼，客服也無法重建從未收到的東西。因此可攜性不能意味「向我們要回保管箱」。它必須意味著——在災難日之前——你已經握著一份檔案，或你已註冊另一個 replica。

唯雲端真相。 當唯一耐久快照只活在供應商物件儲存裡，本機優先行銷就崩解。裝置遺失變成客服流程。訂閱異動變成人質局面。真正的退出路徑必須在沒有 NT² Premium 雲端同步時仍能運作：複製檔案、註冊冷裝置、合併密文。雲端可以加速多裝置生活；它絕不能成為「已備份」的唯一定義。

保管箱內部還有一項較安靜的約束。本機資料庫裡並非每一列都可攜。同步游標描述的是這個 replica 的進度。WebAuthn 綁定屬於這台驗證器。把整個閣樓傾印進匯出檔，等於假裝另一台筆電是同一台機器。主權格式必須知道什麼該旅行、什麼必須留下——否則會變成混亂還原與解鎖失敗的載體。

設計：可攜設定檔 + 密封承載，同一批次家族

.nt2backup 被設計成你可以放上磁碟、USB，或任何你比單一供應商帳號更信任的通道的加密 replica 批次。

概念上，檔案承載兩層：

設定檔那一半，說明為什麼區段形狀的保管箱 meta 重要。可攜區段是允許清單上的旅行者。裝置本機區段被刻意省略。目的地解鎖仍從主密碼與本機鹽值派生金鑰；檔案不會變成盒子裡的密碼。

目錄那一半維持與日常儲存相同的信封紀律：每個物件的內容加密金鑰保持被包裹；IV 保持全域唯一；批次移動的密文，也是邊緣在盲視前提下被允許存放的那類位元組。沒有正確解鎖路徑就開啟檔案，得不到可讀的人生傳記。

flowchart LR
  source[已解鎖的來源保管箱]
  batch[.nt2backup 批次]
  enroll[已註冊的目標 replica]
  merge[合併密文與可攜設定檔]

  source -->|匯出可攜區段 + 密封列| batch
  enroll -->|註冊後匯入| merge
  batch --> merge
  merge --> target[新裝置上還原的保管箱]

兩條流程規則讓格式保持誠實。

先註冊，再匯入。 冷裝置不會只靠開啟備份就變成 replica。身分註冊（還原包路徑、設定碼 QR，或同等的使用者持有引導）確立這台機器被允許持有保管箱。接著 .nt2backup 才把內容合併進該已註冊 replica。把兩扇門混在一起——把備份當成註冊——正是產品意外發明「穿著檔案外衣的密碼重設神諭」的方式。

與盲視同步同一批次家族。 NT² Premium 雲端同步不會發明第二套合併模型，也不會變得更明文。它把相關 replica 批次運到盲視中樞。免費方案的檔案複製與 Premium 批次拉取，是收斂密文的不同傳輸，不是不同的信任故事。這才是退出路徑工程：你握著的檔案與你同步的位元組說同一種語言。

附件密文可能與批次並行運送（巨大 blob 永遠不適合整包內嵌），但規則不變：中繼資料權威、承載密封、不會因為穿過 USB 線就解密。

.nt2backup 也刻意不是還原包。還原包回答「我如何在冷裝置上解鎖？」備份回答「我如何移動或還原密封目錄？」兩者都加密。都由使用者持有。搞混它們，就是人們在壓力下匯出錯誤檔案的原因。主權需要兩種工具——以及各自清楚的工作。

取捨：檔案在你手上，所以檔案珍貴

運送真正的主權格式，要付出我們拒絕假裝沒有的代價。

無法單靠備份神奇找回忘記的密碼。 檔案含密封承載與可攜設定檔——不是明文主密碼，也不是伺服器端的解開按鈕。遺失每一個解鎖因素與每一條使用者持有還原路徑後，NT² 無法憑空造出它們。這與無法重設密碼，是刻意的設計是同一取捨；備份不會暗中撤銷它。

操作衛生落在使用者身上。 放在未鎖定筆電桌面、email 給自己、或同步進會掃描檔案本體的供應商裡的 .nt2backup，仍然是密文——但是高價值密文。把它當密封 archive：與主密碼分開、在重大變更後更新版本、存放在你選擇的位置。所有權包含保管責任。

還原是序列，不是單次點擊神話。 先註冊新裝置，再匯入。順序錯誤會以安全方式失敗，而不是「好心」鑄造半個保管箱。那份摩擦是刻意的。它讓備份不會變成第二個解鎖神諭。

裝置本機的誠實。 同步狀態與平台驗證器不會像可攜身分一樣來回旅行。還原後你重新啟用同步、重新綁定通行金鑰，並接受這個 replica 有自己的簿記。格式拒絕對物理說謊。

我們放棄「互通明文」作為預設出口。 其他工具仍可透過選擇性共用，或使用者主動複製特定欄位接收資料。完整保管箱退出路徑保持加密。需要傾印祕密才能達成的互通，不是我們優化的那種。

我們換得的，是行銷常宣稱卻很少真正出貨的性質：你可以離開而不必要求我們變成你，以及你可以拒絕雲端而不必拒絕多裝置生活。

我們拒絕什麼

我們拒絕把明文完整保管箱匯出當成主權故事。 離開的是密封批次；方便傾印不是產品承諾。

我們拒絕把主密碼放進備份檔。 密碼留在你腦中（以及你選擇的任何使用者持有因素）。檔案不是密碼管理器的密碼管理器。

我們拒絕把備份匯入當成註冊或密碼重設。 那是不同的門。跨越它們，就會重建我們從邊緣刪除的服務提供者神諭。

我們拒絕把裝置本機狀態匯出成可攜身分。 游標與驗證器綁定留在擁有它們的機器上。

我們拒絕只有 NT² Premium 才有的退出路徑。 檔案匯出對免費方案是一等公民。雲端同步是可選加速，使用同一密文家族——不是被賣成「真正備份」的另一套安全模型。

我們拒絕用雲端鹽值或驗證碼抓取來「完成」還原。 鹽值經由可攜設定檔或註冊材料離線旅行。邊緣永遠不會變成你下載「足夠猜測密碼」材料的地方。

我們拒絕在線上或磁碟上「為了還原比較容易」而解密。 合併套用密封列。目的地解鎖仍是本機派生。

結語：你可以放進隨身碟的所有權

.nt2backup 是產品最柔軟的承諾變成堅硬產物的地方。不是政策頁。是一個檔案。

這個主張的故事面向是退出路徑，而不是鎖定。可攜設定檔區段如何被選中，見保管箱設定檔是區段鍵值存放，不是一列巨無霸。為什麼我們無法重設你的密碼——以及為什麼那迫使使用者持有還原——見無法重設密碼，是刻意的設計。為什麼鹽值永不變成雲端抓取，見KDF 鹽值留在你的裝置上。哪個加密檔案做哪份工作，見還原包還是備份檔？。項目與附件承載如何按物件保持密封，見每個物件一把金鑰：NT² Vault 內的信封加密。

若你想要一個退出路徑是你握著的主權格式——而不是客服佇列——的保管箱，歡迎試試 NT² Vault，或到 nt2.me 閱讀更多。