Sésame

Le principe

Claude ne reçoit jamais votre mot de passe. Il n'a même pas de commande pour le demander.

Automatique par défaut : Sésame se connecte pour Claude sans que vous ayez à cliquer, sauf sur les sites que vous réglez sur « Me demander ». Dans tous les cas, aucune commande ne renvoie un secret : Claude obtient trois réponses possibles, et rien d'autre. Le mot de passe est tapé dans la page par Sésame, jamais montré.

Ce que Claude reçoit

fait — le formulaire est rempli, la session est ouverte
refusé — vous avez dit non, ou l'accès est coupé
échec — le site a résisté, sans jamais dire pourquoi en détail
La liste des sites que vous avez enregistrés, par nom
Le journal des accès, en lecture seule

Ce que Claude ne reçoit jamais

Votre identifiant
Votre mot de passe, même masqué, même partiel
Le contenu des champs, y compris dans les messages d'erreur
Le droit d'effacer une ligne du journal
Le droit d'ajouter un site sans vous

Comment ça marche

Trois gestes, et plus jamais un mot de passe à taper devant Claude.

Installez Sésame

Téléchargez l'archive, ouvrez-la, et double-cliquez sur « Install Sesame ». L'installateur se présente à Claude tout seul et pose une petite graine dans la barre des menus. La première fois, macOS demande un clic droit puis « Ouvrir ».

Ajoutez un site

Cliquez sur la graine, « Ajouter un site », tapez votre identifiant et votre mot de passe une seule fois. Ils partent dans le Trousseau d'Apple, chiffrés. Choisissez sa règle : Automatique pour ne plus rien valider, ou Me demander pour les sites sensibles.

Demandez à Claude

En Automatique, Sésame remplit le formulaire tout seul dans votre navigateur : rien à valider. Sur un site « Me demander », une fenêtre vous demande votre accord d'abord. Claude continue son travail.

« Connecte-toi sur EDF et récupère la facture d'août. »

Écran par écran

Ce que vous verrez vraiment, sur votre Mac.

Des captures de Sésame tel qu'il est, pas des maquettes. Trois fenêtres au quotidien, une graine dans la barre des menus.

Le panneau Sésame dans la barre des menus : liste des sites avec leur règle, journal, bouton Bloquer — **1 · La graine dans la barre des menus.** Vos sites, la règle de chacun (automatique, me demander, coupé), le journal des accès, le bouton « Bloquer » qui coupe tout, et le bouton pour ajouter un site.

La fenêtre Sésame qui demande identifiant et mot de passe pour un site, avec l'œil pour afficher le mot de passe — **2 · La fenêtre d'identifiants.** Quand Claude a besoin d'un site que Sésame ne connaît pas, cette fenêtre s'ouvre : identifiant, mot de passe avec l'œil pour le relire, « Plus tard » ou « Enregistrer ». Le mot de passe part dans le Trousseau. Claude apprend seulement que le site est disponible.

La demande d'accès Sésame : qui demande, quel site, pourquoi, boutons Refuser et Autoriser — **3 · La demande d'accès, sur un site « Me demander ».** Qui demande, quel site, pourquoi. « Refuser » est le bouton par défaut. Le Trousseau d'Apple, lui, ne demande rien pour un site enregistré depuis la 0.5.1 ; pour un site plus ancien, une seule fois, lors de `sesame migrate-keychain`.

Le bandeau Sésame en haut de la page qui attend la saisie du code reçu par e-mail ou SMS — **4 · Le code, c'est vous.** Si le site envoie un code par SMS, e-mail ou application, un bandeau apparaît en haut de la page et Sésame attend. Vous tapez le code, le site l'accepte, Claude reprend.

Le navigateur

Pourquoi une fenêtre Chrome à part, et comment on s'en passe.

Depuis sa version 136, Chrome interdit à tout programme de piloter votre profil habituel. C'est une protection contre les logiciels malveillants, et Sésame la respecte. Voici ce que ça change, et ce qu'on a fait pour que ça ne se voie presque pas.

Aujourd'hui : un Chrome Sésame, discret

Sésame lance lui-même un Chrome avec son propre profil, réduit dans le Dock. Vous n'avez rien à ouvrir.
Il reste en arrière-plan pendant la connexion et ne se déplie que si un site attend un code de votre part.
Vos sessions y restent ouvertes : une fois connecté à EDF, plus besoin de Sésame jusqu'à expiration.
Rien d'autre n'y est installé : aucune extension tierce ne peut y observer ce que Sésame tape.

Disponible : l'extension, dans votre Chrome habituel

L'extension Sésame (bêta) remplit le formulaire directement dans votre Chrome de tous les jours. Plus de fenêtre à part.
Installation depuis la graine : menu Sésame → « Navigateur » → « Installer… ». Sésame ouvre chrome://extensions et active le mode développeur pour vous.
Chargez le dossier extension/, copiez l'ID affiché sous son nom, collez-le dans Sésame et cliquez « Relier ».
Elle reçoit les identifiants par le canal de messagerie native de Chrome, un tuyau local entre l'extension et Sésame. Rien ne passe par le réseau, l'extension ne stocke rien. Sésame la choisit dès qu'elle répond, sinon le Chrome à part.
Limite honnête : dans votre Chrome habituel, une autre extension ayant accès à la page pourrait observer la frappe, comme elle pourrait vous observer vous-même. Le Chrome dédié n'a pas cette exposition. À vous de choisir.

