2026/08/29 4:14

Show HN: Sesame - ローカルファーストでオープンソースのパスワードマネージャー

RSS: https://news.ycombinator.com/rss

要約▶

日本語訳:

Sesame は、ユーザーのプライバシーを最優先とし、暗号化、セキュリティチェック、二段階認証（2FA）、およびバックアップの全プロセスをローカルデバイス上で完結させる革新的なオープンソースパスワード管理ツール（AGPL-3.0-or-later）です。これは、ハードウェア内または外部サーバーへの接触を一切行わずに安全データ保管箱（vault）データを保持することを保証します。現在の公開ベータ版では Windows 向けに設計されており、Rust、Go、TypeScript、および Windows WebView2 ランタイムといった堅牢なローカル技術を活用して、リモートアクセスに依存せず厳格なデータ保護を実現しています。本ソフトウェアはこのセキュリティを、広告、分析ツール、サードパーティ製スクリプトをアクティブにブロックし、クリーンで広告非表示の環境を創出する厳格な Content-Security-Policy を通じて実施しています。

機能面では、Sesame は 15 の異なるフォーマットからvault をインポートすることができ、保存前に変更を確認できる機能を備えています。各ログインエントリーには、ユーザー名、パスワード、2FA コード、ウェブサイト詳細、およびオプションの回復情報が一つの場所に入力されます。Chrome、Edge、Firefox 向けのブラウザ拡張機能が用意されており（パッケージ化済みですが、それぞれのストアへの提出は行われていません）、ベータアクセス、ライセンス、接続デバイス管理を扱うウェブサイトを介した署名ダウンロードも提供されています（ユーザーの vault データは一切保持しません）。

最近の開発活動、特に過去 30 日間に記録されたコミット数 147 は、将来機能であるパスキー認証、モバイル対応、共有機能、緊急アクセスなどへの強い推進力を示唆しています。AGPL-3.0 ライセンスの下でプロジェクトが運営されコードの透明性を確保していますが、現在のベータ期間中はユーザー自身がローカルバックアップを維持する必要があることに留意してください。結局のところ、Sesame は Chrome、Edge、Firefox などのブラウザに対して、中央サーバーへのデータ漏洩リスクゼロで認証情報の完全な所有権を付与する安全な代替手段を提供します。

本文

Sesame: オープンソースパスワード管理ツール

主要な特徴と機能

一元化されたボール管理
- パスワード、2FA コード、回復詳細情報などを1 つの場所へ集約・保存します。
- アプリケーション全体がオープンソース。Sesame はあなたのボールの内容は一切知りません。
- 操作前の確認: 保存前にボールの内容を見直すことができます。
柔軟な互換性
- 15 フォーマットからインポート可能です（ボールの移動に対応）。
ワンビューでの効率的な操作
- パスワードのコピー、2FA コードの読み取り、回復詳細情報の検索をすべて 1 つの画面で完結させます。

セキュリティチェック機能

詳細なチェック結果
- チェック結果ごとに、影響を受けたログイン先のリンクが表示されます（テスト用データを含む）。
認証情報の集約
- ログイン先ごとのユーザー名、パスワード、2FA、ウェブサイトアドレス、回復詳細情報を一元管理します。

ブラウザ拡張機能の現状

Chrome、Edge、Firefox 向けにパッケージ化済みですが、ストアへの提出はまだ行われていません。

ロードマップと開発状況

状態	機能・特徴
テスト準備完了	ボール管理、インポート、2FA、セキュリティチェック、Windows Hello/PIN アップロック、ドキュメント添付、バックアップ、エクスポート
構築済み但未リリース	ブラウザ拡張機能、アプリ内更新機能、同期（Sync）機能
将来的に提供予定	モバイル対応、パスキー、共有機能、緊急アクセス機能

