Sésame
비밀번호를 읽을 수 없는 비밀번호 관리자: 그 증거는 아키텍처였습니다.
- 연도
- 2026
- 기술 스택
- React · TypeScript · Vite · WebAssembly · Supabase · Capacitor
- 프로덕트 디자인
- 응용 암호학
- 웹·모바일 개발
- 브라우저 확장 프로그램
- 접근성
- SEO
- 모든 기능 포함
- 0 €
- 서버가 읽을 수 있는 데이터
- 0바이트
- 개 플랫폼: 웹, 확장 프로그램, Android
- 3
- 가지 보관함 항목 유형
- 11
해결해야 했던 과제.
배경
Sésame은 KAYZEN이 리옹에서 만들어 GPL-3.0 라이선스로 배포하는 무료 비밀번호 관리자입니다. 로그인 정보, 2FA 코드, 패스키, 카드, 메모, 신분증을 암호화된 보관함에 담아 기기 간에 동기화하고 가족과 공유할 수 있습니다. 설치형 웹 앱, Chrome·Edge·Firefox 확장 프로그램, Android 앱으로 제공됩니다.
제약
비밀번호 관리자는 가장 높은 수준의 신뢰를 요구합니다. 다른 모든 것의 열쇠를 쥐고 있기 때문입니다. 시중의 무료 요금제는 구독을 유도하려고 동기화, 공유, 2FA 코드를 제한하며, 하나같이 제공업체가 보관함을 읽을 수 없다는 말을 그대로 믿으라고 요구합니다. 기능 제한 없는 무료 제품, 그리고 KAYZEN을 신뢰하지 않더라도 성립하는 기밀성 약속이 필요했습니다.
해법
암호화는 어떤 전송보다 먼저 기기에서 이루어집니다. 마스터 비밀번호는 절대 기기를 떠나지 않으며, Argon2id를 통해 보관함을 여는 키를 파생합니다. 동기화 서버는 스스로 열 수 없는 암호화된 봉투만 저장합니다. 무료라는 점도 같은 아키텍처에서 나옵니다. 암호화된 작은 파일을 보관하기만 하는 서버는 운영 비용이 거의 들지 않습니다.
납품 시점에 측정한 점수.
운영 중인 사이트의 Lighthouse 점수입니다. 있는 그대로 공개합니다. 낮은 점수가 있으면 그 원인과 개선 계획을 아래에 적어 두었으며, 감추지 않습니다.
모든 선택에는 이유가 있습니다.
어둠이 아닌 명료함으로 안심을
보안 도구는 터미널을 본떠 거의 모두 어두운 옷을 입습니다. Sésame은 흰 배경에서 출발해 제목에는 네이비를, 행동 유도에는 테라코타 강조색 하나만 씁니다. 하루에 열 번 여는 보관함은 인상적이기 전에 읽기 쉬워야 합니다. 다크 테마도 있으며, 사용자가 선택할 수 있습니다.
첫 화면에 보이는 가격
히어로 목업에는 “평생 0 €”가 적혀 있고, 상단 배너는 “신용카드 없이, 계정 없이, 광고 없이”라고 밝힙니다. 무료가 체험 기간에 불과한 경우가 많은 시장에서 진짜 무료는 결정적인 논거입니다. 첫 스크롤 전에 읽혀야 했습니다.
기존 비밀번호 관리자를 2분 만에 떠나기
가장 큰 걸림돌은 가격이 아니라 이전입니다. 전용 페이지와 함께 1Password, Bitwarden, KeePass, Proton Pass, 그리고 Chrome, Edge, Firefox, Safari, LastPass, Dashlane의 CSV 내보내기 파일을 위한 가져오기 도구를 마련했고, 가져오기 전에 미리보기를 보여 줍니다. 사용자는 확정하기 전에 무엇이 보관함에 들어갈지 확인합니다.
제품군과 공유하는 타이포그래피
제목에는 Outfit, 본문에는 Plus Jakarta Sans. kayzen-lyon.com과 같은 서체 패밀리이며, Google Fonts 호출 없이 자체 도메인에서 제공됩니다. “by KAYZEN” 배너 없이도 자사 제품들이 하나의 라인업으로 인식됩니다.
프로젝트 색상 팔레트
잉크
#1F2937
텍스트
네이비
#1F3B61
제목과 로고타입
테라코타
#B7481F
주요 행동 유도
그린
#26704F
확인, 동기화된 보관함
타이포그래피 체계
제목용 서체
Outfit 700
본문용 서체
Plus Jakarta Sans 400
kayzen-lyon.com의 서체 패밀리를 자체 도메인에서 제공합니다. 폰트를 포함해 외부 호출은 전혀 없습니다.
보이지 않는 곳의 기술.
- React
- TypeScript
- Vite
- WebAssembly
- Supabase
- Capacitor
Argon2id, HKDF, 그리고 AES-256-GCM
마스터 비밀번호는 WebAssembly로 실행되는 Argon2id(메모리 64 MiB, 3회 반복)를 거친 뒤 HKDF를 통해 키 암호화 키가 됩니다. 이 키가 무작위로 생성된 256비트 보관함 키를 감싸고, 보관함 키는 저장할 때마다 새로운 초기화 벡터로 데이터를 AES-256-GCM 암호화합니다. 따라서 마스터 비밀번호를 바꿔도 보관함 전체를 다시 암호화하지 않습니다.
