الأمن السيبراني & تطبيق متعدد المنصات

Sésame

مدير كلمات مرور لا يستطيع قراءة كلمات مروركم: كانت البنية نفسها هي البرهان.

السنة
2026
التقنيات
React · TypeScript · Vite · WebAssembly · Supabase · Capacitor
  • تصميم المنتج
  • التشفير التطبيقي
  • تطوير الويب والهاتف المحمول
  • إضافة المتصفح
  • إتاحة الوصول
  • SEO
زيارة الموقع(علامة تبويب جديدة)ناقش معنا مشروعًا مماثلًا
https://sesame.kayzen-lyon.com/
الصفحة الرئيسية لموقع Sésame — الأمن السيبراني & تطبيق متعدد المنصات، من إنجاز KAYZEN
مع جميع الوظائف
0 €
مقروء للخادم
0 بايت
منصات: الويب، والإضافة، وAndroid
3
نوعًا من العناصر في الخزنة
11
نقطة الانطلاق

ما كان يجب حلّه.

السياق

Sésame هو مدير كلمات مرور مجاني، تصدره KAYZEN من ليون ويُوزَّع بموجب ترخيص GPL-3.0. يحفظ بيانات تسجيل الدخول، ورموز المصادقة الثنائية (2FA)، ومفاتيح المرور، والبطاقات، والملاحظات، ووثائق الهوية في خزنة مشفّرة، تُزامَن بين الأجهزة ويمكن مشاركتها مع أفراد العائلة. وهو متاح على شكل تطبيق ويب قابل للتثبيت، وإضافة لمتصفحات Chrome وEdge وFirefox، وتطبيق Android.

القيد

يتطلّب مدير كلمات المرور أعلى درجات الثقة على الإطلاق: فهو يحفظ مفتاح كل ما عداه. والعروض المجانية في السوق تقيّد المزامنة أو المشاركة أو رموز 2FA لدفع المستخدم نحو الاشتراك، وكلها تطلب منه أن يصدّق كلام الناشر حين يؤكد أنه لا يستطيع قراءة خزنته. كان المطلوب منتجًا مجانيًا لا تُقتطع منه أي وظيفة، ووعدًا بالسرية يصمد حتى لو لم يثق المرء بـKAYZEN.

الحل

يجري التشفير على الجهاز، قبل أي إرسال. لا تغادر كلمة المرور الرئيسية الجهاز أبدًا؛ ومنها يُشتق، عبر Argon2id، المفتاح الذي يفتح الخزنة. أما خادم المزامنة فلا يخزّن سوى مغلّفات مشفّرة يعجز عن فتحها. والمجانية نابعة من البنية نفسها: خادم يكتفي بحفظ ملفات صغيرة مشفّرة لا يكلّف تشغيله شيئًا يُذكر تقريبًا.

نتائج مقيسة لا مُعلنة

النتائج المسجّلة عند التسليم.

نتائج Lighthouse للموقع في بيئة الإنتاج. ننشرها كما هي: وعندما تكون إحداها منخفضة، نكتب سببها وخطة تصحيحها أدناه بدلًا من التكتم عليها.

PageSpeed
99
الأداء: 99 من 100
100
إمكانية الوصول: 100 من 100
100
أفضل الممارسات: 100 من 100
100
تحسين محركات البحث: 100 من 100
التصميم والإدارة الفنية

كل خيار، وسببه.

  1. الطمأنة بالوضوح لا بالقتامة

    تكاد كل أدوات الأمن ترتدي ألوانًا داكنة، على صورة الطرفية. أما Sésame فينطلق من خلفية بيضاء، ولون كحلي للعناوين، ولمسة إبراز واحدة بلون الطين المشوي للإجراء: خزنة تُفتح عشر مرات في اليوم يجب أن تكون مقروءة قبل أن تكون مبهرة. والسمة الداكنة متاحة، بحسب اختيار المستخدم.

  2. السعر في الشاشة الأولى

    تظهر عبارة «0 € إلى الأبد» في تصميم القسم الافتتاحي (hero)، ويوضح الشريط العلوي: «دون بطاقة مصرفية، ودون حساب، ودون إعلانات». في سوق كثيرًا ما تكون فيه المجانية فترة تجريبية، تمثّل المجانية الحقيقية الحجة الحاسمة: كان لا بد أن تُقرأ قبل أول تمرير للصفحة.

  3. مغادرة المدير القديم في دقيقتين

    العائق الرئيسي ليس السعر بل الانتقال. صفحة مخصصة، وأدوات استيراد من 1Password وBitwarden وKeePass وProton Pass ومن ملفات التصدير CSV في Chrome وEdge وFirefox وSafari وLastPass وDashlane، مع معاينة قبل الاستيراد: يرى المستخدم ما سيدخل خزنته قبل أن يؤكد.

