Sésame

Le principe

Claude ne reçoit jamais votre mot de passe. Il n'a même pas de commande pour le demander.

Sésame n'a aucune commande qui renvoie un secret. Claude obtient trois réponses possibles, et rien d'autre. Le mot de passe est tapé dans la page par Sésame, puis envoyé au site.

Ce que Claude reçoit

fait — le formulaire est rempli, la session est ouverte
refusé — vous avez dit non, ou l'accès est coupé
échec — le site a résisté, sans jamais dire pourquoi en détail
La liste des sites que vous avez enregistrés, par nom
Le journal des accès, en lecture seule

Ce que Claude ne reçoit jamais

Votre identifiant
Votre mot de passe, même masqué, même partiel
Le contenu des champs, y compris dans les messages d'erreur
Le droit d'effacer une ligne du journal
Le droit d'ajouter un site sans vous

Comment ça marche

Trois gestes, et plus jamais un mot de passe à taper devant Claude.

Installez Sésame

Téléchargez l'archive, ouvrez-la, et double-cliquez sur « Install Sesame ». L'installateur se présente à Claude tout seul et pose une petite graine dans la barre des menus. La première fois, macOS demande un clic droit puis « Ouvrir ».

Ajoutez un site

Cliquez sur la graine, « Ajouter un site », tapez votre identifiant et votre mot de passe une seule fois. Ils partent dans le Trousseau d'Apple, chiffrés. Sésame n'en garde pas de copie.

Demandez à Claude

Une fenêtre vous demande votre accord. Vous autorisez, Sésame remplit le formulaire dans votre navigateur, Claude continue son travail.

« Connecte-toi sur EDF et récupère la facture d'août. »

Écran par écran

Ce que vous verrez vraiment, sur votre Mac.

Des captures de Sésame tel qu'il est, pas des maquettes. Trois fenêtres au quotidien, une graine dans la barre des menus.

Le panneau Sésame dans la barre des menus : liste des sites avec leur règle, journal, verrou — **1 · La graine dans la barre des menus.** Vos sites, la règle de chacun (me demander, automatique, coupé), le journal des accès, l'interrupteur « Verrou » qui bloque tout, et le bouton pour ajouter un site.

La fenêtre Sésame qui demande identifiant et mot de passe pour un site, avec l'œil pour afficher le mot de passe — **2 · La fenêtre d'identifiants.** Quand Claude a besoin d'un site que Sésame ne connaît pas, cette fenêtre s'ouvre : identifiant, mot de passe avec l'œil pour le relire, « Plus tard » ou « Enregistrer ». Le mot de passe part dans le Trousseau. Claude apprend seulement que le site est disponible.

La demande d'accès Sésame : qui demande, quel site, pourquoi, boutons Refuser et Autoriser — **3 · La demande d'accès, à chaque connexion.** Qui demande, quel site, pourquoi. « Refuser » est le bouton par défaut. Juste après, le Trousseau d'Apple affiche sa propre fenêtre et demande le mot de passe de votre session : tapez-le et cliquez « Autoriser », jamais « Toujours autoriser ».

Le bandeau Sésame en haut de la page qui attend la saisie du code reçu par e-mail ou SMS — **4 · Le code, c'est vous.** Si le site envoie un code par SMS, e-mail ou application, un bandeau apparaît en haut de la page et Sésame attend. Vous tapez le code, le site l'accepte, Claude reprend.

Le navigateur

Pourquoi une fenêtre Chrome à part, et comment on s'en passe.

Depuis sa version 136, Chrome interdit à tout programme de piloter votre profil habituel. C'est une protection contre les logiciels malveillants, et Sésame la respecte. Voici ce que ça change, et ce qu'on a fait pour que ça ne se voie presque pas.

Aujourd'hui : un Chrome Sésame, discret

Sésame lance lui-même un Chrome avec son propre profil, réduit dans le Dock. Vous n'avez rien à ouvrir.
Il reste en arrière-plan pendant la connexion et ne se déplie que si un site attend un code de votre part.
Vos sessions y restent ouvertes : une fois connecté à EDF, plus besoin de Sésame jusqu'à expiration.
Rien d'autre n'y est installé : aucune extension tierce ne peut y observer ce que Sésame tape.

Bientôt : l'extension, dans votre Chrome habituel

Une extension Sésame remplit le formulaire directement dans votre Chrome de tous les jours. Plus de fenêtre à part.
Elle reçoit les identifiants par le canal de messagerie native de Chrome, un tuyau local entre l'extension et Sésame. Rien ne passe par le réseau, l'extension ne stocke rien.
La graine de la barre des menus détecte si l'extension est en place et vous guide en trois clics si elle manque. Sésame la choisit quand elle répond, sinon le Chrome à part.
À savoir : dans votre Chrome habituel, une autre extension ayant accès à la page pourrait observer la frappe, comme elle pourrait vous observer vous-même. À vous de choisir.

