团队
共享访问，不共享秘密
团队共享服务器访问权限的常见做法，是把密码写在一份文档里。这是另一种做法。
共享保险库
每个共享保险库都有自己的密钥。给某人授权时，那个密钥会在你的机器上被封装到他的公钥上——所以服务器负责安排谁能打开什么，却从不持有能打开它的东西。
授权带签名，所以被攻破的客户端无法伪造一份看起来来自管理员的授权。把某人移出团队，会在同一个事务里撤掉他的所有授权；不存在一个时间窗，让前同事已经不在团队里、却还在收到某个保险库的同步。他已经拉取的内容，连同能打开它的密钥，都留在他的机器上，而 Termiyo 无法更换保险库的密钥——所以要紧的东西，请在服务器上直接更改。
共享一个会话
发一个链接，同事就加入你已经在用的终端。他们要等你放行，而且一开始是只读的——输入是一项单独的、需要刻意授予的权限，逐人授予。
终端数据流走两台机器之间的直接连接。我们的服务只负责把你们介绍给彼此，之后与它无关：它从不看到一次按键或一行输出。撤销写权限会立刻从所有已经拿到它的人手里收回。
服务能看到什么
哪个账号拥有某条记录、它有多大、最后一次修改是什么时候。不包括里面是什么。不包括主机名、用户名、密码或密钥。
这是设计的性质，不是一个承诺：加密在你的机器上、在任何东西被发出之前完成，而密钥从不离开那台机器。
角色
- Owner
- 一切，包括账单和删除团队。
- 管理员
- 邀请和移除成员，创建并共享保险库。
- 成员
- 使用已被授权的保险库。
- 审计员
- 和任何成员一样，读取团队的活动记录。无保险库访问权。
自己运行
同步服务是一个跑在 SQLite 之上的小型 Node 应用。如果你的数据不能离开自己的网络，就在那里运行它——桌面应用接受一个服务器地址，而加密部分没有任何变化，因为它从来不取决于谁在托管。
- 一个进程、一个数据库，没有队列也没有对象存储
- 与托管服务相同的 API
- 你的客户端按 URL 指向它