  4. طباعة مشتركة مع مجموعة المنتجات

    Outfit للعناوين، وPlus Jakarta Sans للنص: العائلتان نفسهما المستخدمتان في kayzen-lyon.com، مُقدَّمتان من نطاق الموقع من دون أي استدعاء لـGoogle Fonts. وهكذا تُعرف منتجات الدار بوصفها مجموعة واحدة من دون شريط «by KAYZEN».

لوحة ألوان المشروع

  • حبر

    #1F2937

    النص

  • كحلي

    #1F3B61

    العناوين والشعار

  • طين مشوي

    #B7481F

    الإجراء الرئيسي

  • أخضر

    #26704F

    التأكيد، الخزنة متزامنة

النظام الطباعي

العناوين

Outfit 700

النص الأساسي

Plus Jakarta Sans 400

عائلتا kayzen-lyon.com، مُقدَّمتان من نطاق الموقع: لا استدعاء لأي جهة خارجية، ولا حتى من أجل الخطوط.

الهندسة

ما يوجد تحت الغطاء.

  • React
  • TypeScript
  • Vite
  • WebAssembly
  • Supabase
  • Capacitor

  1. Argon2id، ثم HKDF، ثم AES-256-GCM

    تمرّ كلمة المرور الرئيسية عبر Argon2id (64 ميبيبايت من الذاكرة، و3 تمريرات) المنفَّذ بتقنية WebAssembly، ثم عبر HKDF للحصول على مفتاح لتشفير المفاتيح. ويغلّف هذا المفتاح مفتاحَ خزنة عشوائيًا بطول 256 بت، يشفّر البيانات بخوارزمية AES-256-GCM مع متجه تهيئة جديد عند كل حفظ. لذلك لا يستلزم تغيير كلمة المرور الرئيسية إعادة تشفير الخزنة كلها.

  2. مزامنة بمعرفة صفرية (zero-knowledge)

    لا يتلقى الخادم، المستضاف في الاتحاد الأوروبي، سوى المغلّف المشفَّر مسبقًا. وإضافة جهاز تتطلب عاملين: رمز اقتران وكلمة المرور الرئيسية؛ فالرمز وحده لا يفك تشفير أي شيء، وكلمة المرور وحدها لا تتيح الوصول إلى الخادم. ولا تُعرَض قاعدة البيانات مباشرة أبدًا: فالأمان على مستوى الصفوف مفعَّل من دون أي سياسة، وكل شيء يمر عبر دالة تحدّ من معدل الطلبات وتقارن الأسرار في زمن ثابت.

  3. مشاركة عائلية من دون مفتاح مشترك

    لكل فرد زوج مفاتيح X25519 خاص به. تُشفَّر الخزنة المشتركة مرة واحدة، ويُغلَّف مفتاحها لكل فرد على حدة. وإزالة أحد الأفراد تُطلق تدويرًا لمفتاح الخزنة: فلا يستطيع العضو السابق قراءة ما يُضاف بعد مغادرته.

  4. قاعدة شيفرة واحدة، وثلاث منصات

    النواة التشفيرية وحدة بلا واجهة، تُختبر على حدة — بالمتجهات الرسمية الواردة في RFC 6238 لرموز 2FA، وباختبارات مقاومة العبث بالخزنة. والنواة نفسها تخدم تطبيق الويب القابل للتثبيت (والقابل للاستخدام من دون اتصال)، والإضافة المبنية على Manifest V3، وتطبيق Android المحزَّم باستخدام Capacitor.

  5. إضافة لا تملأ إلا عند الطلب

    لا تملأ الإضافة أي نموذج من تلقاء نفسها أبدًا: يلزم إجراء صريح من المستخدم. فالملء التلقائي عند تحميل الصفحة هو بالضبط ما تستغله النماذج الخفية المحقونة في الصفحات. كما تدير الإضافة مفاتيح المرور (passkeys وWebAuthn)، وتقترح حفظ بيانات تسجيل الدخول بعد الدخول إلى حساب.

تحسين محركات البحث

كيف يصبح الموقع قابلًا للعثور عليه.

  1. صفحة لكل نية بحث

    الأمان، والانتقال، والتثبيت، والمستجدات: لكل سؤال يطرحه المرء قبل تغيير مدير كلمات المرور صفحته وعنوان URL الخاص به. «مغادرة 1Password» و«مدير كلمات مرور مجاني» استعلامان مختلفان؛ وصفحة واحدة ما كانت لتستقطب أيًّا منهما.

  2. ترميز SoftwareApplication والأسئلة الشائعة

    يصرّح ترميز SoftwareApplication بالفئة، والأنظمة المدعومة، والترخيص، وسعر قدره 0 €. أما الأسئلة الشائعة — لماذا هو مجاني، وأين تُخزَّن كلمات المرور، وكيف تتم المزامنة — فتحمل ترميز FAQPage: فهذه هي الإجابات التي تنقلها محركات البحث والمساعدات الذكية.