Sécurité

Construit comme Apple le ferait : local, chiffré, sous votre contrôle.

Le Trousseau d'Apple, pas un coffre maison
Sésame confie vos secrets au Trousseau macOS, le même qui garde vos mots de passe Safari et vos clés Wi-Fi. Chiffrement d'Apple, protégé par votre session et, sur les Mac récents, par la puce de sécurité.
Rien ne quitte votre Mac
Pas de cloud, pas de compte Sésame, pas de synchronisation cachée. Le secret ne circule qu'entre le Trousseau et votre navigateur, sur la même machine.
Vous validez chaque accès, deux fois
Chaque connexion vous est demandée par une fenêtre Sésame, avec qui demande et pourquoi. Puis le Trousseau d'Apple demande lui aussi votre accord avant de livrer le mot de passe : aucun programme, pas même Sésame, ne le lit en silence.
Un journal que Claude ne peut pas effacer
Chaque demande est notée : qui, quand, quel site, autorisé ou refusé, réussi ou non. Claude peut le lire pour vous rendre compte. Il ne peut pas y toucher.
Un coupe-circuit
Un interrupteur dans la barre de menus bloque toutes les connexions d'un coup, quel que soit le site, le temps que vous le souhaitez.

Compatibilité

Fait pour Claude. Ouvert aux autres.

Sésame parle le protocole MCP, le standard ouvert par lequel les assistants utilisent des outils. Claude le comprend aujourd'hui. Les autres suivront, sans rien changer à vos mots de passe.

Claude Desktop et Cowork Claude Code Claude dans Chrome Extension Chrome à venir : votre Chrome habituel, sans fenêtre à part Cursor, VS Code, Windsurf · compatible, non testé Codex CLI, Gemini CLI · compatible, non testé ChatGPT · via connecteur distant, non testé

Contrôle

Site par site. Accès par accès.

Vos sites

Site	Règle	Dernier accès
EDF particulier.edf.fr	me demander	aujourd'hui, 09:28
OVH ovh.com	automatique	hier, 18:02
Impôts impots.gouv.fr	accès coupé	il y a 12 jours

Le journal

09:28:32 edf demande Claude Code autorisé validé par vous 09:28:35 edf connexion Claude Code réussi tableau de bord ouvert 18:02:10 ovh connexion Cowork réussi règle automatique 11:40:03 impots demande Cowork refusé accès coupé 11:39:51 impots demande Cowork refusé vous avez dit non

Chaque ligne dit qui a demandé, pour quel site, et ce que vous avez répondu. Rien n'y est jamais effacé.

Questions

Ce qu'on nous demande le plus.

Sésame envoie-t-il mes mots de passe quelque part ?

Non. Ils sont dans le Trousseau d'Apple sur votre Mac, et n'en sortent que pour être tapés dans votre navigateur, sur la même machine. Sésame n'a pas de serveur, pas de compte, pas de statistiques.

Et Claude, il pourrait tricher pour obtenir un mot de passe ?

Il n'a pas de commande pour ça. Sésame ne lui propose que « connecte-toi », « liste les sites », « lis le journal ». Même en insistant, la seule chose qu'il obtient est « fait », « refusé » ou « échec ».

Pourquoi une deuxième fenêtre Chrome ?

Chrome refuse depuis sa version 136 qu'un programme pilote votre profil habituel. Sésame utilise donc un Chrome à profil séparé, qu'il lance lui-même, réduit, et qu'il ne déplie que pour un code. L'extension Chrome, en préparation, supprimera cette fenêtre en travaillant dans votre Chrome de tous les jours.

Pourquoi mon Mac me demande-t-il mon mot de passe de session ?

À chaque connexion, après la fenêtre Sésame, macOS affiche la sienne : « security veut utiliser vos informations confidentielles stockées dans “Sésame — edf” ». C'est le Trousseau d'Apple qui demande, parce que Sésame range ses secrets sans application de confiance. Tapez le mot de passe de votre session et cliquez « Autoriser » (Allow). Ne cliquez jamais « Toujours autoriser » : n'importe quel programme pourrait ensuite lire le mot de passe en silence.

Et les codes par SMS ou l'application d'authentification ?

Ils restent entre vos mains. Quand un site en demande un, Sésame vous prévient, affiche « J'attends votre code » en haut de la page, et patiente pendant que vous le tapez. La connexion ne reprend qu'une fois le code accepté. C'est voulu : le deuxième facteur, c'est vous.

Que se passe-t-il si je perds mon Mac ?

Les secrets sont dans le Trousseau, protégés par votre session macOS et le chiffrement du disque. Sans votre mot de passe de session, ils sont illisibles. Changez tout de même vos mots de passe, comme pour n'importe quel ordinateur perdu.

Combien ça coûte ?

Rien. Sésame est gratuit et son code est ouvert : n'importe qui peut vérifier qu'il fait exactement ce qui est écrit ici.

Vos mots de passe restent chez vous. Claude fait le reste.

Claude demande