透明性・ライセンス・リポジトリ構成

ライセンス: AGPL-3.0 およびそれ以降。ご自身で読み込み、ビルドし、実行いただけます。
開発活動: 直近 30 日間のコミット数は147（2026 年 8 月 22 日現在）。
リポジトリ構成:
- ```
sesame-desktop
```
  : Windows アプリケーションと Rust で構築されたボールコア（Rust: 78 コミット）。
- ```
sesame-server
```
  : Blind な Go API、アカウントポータル、管理インターフェース（Go: 34 コミット）。
- ```
sesame-website
```
  : 静的サイト。ここに見えないデータは一切読み込んでいません（CSS: 11 コミット）。
- ```
sesame-browser-extension
```
  : Chrome/Edge/Firefox 用の拡張機能（TypeScript: 24 コミット）。

ビルドとホスト手順

自前でのアプリビルド
- デスクトップアプリは Node.js、Rust、Windows WebView2 ランタイムを使用してソースコードから構築可能です。
- 独自にビルドしたボールも、他のボールと同様に動作します。
自前でサーバーをホストする
- API、アカウントポータル、管理インターフェースは PostgreSQL と共有リポジトリから提供されます。
- デスクトップアプリはこれらのサーバーなしでも正常に動作します（オフライン対応）。

プライバシーへのコミットメント

3 つの「なし」ポリシー: 解析データの収集、広告、サードパーティ製スクリプトは一切ありません。
コンテンツセキュリティポリシー (CSP): ソースコードに含まれており、マルウェアなどの注入を防止します。
データフローの完全なローカル実行
- あなたのボールデータは、開発者のサーバーには一切到達しません。
- 暗号化、チェック処理、2FA、バックアップはすべてWindows アプリケーション内で実行されます。
保存場所と保持ポリシー:
- ボールファイル: ユーザーのデバイス上。
- マスターパスワード/アンロックシークレット: ユーザーのデバイス上。
- インポートデータ: ユーザーのデバイス上。
- ウェブサイトアカウント: メールアドレスとパスワードハッシュのみを保持（他は一切保持しない）。

製品情報および利用案内

対応プラットフォーム: Windows
ライセンス形態: パブリックベータ（現在は無料）。
ダウンロード: 公的に利用可能。
ブラウザ拡張機能: パッケージ化済みだが、ストア提出は未実施。
同期機能 (Sesame Sync): 現時点では利用不可。
アカウント登録: オープンしていますが、ベータ期間中は必須ではありません。
- アカウントはアクセス権限、署名付きダウンロード、ライセンス管理に使用されます。
- ボールデータは一切保持しません。

※重要: 独立した審査は現在進行中です。特に損失に耐えられない重要なデータについては、別途バックアップを取ってください。

同じ日のほかのニュース

一覧に戻る →

2026/08/29 0:17

GUI は完全にキーボードで操作可能であるべきです

## 日本語訳：本文は、グラフィカルユーザーインターフェース（GUI）においてソフトウェア開発者が端末ベースの設計に回帰するのではなく、すべての機能がショートカットキーでアクセス可能な直感的かつ完全なキーボード駆動型の体験を最優先すべきであると主張しています。重要な点は、優れたユーザーエクスペリエンスはマウスなしで全てのアクションを行えるようにすることで実現されることであることです。この視点は、高度なキーボード制御がコマンドラインツールのみに属するという一般的な誤解に挑戦しています；その代わりに、著者の新しいアプリ「Klisi」などの現代の GUI は、すべての機能に対して包括的なアクセシビリティを成功裏に実証しています。GNOME ヒューマンインターフェースガイドラインのような業界標準は、アプリケーションがポインティングデバイスとキーボードの両方でシームレスに動作することを明確に要求しています。したがって、完全なキーボードナビゲーションの構築は技術的な課題としてではなく、すべてのユーザーの効率を大幅に向上させることを意図した設計上の選択として捉えるべきです。キーボードサポートをオプションの追加機能ではなくコア要件として扱うことで、企業は全体的な製品品質を向上させ、直感的で迅速なインタラクションを求める外部入力デバイスに依存しないユーザーをよりよくサービスできます。