  3. الناشر مرتبط بشبكة KAYZEN

    يحدّد مخطط JSON-LD للموقع KAYZEN بوصفها الناشر، بالمعرّف نفسه المستخدم في kayzen-lyon.com: فتربط محركات البحث والمساعدات الذكية المنتج بالوكالة التي صمّمته.

إمكانية الوصول

قابل للاستخدام من الجميع.

منذ يونيو 2025، يفرض القانون الأوروبي لإمكانية الوصول (European Accessibility Act) إتاحة الوصول الرقمي على شريحة واسعة من الخدمات الإلكترونية. نتعامل معها منذ مرحلة التصميم، لا كتدارك لاحق.

  1. WCAG 2.2 AA مُتحقَّق منه في التطبيق

    يجتاز التطبيق فحوص axe الآلية على مستوى WCAG 2.2 AA من دون أي مخالفة، ضمن الاختبارات الشاملة من طرف إلى طرف. لوحة أوامر بلوحة المفاتيح (Ctrl+K)، واختصارات موثَّقة، وسمة فاتحة وأخرى داكنة.

  2. الأمان لا ينبغي أن يُقصي أحدًا

    تُمحى كلمة المرور المنسوخة من الحافظة بعد 30 ثانية افتراضيًا، وهي مهلة قابلة للضبط. ويُعلَن عن المحو في رسالة تنطقها برامج قراءة الشاشة — «نُسخت · تُمحى خلال 30 ث» — ليعرف المستخدم لماذا الحافظة فارغة حين يريد اللصق.

هيكل الموقع

ما تم تسليمه.

  • الرئيسية — الوعد، والعرض التوضيحي، والمقارنة
  • الأمان — شرح نموذج التشفير
  • الانتقال — الاستيراد من المدير القديم
  • التثبيت — التطبيق، والإضافة، وAndroid
  • /app/ — الخزنة، قابلة للتثبيت وللاستخدام من دون اتصال
  • البيانات القانونية، والخصوصية، وشروط الاستخدام، وإتاحة الوصول
المنهجية

مراحل سير المشروع.

  1. النواة التشفيرية

    خزنة مشفّرة، ورموز 2FA، ومولّد، وفحص سلامة كلمات المرور، وأدوات الاستيراد؛ وحدة مختبَرة بلا واجهة.

  2. التطبيق

    تطبيق ويب قابل للتثبيت والاستخدام من دون اتصال، مع نسخة احتياطية مشفّرة وعُدّة طوارئ.

  3. المزامنة والمشاركة

    خادم بمعرفة صفرية في الاتحاد الأوروبي، واقتران بعاملين، وخزائن عائلية.

  4. الإضافة والهاتف المحمول

    إضافة لمتصفحات Chrome وEdge وFirefox تدعم passkeys، وتطبيق Android.

  5. مراجعات الأمان

    خمس مراجعات داخلية وتصحيحاتها؛ وملف مُعَدّ لتدقيق خارجي مستقل.

أسئلة

ما يُطرح علينا كثيرًا.

لا، وهذه خاصية في البنية لا مجرد وعد. يجري التشفير على الجهاز، بمفتاح مشتق من كلمة المرور الرئيسية التي لا تغادر الجهاز أبدًا. ولا يتلقى الخادم سوى بيانات مشفّرة؛ ومن دون كلمة المرور الرئيسية تبقى غير مقروءة، بالنسبة إلينا كما بالنسبة إلى أي شخص قد يصل إليها.

أُجريت خمس مراجعات أمنية داخلية، وصُحّحت الملاحظات التي خرجت بها. أما التدقيق الخارجي على يد شركة مستقلة فلم يُجرَ بعد: الملف اللازم لإطلاقه جاهز. ونحن لا نقدّم المراجعات الداخلية على أنها تدقيق مستقل.

لأنه البرهان الأكثر تطلّبًا على ما نقدّمه لعملائنا: التشفير التطبيقي، والتطبيق القابل للتثبيت، والإضافة، والهاتف المحمول، وإتاحة الوصول، وSEO، في منتج يظهر فيه أصغر خطأ. والخيارات الموثَّقة هنا هي نفسها التي نطبّقها على المشاريع التي يعهد بها إلينا عملاؤنا.

أعمال أخرى

العودة إلى أعمالنا

مستوى الإتقان نفسه، لموقعك.

تدقيق مجاني لموقعك الحالي، وعرض سعر خلال 24 ساعة، وتعليل مكتوب — مثل الذي قرأته للتو. الدفع على ثلاث دفعات دون رسوم إضافية، مع التحقق من برامج الدعم المحلية قبل التوقيع.

حجز موعدعرض الأسعار
مشاركة