MFA + Vault Lock

Segurança em camadas. Todo usuário tem MFA obrigatório — configurado uma vez no signup. Além do login, o Vault Notes tem sua própria camada de bloqueio.

1. 1
   MFA TOTP no login

   Email + senha → código de 6 dígitos do app autenticador → entra. Login via Google também passa pelo MFA depois da escolha da conta.
2. 2
   Vault Notes trancado

   Ao abrir /dashboard/notes pela primeira vez na sessão, modal MFA aparece. Após desbloquear, vault fica aberto até auto-lock por inatividade (default 5min).
3. 3
   Lock individual de notas/pastas

   Botão direito numa nota ou pasta → "Trancar nota (MFA)" ou "Trancar pasta". Próximas aberturas pedem código TOTP. Útil pra notas sensíveis (senhas, dados pessoais).
4. 4
   Configurações do vault

   Engrenagem no rodapé da sidebar de Vault Notes abre o painel: timeout de auto-lock (1, 5, 10, 15, 30, 60 min) e botão "Trancar agora".
5. 5
   Backup codes

   10 códigos one-shot gerados no setup-mfa. Use se perder acesso ao app autenticador. Cada um funciona uma vez só, formato XXXX-XXXX.