> ## Documentation Index > Fetch the complete documentation index at: https://docs.basaltic.sh/llms.txt > Use this file to discover all available pages before exploring further. # KMS > Chaves de criptografia gerenciadas pelo cliente: criptografia de envelope, assinatura e a janela de exclusão que torna uma chave recuperável. Veja [Resource references](/pt/reference-resolution) para tipos de referência aceitos, escopo de pesquisa, identidades canônicas e filtros de lista exata. O KMS mantém as chaves de criptografia que pertencem à sua conta. Você cria uma chave e, a partir daí, a plataforma criptografa, descriptografa, assina e verifica **com** ela — mas nunca a entrega a você. Não há nenhum ponto final que exporte a própria chave. O serviço é **regional** — `kms.sa-saopaulo-1.basaltic.sh`. Uma chave existe em uma região e só pode ser usada a partir daí, então um texto cifrado produzido em uma região não pode ser aberto em outra. Especificações, usos e a única escolha que você não pode mudar depois. O que é uma chave de dados, e por que você quase nunca deve chamar encrypt diretamente. Algoritmos por especificação, e por que você não deve pré-hash. A janela de recuperação, o que o cancelamento lhe dá de volta, e o que ele não faz. Cada ação do IAM, qual chamada precisa dela e como conceder o selo sem abrir. Onde uma chave sua pode fazer backup dos dados de outro serviço, e o campo que cada um leva. Cada código de erro e o estado que o produz. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.