Sesame, 2FA ve kurtarma verilerini sunucularından uzak tutan local-first bir parola yöneticisini open-source yaptı

Sesame adlı yeni bir parola yöneticisi bu hafta Hacker News'in ön sayfasına ulaştı; local-first, tamamen open-source bir alternatif olarak parolaları, iki faktörlü kimlik doğrulama kodlarını ve hesap kurtarma bilgilerini tek bir kasada topluyor — ve bu kasa hiçbir zaman şirketin sunucularına gitmiyor.

Betada neler var

Projenin web sitesine göre Sesame şu anda Windows için ücretsiz bir public beta. Her kayıt; kullanıcı adı, parola, 2FA kodu, web sitesi ve opsiyonel kurtarma bilgilerini birleştiriyor, böylece kullanıcılar kimlik bilgilerini kopyalayabilir, 2FA kodunu okuyabilir ve kurtarma bilgilerini tek bir ekrandan kontrol edebilir. Uygulama 15 farklı parola yöneticisi formatından kasa içe aktarıyor ve alışılmadık bir şekilde, her değişikliği kaydedilmeden önce incelemeye sunuyor.

Beta ayrıca her sonucu etkilenen girişe bağlayan bir güvenlik denetimi, Windows Hello veya PIN ile kilit açma, doküman ekleri, yedekler ve dışa aktarma içeriyor.

Kasayı hiç görmeyen bir sunucu

Sesame'ın mimarisi hassas işlemleri ağ bağlantılı parçalardan ayırıyor. Şifreleme, güvenlik kontrolleri, 2FA üretimi ve yedeklemelerin tamamı masaüstü uygulamasında çalışıyor ve site, kasanın hiçbir zaman Sesame'ın sunucularına ulaşmadığını açıkça belirtiyor. Sunucu bileşeni — projenin vault-blind olarak tanımladığı bir Go API'si, artı PostgreSQL üzerinde çalışan bir hesap portalı ve admin arayüzü — yalnızca hesap kaydı ve bağlı cihaz yönetimi gibi işleri üstleniyor. Masaüstü uygulaması bunların hiçbiri olmadan çalışıyor ve proje sunucuyu kendinizin barındırması için talimatlar yayımlıyor.

Web sitesi hesabı opsiyonel ve beta erişimi, imzalı indirmeler, lisanslar ile cihaz yönetimini kapsıyor. Hiçbir zaman kasa depolamıyor.

Site ayrıca vazgeçilecek bir şey olmadığını ekliyor: analitik yok, reklam yok, üçüncü taraf script yok; content security policy kaynak kodunda yayımlanmış durumda.

Her şey AGPL altında

Projenin, bir parola yöneticisinin kaçınılmaz olarak uyandırdığı güven sorununa yanıtı tüm kodunu AGPL-3.0-or-later altında yayımlamak. Ürün dört repository'den oluşuyor: Windows uygulaması ve Rust kasa çekirdeğini içeren sesame-desktop; Go API'si ve portalları içeren sesame-server; TypeScript ile yazılmış sesame-browser-extension; ve statik web sitesi. Repository'ler 22 Ağustos 2026'ya kadarki 30 günde 147 commit gösterdi; en aktif olan masaüstü uygulaması 78 commit ile öne çıkıyor.

Kullanıcılar masaüstü uygulamasını Node, Rust ve Windows WebView2 runtime'ından kendileri derleyebiliyor ve site, kendi derlediği bir kopyada oluşturulan bir kasanın herhangi bir diğeri gibi açıldığını belirtiyor.

Hâlâ eksik olanlar

Bazı parçalar daha geride. Chrome, Edge ve Firefox için browser extension paketlendi ancak mağazalara gönderilmedi. Uygulama içi güncellemeler ve Sesame Sync kuruldu ancak henüz yayımlanmadı olarak tanımlanırken, mobil uygulamalar, passkey'ler, paylaşım ve acil durum erişimi planlananlar listesinde duruyor.

Proje ayrıca bağımsız bir güvenlik incelemesinin hâlâ beklemede olduğunu açıkça söylüyor ve beta kullanıcılarına, kaybetmeyi göze alamayacakları her şeyin ayrı bir yedeğini tutmalarını tavsiye ediyor.

Neden önemli

Parola yöneticileri alışılmadık düzeyde güven ister ve çoğu ana akım seçenek bunu kapalı kaynak ve itibarla çözüyor. Sesame'ın bahsi ise doğrulanabilirliğin bunun yerine geçebileceği: local-first depolama, yapısal olarak kasa tutamayan bir sunucu, izin verici self-hosting ve AGPL lisansı bir arada, teknik bilgili kullanıcılara iddiaları körü körüne kabul etmek yerine denetleme imkânı veriyor. 2FA kodlarını parolalarla tek yerde toplamak kullanışlı, ancak hassas verileri tek bir cihazda yoğunlaştırıyor — bu da Sesame'ı ilginç bir deneyden öte birincil yönetici olarak görmeden önce hâlâ beklemede olan bağımsız incelemeyi izlenecek en önemli şey yapıyor.