Sécurité

Construit comme Apple le ferait : local, chiffré, sous votre contrôle.

Vous choisissez : automatique, ou validation à chaque fois pour les sites sensibles. Et un bouton Bloquer qui coupe tout, à tout moment.

Le Trousseau d'Apple, pas un coffre maison
Sésame confie vos secrets au Trousseau macOS, le même qui garde vos mots de passe Safari et vos clés Wi-Fi. Chiffrement d'Apple, protégé par votre session et, sur les Mac récents, par la puce de sécurité.
Rien ne quitte votre Mac
Pas de cloud, pas de compte Sésame, pas de synchronisation cachée. Le secret ne circule qu'entre le Trousseau et votre navigateur, sur la même machine.
Vous choisissez, site par site
Automatique : Claude se connecte sans rien vous demander. Me demander : chaque connexion passe par une fenêtre Sésame qui dit qui, quel site, pourquoi. Vous changez d'avis en un clic, site par site.
Un journal que Claude ne peut pas effacer
Chaque demande est notée : qui, quand, quel site, autorisé ou refusé, réussi ou non. Claude peut le lire pour vous rendre compte. Il ne peut pas y toucher.
Un bouton Bloquer
Dans la barre de menus, il coupe toutes les connexions d'un coup, quel que soit le site, le temps que vous le souhaitez.

Contrôle

Site par site. Accès par accès.

Vos sites

Site	Règle	Dernier accès
OVH ovh.com	automatique	hier, 18:02
EDF particulier.edf.fr	me demander	aujourd'hui, 09:28
Impôts impots.gouv.fr	accès coupé	il y a 12 jours

Le journal

09:28:32 edf demande Claude Code autorisé validé par vous 09:28:35 edf connexion Claude Code réussi tableau de bord ouvert 18:02:10 ovh connexion Cowork réussi règle automatique 11:40:03 impots demande Cowork refusé accès coupé 11:39:51 impots demande Cowork refusé vous avez dit non

Chaque ligne dit qui a demandé, pour quel site, et ce que vous avez répondu. Rien n'y est jamais effacé.

Questions

Ce qu'on nous demande le plus.

Sésame envoie-t-il mes mots de passe quelque part ?

Non. Ils sont dans le Trousseau d'Apple sur votre Mac, et n'en sortent que pour être tapés dans votre navigateur, sur la même machine. Sésame n'a pas de serveur, pas de compte, pas de statistiques.

Et Claude, il pourrait tricher pour obtenir un mot de passe ?

Il n'a pas de commande pour ça. Sésame ne lui propose que « connecte-toi », « liste les sites », « lis le journal ». Même en insistant, la seule chose qu'il obtient est « fait », « refusé » ou « échec ».

Pourquoi une deuxième fenêtre Chrome ?

Chrome refuse depuis sa version 136 qu'un programme pilote votre profil habituel. Sésame utilise donc, par défaut, un Chrome à profil séparé, qu'il lance lui-même, réduit, et qu'il ne déplie que pour un code. Vous pouvez vous en passer avec l'extension Chrome (bêta) : elle remplit le formulaire directement dans votre Chrome habituel, sans deuxième fenêtre.

Pourquoi mon Mac me demande-t-il mon mot de passe de session ?

Pour un site enregistré depuis la 0.5.1, il ne le demande pas : l'assistant Trousseau de Sésame crée et relit lui-même l'élément, en silence, dès le premier accès. Pour un site plus ancien, une seule commande règle ça pour de bon : sesame migrate-keychain — une fenêtre du Trousseau par site, vous cliquez « Autoriser », et c'est terminé.

Comment installer l'extension Chrome ?

Depuis la graine dans la barre des menus : « Navigateur » puis « Installer… ». Sésame ouvre chrome://extensions et active le mode développeur pour vous ; chargez le dossier extension/, copiez l'ID affiché sous son nom, collez-le dans Sésame et cliquez « Relier ». Sésame confirme quand la connexion est active. C'est une bêta : dans votre Chrome habituel, une autre extension ayant accès à la page pourrait en théorie observer la frappe, comme elle pourrait vous observer vous-même.

Et les codes par SMS ou l'application d'authentification ?

Ils restent entre vos mains. Quand un site en demande un, Sésame vous prévient, affiche « J'attends votre code » en haut de la page, et patiente pendant que vous le tapez. La connexion ne reprend qu'une fois le code accepté. C'est voulu : le deuxième facteur, c'est vous.

Que se passe-t-il si je perds mon Mac ?

Les secrets sont dans le Trousseau, protégés par votre session macOS et le chiffrement du disque. Sans votre mot de passe de session, ils sont illisibles. Changez tout de même vos mots de passe, comme pour n'importe quel ordinateur perdu.

Combien ça coûte ?

Rien. Sésame est gratuit et son code est ouvert : n'importe qui peut vérifier qu'il fait exactement ce qui est écrit ici.

Vos mots de passe restent chez vous. Claude fait le reste.

Claude demande