Keycode pour Safari est une application macOS indépendante développée par Vitalys ROUGETET. Elle lit les codes TOTP de votre YubiKey et les remplit sur les sites HTTPS que vous avez associés.
L’extension conserve dans le stockage local de votre profil Safari les origines des sites associés, les identifiants des comptes et de la clé, leurs libellés, ainsi que vos choix d’activation et d’exclusion. Ces identifiants ne sont pas les secrets TOTP. Ces données ne sont pas synchronisées par l’application.
Les secrets TOTP restent sur la YubiKey. L’application demande à la clé de calculer un code temporaire et ne lit ni n’exporte ces secrets.
Par défaut, le mot de passe OATH saisi reste en mémoire pendant quinze minutes au maximum, jamais dans le stockage Safari ni dans une page web. L’option « Mémoriser dans le Trousseau de ce Mac », désactivée par défaut, conserve une entrée protégée par clé dans le Trousseau macOS, sans synchronisation iCloud. Sa réutilisation demande un clic sur « Déverrouiller avec le Trousseau », puis Touch ID ou une authentification macOS. Un index local conserve uniquement les identifiants des clés dont le mot de passe a été enregistré, pour proposer le déverrouillage après verrouillage sans ouvrir le Trousseau. Le secret récupéré reste dans le processus natif ; l’extension web reçoit seulement un jeton temporaire. L’expiration ou la fin du processus impose un nouveau déverrouillage. Le Trousseau est propre au compte macOS et peut être utilisé depuis ses profils Safari ; les associations de sites restent dans le stockage de l’extension.
Les codes restent temporairement en mémoire pendant leur utilisation. Ils sont transmis uniquement au champ sélectionné du site HTTPS associé, ou affichés dans la fenêtre de l’extension pour une saisie manuelle. L’extension efface cet affichage à l’expiration ou au changement de contexte et ne conserve pas d’historique de codes. Après remplissage, le site reçoit le code comme lors d’une saisie manuelle.
L’accès aux pages HTTPS sert à détecter les champs de vérification et à remplir le code du compte explicitement associé à l’origine du site, y compris son port. Safari vous permet de limiter les sites autorisés. L’extension ne remplit pas les formulaires HTTP, les cadres intégrés ni les pages inactives ou en navigation privée, et ne soumet pas le formulaire.
L’application ne comporte aucun serveur de comptes, publicité, outil d’analyse, suivi ou rapport automatique d’erreur. Aucune donnée de navigation, aucun mot de passe et aucun code ne sont envoyés au développeur. Apple traite séparément les achats et la distribution sur l’App Store selon ses propres règles.
Si vous choisissez de nous écrire pour une demande de support ou un accès bêta, les informations que vous transmettez volontairement sont reçues par e-mail et servent à répondre à votre demande ou organiser les tests. Ne joignez aucun mot de passe, secret TOTP ou code. Aucun formulaire de collecte ni outil d’analyse n’est intégré au site.
Supprimez une association ou un site ignoré depuis les réglages de l’extension. Le bouton « Verrouiller maintenant » invalide les sessions de déverrouillage et efface les mots de passe conservés en mémoire par l’extension. « Supprimer du Trousseau » supprime l’entrée sélectionnée ; la désinstallation de l’application ne garantit pas sa suppression automatique. Safari gère les données de l’extension par profil. Désactiver l’extension arrête son fonctionnement ; cela ne supprime aucun compte de votre YubiKey.
Cette version fonctionne sur Mac avec une YubiKey compatible OATH connectée en USB, interface CCID activée. Elle ne prend pas en charge iPhone, iPad, HOTP, les codes Steam ou les clés Security Key limitées à FIDO. Elle est indépendante de Yubico ; YubiKey est une marque de Yubico AB.
Assistance : vitalys@rougetet.com. Ne transmettez jamais de mot de passe, de secret TOTP ou de code de connexion.