2026/08/28 22:28

Htmx 4.0

## 日本語訳: htmx 4.0.0 では、XMLHttpRequest など従来の手法をフェッチ（fetch）インタフェースなどの現代のブラウザ API に置き換えるという大きな内部変更が導入されました。この更新により、`hx:xhr:*` のような古来のイベント属性は標準化された名前（例：`htmx:before:request`）へと置き換えられ、`hx-disable` といった非推奨要素は `hx-ignore` に置換されます。移行を支援するため、テンプレートにおけるエラー（付与不足や削除された属性の使用など）をスキャンするコマンドラインツール（`$ npx htmx.org@4.0.0 upgrade-check`）がリリースされています。重要なアーキテクチャ変更として、以前の自動継承からの変更となり、子要素への適用を望む場合、親属性に対して明示的に `:inherited` サフィックスを追加する必要があります。本リリースには、「morph swaps」（`<hx-partial>` タグを通じて）、`hx-live` という名前のスクリプトリングティングソリューション、そして `hx-preload` やストリーミングサポートなどを含むいくつかの新しい拡張機能が含まれています。履歴管理については、デフォルトで localStorage が使用され不再；代わりに、ステアジングが必要なチームのために、`hx-history-cache` 拡張機能を通じて sessionStorage を介したキャッシングが可能になります。移行には、バージョン 2.x がバージョン指定なしの CDN で 2027 年初頭まで引き続き利用可能である一方、バージョン 4.0.0 は特定の CDN URL（`https://unpkg.com/htmx.org@4.0.0/dist/htmx.min.js`）でアクセス可能です。アップグレードを行う企業は、非推奨要素を置換し、履歴キャッシングロジックをこれらの標準化された振る舞いと整合させる必要があります。

2026/08/29 0:58

今は、バグという噂だけで exploits を見つけるのに十分なものです。

## 日本語訳: 人工知能エージェントは、現在、人間チームが修正できる速度よりもはるかに速く脆弱性を発見し悪用するため、ソフトウェアセキュリティに対して即座の脅威を呈しています。この拡大するギャップにより、自動化された攻撃は、通常のパッチが公開される数日前、あるいは場合によっては数時間前に発生することがあり、セキュリティ環境そのものが根本的に変化しました。重要な例として、DeepSeek V4 Pro は OCaml 言語の cohttp ライブラリにおけるクリティカルなパス正規化エラーを特定しましたが、Claude Fable などの伝統的な AI モデルは、オープンソースのメンテナンを除外するセーフティフィルターによってこれらの問題を検出できないことがあります。一方、高度なシステムはこうした保護策を完全に回避します。脆弱性の発見からパッチが公開されるまでの間に、エージェント型 AI システムが新たなエクスプロイトを見つけ出すのに十分であるという噂が存在するだけでも、実稼働中の Web サーバーの脆弱性を特定してから 1 分以内にエクスプロイトを作成・テストした事例などがあり、その他には marimo の CVE-2026-39987 が 9 時間以内、Langflow の CVE-2026-33017 が 20 時間以内に悪用された例もあります。その結果、脆弱性の発見から悪用されるまでの平均期間は、近年の歴史において約 63 日であったものが、2026 年にはわずか 7 日にまで崩壊しました（一部のケースでは開示に対して相対的にマイナスの値となっています）。このレポートは Jane Street を経由した Slack で非公開で届けられ、Claude Fable 由来であり、Glasswing セキュリティブロックを有さないためパス正規化に関する関連問題を特定したのは DeepSeek V4 Pro でした。Project Glasswing は西側モデルのセキュリティガードにより通常のオープンソースメンテナンを除外するものの、15 ヵ国にわたる 150 の組織に拡大しています。「Bugonomics」とは、防御側の修復処理能力が LLM で生成されたエクスプロイトに後れを取るというボトルネックを指し、GitHub のプライベートフォークでは CI 統合が制限されマージは単一の PR に限定されるため、複雑なクロスリポジトリの修正には不向きです。この「antibotty」脅威の現実に耐えるために、業界は標準的な防御を超えて進まなければなりません。将来のセキュリティは、Linux カーネルのような継続的なリリース、プロトコルレベルの仮想パッチング、AI 駆動の攻撃生成の絶え間ないスピードに匹敵できる新たな防御ネットワークによるものとなるでしょう。迅速に適応できない場合、防御側は重要なインフラを保護するには単に遅すぎることになります。cohttp の修正には Sapphire Livingstone、Michael Dales、Török Edwin、Patrick Ferris、Hannes Mehnert、Thomas Gazagnaire によって行われたチームワークが関わっています。