创建第一个保险库 —— 六步向导全程截图对照
开始之前：保险库应该放哪里？
Cryptomator 不是云盘客户端——它不负责把文件同步到云盘。它只负责在本地加密。云盘同步需要你自己安装对应服务商的软件（Dropbox、Google Drive、OneDrive、Nextcloud Desktop 等）。
所以：
保险库目录必须放在云盘软件的同步文件夹里面，云盘软件才会自动把加密后的密文同步上去。
如果保险库放在一个不同步的本地目录里，它也能加密、能解锁、能作为本地虚拟盘用——但云盘永远不会看到它的内容。这也没什么问题——只是失去了加密的全部意义。
创建向导的第 2 步会帮你自动识别常见云盘同步文件夹。如果没识别到，也可以手动选一个。
第一步：添加保险库入口
打开 Cryptomator 主界面，点击主界面左上的大按钮或列表区的加号 + ：
三种选项：
- Create New Vault —— 新建一个保险库（本篇走这条路）
- Open Existing Vault —— 打开一个已经存在于某处的保险库（需要知道 masterkey.cryptomator 在哪）
- Recover Existing Vault —— 配置文件丢失需要用 Recovery Key 抢救（见丢失恢复分组）
选 Create New Vault 进入六步向导。
第二步：起名
给保险库起个好记的名字。这个名字只在 Cryptomator 界面里显示，不会写到保险库的密文目录里（密文目录可以是任何名字）。建议：
- 名字里不要出现敏感信息（比如不要叫 "密码库" "银行卡信息"）——因为这个名字会出现在 Cryptomator 主界面里，截图可能泄露
- 建议用中性命名，比如 "个人文档" "工作资料" "2024项目"
起名这一步可以随时回来改——见 重命名与排序保险库。
第三步：选存储位置
这是最关键的一步。 这里选的是保险库密文目录在你电脑上的位置。常见选择：
| 你用的云盘 | 应该选哪个本地文件夹 |
|---|---|
| Dropbox | C:\Users\你的用户名\Dropbox\我的文件夹\ |
| Google Drive | C:\Users\你的用户名\Google Drive\我的文件夹\ |
| OneDrive (个人) | C:\Users\你的用户名\OneDrive\我的文件夹\ |
| OneDrive (工作) | C:\Users\你的用户名\OneDrive - 公司名\我的文件夹\ |
| Nextcloud | 取决于你的 Nextcloud Desktop 客户端设置 |
| pCloud | 取决于你的 pCloud Drive 挂载位置 |
Cryptomator 会自动探测常见云盘客户端的默认安装位置，如果检测到多个，会列出多个选项让你选。检测不到就点 Custom Location 手动导航。
选完之后，这个文件夹本身就会变成保险库密文目录（会自动在里面创建 vault.cryptomator 和 masterkey.cryptomator 等文件）。不要把已经装过别的东西的文件夹选来做保险库——里面原有文件会和加密后的密文混在一起。要么新建一个空文件夹，要么用一个已经空了的文件夹。
第四步：专家设置（可选）
绝大多数情况这一步跳过即可。但如果你知道自己在做什么（比如保险库要同步到对文件名长度特别严格的云盘），可以打开 Enable Expert Settings 开关。唯一的配置项：
Maximum Length of Encrypted File Names —— 加密后的文件名允许的最大长度，默认 220。超过这个值会触发短名机制（用 hash 替换后缀）。如果你用的云盘/文件系统有特殊限制，可以手动调，但需要先做充分测试。
短名机制和各文件系统限制详见 加密文件名长度专家选项。
第五步：设置密码
选一个强密码。至少 8 字符，但强烈建议用密码短语（4-5 个随机单词拼起来），而不是 8 个随机字符。原因：
- 密码短语比随机字符更好记
- 同样的熵，密码短语更长，scrypt 派生更耗时，暴力破解更难
- 打字错误更少
密码下方有一个实时强度条，会告诉你密码质量。
键盘布局提醒
切了键盘布局之后密码可能打不进去——比如你在英文键盘布局下设的密码里有 ü，换了中文布局之后打不出 ü 就会一直提示密码错误。
安全建议：密码里只用 ASCII 字符（字母数字 + 常见符号），避免依赖特定键盘布局的特殊字符。
选了这个密码就永远丢不掉吗？
不完全是。没有"找回密码"这个按钮——Skymatic 也拿不到你的密码。但你可以在下一步生成 Recovery Key，它可以绕过密码直接重置一个新密码。所以密码 + Recovery Key 双保险：忘了密码 → 用 Recovery Key 找回；Recovery Key 丢了 → 真的找不回来了。
安全起见，两个都保护好。
第六步：生成 Recovery Key（强烈建议）
在密码步骤里你已经被询问是否要创建 Recovery Key。如果选了是，这一步会显示 12 个英文单词。比如：
abandon ability able about above absent absorb abstract absurd abuse access accident这就是你的 Recovery Key。把它抄下来，或者存进你的密码管理器（1Password / Bitwarden / KeePass）里。
Recovery Key 的本质和安全机制在 恢复密钥的本质 里有详细解释。现在只需要记住一点：这个 Recovery Key 和你的密码同等重要，丢了就真的找不回来了。
建议：可以把 Recovery Key 存进密码管理器（加密存储） + 在纸上写一份锁进保险箱。数字存 + 物理存双保险。
第七步（向导的"Done"页）：创建完成
向导结束后，Cryptomator 主界面里会出现你的新保险库，状态是 Locked。下一次用的时候选中它 → 点大 Unlock 按钮 → 输密码 → 解锁成功，然后从主界面点 Reveal Drive 打开虚拟盘——把你的文件直接拖进去，Cryptomator 会在后台自动加密并写回密文目录，云盘同步软件会检测到密文变更并同步上云。
从零到能加密一个云盘文件夹，就是这么简单。