제로 지식 동기화
유럽연합에 호스팅된 서버는 이미 암호화된 봉투만 받습니다. 기기를 추가하려면 페어링 코드와 마스터 비밀번호, 두 가지 요소가 필요합니다. 코드만으로는 아무것도 복호화할 수 없고, 비밀번호만으로는 서버에 접근할 수 없습니다. 데이터베이스는 결코 직접 노출되지 않습니다. 행 수준 보안을 정책 없이 활성화했고, 모든 요청은 속도를 제한하고 비밀 값을 상수 시간에 비교하는 함수를 거칩니다.
공유 키 없는 가족 공유
구성원마다 자신만의 X25519 키 쌍을 가집니다. 공유 보관함은 한 번만 암호화되고, 그 키가 구성원별로 감싸집니다. 누군가를 내보내면 보관함 키가 교체되어, 이전 구성원은 떠난 뒤에 추가된 내용을 읽지 못합니다.
하나의 코드베이스, 세 개의 플랫폼
암호 코어는 인터페이스 없이 따로 테스트되는 모듈입니다. 2FA 코드에는 RFC 6238 공식 테스트 벡터를, 보관함에는 위변조 방지 테스트를 적용합니다. 같은 코어가 설치형 웹 앱(오프라인 사용 가능), Manifest V3 확장 프로그램, Capacitor로 패키징한 Android 앱을 구동합니다.
요청할 때만 채우는 확장 프로그램
확장 프로그램은 스스로 양식을 채우지 않습니다. 사용자의 명시적인 동작이 있어야 합니다. 페이지 로딩 시 자동 채우기야말로 페이지에 삽입된 보이지 않는 양식이 악용하는 지점입니다. 패스키(passkeys, WebAuthn)도 관리하며, 로그인 후 로그인 정보 저장을 제안합니다.
사이트가 검색되는 방식.
검색 의도마다 하나의 페이지
보안, 이전, 설치, 새 소식. 비밀번호 관리자를 바꾸기 전에 떠오르는 질문마다 자체 페이지와 URL이 있습니다. “1Password 떠나기”와 “무료 비밀번호 관리자”는 서로 다른 검색어입니다. 페이지가 하나뿐이었다면 어느 쪽도 잡지 못했을 것입니다.
SoftwareApplication과 FAQ 구조화 데이터
SoftwareApplication 마크업은 카테고리, 지원 시스템, 라이선스, 0 € 가격을 선언합니다. FAQ(왜 무료인지, 비밀번호는 어디에 저장되는지, 어떻게 동기화하는지)에는 FAQPage 마크업이 적용됩니다. 검색 엔진과 AI 어시스턴트가 인용하는 것이 바로 이런 답변입니다.
KAYZEN 네트워크와 연결된 제공자
사이트의 JSON-LD 그래프는 kayzen-lyon.com과 같은 식별자로 KAYZEN을 제공자로 지정합니다. 검색 엔진과 AI 어시스턴트는 이를 통해 제품을 그것을 설계한 에이전시와 연결합니다.
누구나 사용할 수 있도록.
2025년 6월부터 유럽 접근성법(European Accessibility Act)에 따라 상당수 온라인 서비스에 디지털 접근성이 의무화되었습니다. 저희는 사후 보완이 아니라 설계 단계에서부터 접근성을 다룹니다.
앱에서 검증한 WCAG 2.2 AA
엔드투엔드 테스트에서 앱은 WCAG 2.2 AA 수준의 axe 자동 검사를 위반 없이 통과합니다. 키보드 명령 팔레트(Ctrl+K), 문서화된 단축키, 라이트·다크 테마를 갖췄습니다.
보안이 누군가를 배제해서는 안 됩니다
복사한 비밀번호는 기본적으로 30초 후 클립보드에서 지워지며, 시간은 조정할 수 있습니다. 삭제는 스크린 리더가 읽어 주는 메시지 “복사됨 · 30초 후 삭제”로 알려 주므로, 사용자는 붙여 넣으려 할 때 클립보드가 왜 비어 있는지 알 수 있습니다.
납품한 결과물.
- 홈 — 약속, 데모, 비교
- 보안 — 암호화 모델 설명
- 이전 — 기존 비밀번호 관리자에서 가져오기
- 설치 — 앱, 확장 프로그램, Android
- /app/ — 설치 가능하고 오프라인으로 쓸 수 있는 보관함
- 법적 고지, 개인정보 처리방침, 이용약관, 접근성
프로젝트 진행 과정.
암호 코어
암호화된 보관함, 2FA 코드, 생성기, 비밀번호 상태 점검, 가져오기 도구. 인터페이스 없이 테스트한 모듈.
앱
설치 가능하고 오프라인으로 쓸 수 있는 웹 앱. 암호화 백업과 비상 키트 포함.
동기화와 공유
EU 내 제로 지식 서버, 두 가지 요소를 사용하는 페어링, 가족 보관함.
확장 프로그램과 모바일
패스키를 지원하는 Chrome·Edge·Firefox 확장 프로그램, Android 앱.
보안 검토
다섯 차례의 내부 검토와 그에 따른 수정. 독립적인 외부 감사를 위한 자료 준비 완료.
