# Audit výchozího projektu — 14. října 2026

Použity byly kompletní lokální zdroje `../app`, nikoli pouze veřejný GitHub README. Nebyl stažen ani použit žádný zdrojový archiv, proto nevznikl krok ověřování archivní OpenPGP signatury. Desktop se během implementace neupravoval; obsah souborů byl před/po porovnán pomocí SHA-256, mimo existující závislosti a build výstupy.

Přečtené podklady:

- kořenové `README.md`, `LICENSE`, desktopový `app/package.json`;
- `app/src/main/profiles/profileService.js`, `profileTransfer.js`, `app/docs/server-profiles.md`;
- `app/src/main/security/vaultStore.js`, `app/src/main/sessions/sessionManager.js`;
- `app/docs/license-acceptance.md`, `biometric-unlock.md` a kompletní provozní doporučení CS/DE/EN;
- `app/src/renderer/styles.css` a `app/build/icon.png` pro barevnou identitu a ikony.

Desktopové profily mají `id`, `label`, původně zadaný `host`, `port`, `username`, `authMethod`, `privateKeyPath`, tagy a časová metadata. Mobilní interní model má vlastní schema a drží klíč v šifrovaném Vaultu, nikoli jako desktopovou cestu. Sdílený přenosový kontrakt v1 záměrně obsahuje pouze čtyři necitlivá pole. Mobil nepřebírá desktopový Vault soubor; šifrovací formáty nejsou vzájemně zaměnitelné.

Desktopový Vault používá scrypt + AES-256-GCM, fingerprinty SHA-256, povinné ověřování host key a odpojení při zamčení. Mobil zachovává tyto bezpečnostní principy s vlastním AES-256-GCM obalem a PBKDF2-HMAC-SHA256, OS Keychain/Keystore a skutečně OS chráněným biometrickým klíčem. Licence i pravidlo souhlasu pro nové build ID byly převzaty beze změny licenčního textu.

Záměrně nejsou přenášeny Electron, pluginový systém, Monaco, HTTP/3 diagnostika, auto-updater ani desktopové dávkové nástroje. `SM Mobile/` se dá samostatně zkopírovat a sestavit bez souborů v `app/` nebo vývojové složce.