备份
本地 .rkvey.backup 备份与 OAuth 云备份（Google Drive、OneDrive、Dropbox、iCloud）— 恢复与安全轮换。
QubKey 备份会创建保险箱的加密副本 — 首先保存在磁盘上（.rkvey.backup 文件），也可选择存到您的个人云（Google Drive、OneDrive、Dropbox、iCloud Drive）。这不是多设备同步，也不是 JSON/CSV 导出（迁移）。
入口：设置 → 备份。保险箱必须已打开且已解锁。
自动备份
手动备份
在备份选项卡中，点击 立即创建备份
手动备份按钮
QubKey 会在配置的文件夹中写入 保险箱名_YYYY-MM-DD_HHMMSS.rkvey.backup 文件
下方显示的备份列表仅列出磁盘备份（日期、大小、条目数、可用时的校验和）— 不含云副本。
云备份（OAuth）
默认情况下，备份保留在本设备。自 v2.0.0（macOS） 起，您还可以将加密副本发送到您选择的云账户。QubKey 服务器不会中转这些文件：OAuth 连接发生在桌面应用与提供商之间（浏览器 + 本地回调）。
| 提供商 | 连接 | 说明 |
|---|---|---|
| Google Drive | OAuth 2.0 + PKCE | 副本位于应用空间（appDataFolder）— 不会在 drive.google.com 显示为「普通」文件 |
| OneDrive | OAuth 2.0 + PKCE | Microsoft Graph 应用文件夹 |
| Dropbox | OAuth 2.0 + PKCE | App folder 模式 |
| iCloud Drive | macOS 本地文件夹 | 无需 OAuth — 在本 Mac 上选择文件夹（例如 iCloud Drive） |
连接账户
设置 → 备份 → 云备份 部分 → 在 Google Drive、OneDrive 或 Dropbox 上点击 连接。
QubKey 会打开浏览器进行 OAuth 授权（PKCE）。通过后状态变为 已连接。对于 iCloud Drive：选择文件夹（无需浏览器）。
发送选项
- 每次本地备份后发送 — 磁盘上创建
.rkvey.backup后，也会向已连接账户发送一份副本 - 在云中保留保险箱副本 — 当前
.rkvey文件的镜像（与版本化备份分开） - 云备份最大数量 — 远程版本化副本的保留数
远程列表
每个提供商都有自己的列表（…上的副本）。QubKey 区分：
- 版本化备份 — 已发送
.rkvey.backup的历史 - 当前保险箱副本 — 单一镜像（重复镜像会被清理）
使用 刷新云列表、立即复制保险箱，或按显示的操作下载 / 删除远程条目。
安全与平台
加密：发送的文件仍是加密的保险箱 / 备份 — 云提供商无法以明文读取您的密钥。
OAuth 令牌：refresh token 存放在 macOS 钥匙串（com.qubkey.oauth）中，不在 .rkvey 文件里；access token 在保险箱解锁期间留在内存中。断开账户会在提供商侧撤销访问（当 API 允许时）并清除钥匙串。
更新到 2.0.0 之后：若云账户此前已关联，请重新连接（令牌已从保险箱迁出）。
可用性：云 OAuth 流程已在 macOS 2.0.0 上验证。Windows / 移动端对等功能仍在进行 — 您的构建中不可用的服务会显示专用提示。
补充本地
3-2-1 规则（应用内提示）：保险箱三份副本，两种介质，其中一份不在本设备上 — 通常通过本部分使用您的个人云账户。多设备同步不能替代异地备份。
恢复备份
确认并验证身份
在对话框中确认 — 输入保险箱的主密码（或备份要求时的恢复密钥）。恢复会替换当前已打开保险箱的状态。
删除旧副本
对某一行使用 删除 — 需要确认。仅影响 .rkvey.backup 文件，不影响活动保险箱。
安全轮换
更改密码
更改主密码时，QubKey 可能会自动创建标记为安全轮换（security_rotation）的备份。请保留该备份，直到确认新密码可用。