Maccy voit-il vos mots de passe ? Ce qu’il stocke (et comment l’en empêcher)
Maccy voit-il vos mots de passe ?
Maccy ne voit que ce que vous copiez. Il ne voit pas ce que vous tapez et ne lit pas le coffre-fort de votre gestionnaire de mots de passe. En revanche, si un mot de passe atteint le presse-papiers du système, Maccy App peut le conserver dans votre historique local, sauf s’il est marqué comme masqué ou s’il provient d’une application que vous lui avez demandé d’ignorer.
L’inquiétude est légitime. Un outil qui retient tout ce que vous copiez ressemble à un keylogger au sourire avenant. Ce n’en est pas un, mais la nuance compte, tout comme les cas où il peut laisser fuiter quelque chose que vous n’aviez pas prévu. Cet article fait le tour des deux.
Que peut vraiment voir un gestionnaire de presse-papiers ?
Un gestionnaire de presse-papiers ne voit qu’une seule chose : le contenu du pasteboard système, la mémoire tampon partagée que macOS utilise quand vous faites ⌘C. Maccy Mac surveille les changements de ce tampon et enregistre chaque nouvel élément dans son historique. Le mécanisme se résume à cela.
| Situation | Maccy le voit-il ? | Pourquoi |
|---|---|---|
| Vous tapez un mot de passe dans un champ de connexion | Non | Les frappes vont à l’application, pas au presse-papiers. |
| Le remplissage automatique du navigateur ou du Trousseau remplit un champ | En général non | Le remplissage automatique insère le texte directement, sans passer par le presse-papiers. [À VÉRIFIER pour les extensions tierces] |
| Vous faites ⌘C sur un mot de passe affiché à l’écran | Oui | Il arrive dans le pasteboard comme n’importe quel autre texte. |
| Bouton « copier le mot de passe » d’un gestionnaire de mots de passe | Ça dépend | Maccy ignore les éléments marqués masqués ou transitoires. Que votre gestionnaire pose ou non ces marqueurs, c’est à lui de le décider. |
| Mot de passe présent dans une note, un tableur ou une conversation d’où vous copiez | Oui | Maccy ne sait pas distinguer un mot de passe d’une chaîne de caractères quelconque. |
| Mots de passe stockés dans votre coffre-fort, jamais copiés | Non | Maccy n’a aucun accès aux données des autres applications. |
Comment Maccy décide-t-il quoi ignorer ?
macOS n’offre aucun indicateur officiel du type « ceci est un secret », mais il existe une convention communautaire, documentée sur nspasteboard.org. Les applications peuvent attacher des marqueurs particuliers aux éléments du presse-papiers, comme org.nspasteboard.ConcealedType pour un contenu sensible et org.nspasteboard.TransientType pour un contenu éphémère. Les gestionnaires de presse-papiers qui respectent la convention écartent ces éléments.
Maccy Clipboard respecte ces marqueurs par défaut et ignore aussi quelques autres types connus. [À VÉRIFIER : confronter la liste par défaut actuelle au code source de Maccy ou aux notes de version avant publication.] Le hic, c’est que cette convention repose sur le volontariat. Les gestionnaires de mots de passe qui posent les marqueurs sont protégés automatiquement. Les applications qui ne les posent pas ressemblent, pour Maccy, à des copies ordinaires.
Mon gestionnaire de mots de passe est-il couvert ?
Ne le supposez pas. Voici un test de deux minutes à faire avec votre propre configuration :
- Ouvrez Maccy et videz son historique (via l’option d’effacement de son menu).
- Dans votre gestionnaire de mots de passe, utilisez l’action « copier le mot de passe » sur un compte sans importance.
- Ouvrez Maccy avec son raccourci (⇧⌘C par défaut).
- Regardez si le mot de passe copié apparaît.
S’il n’apparaît pas, votre gestionnaire signale correctement ses copies. S’il apparaît, ajoutez l’application à la liste d’exclusion de Maccy (section suivante) et pensez à signaler l’absence de marqueur aux développeurs du gestionnaire.
Comment garder les mots de passe hors de Maccy ?
Vous disposez de trois niveaux de contrôle, tous dans Maccy → Réglages → Ignorer. Le libellé exact des onglets peut changer d’une version à l’autre. [À VÉRIFIER avec la version actuelle.]
1. Ignorer l’application
Ajoutez votre gestionnaire de mots de passe (1Password, Bitwarden, KeePassXC ou celui que vous utilisez) à la liste des applications ignorées. Rien de ce qui est copié depuis cette application n’est stocké, qu’elle pose des marqueurs « masqué » ou non. C’est l’option la plus solide pour les gestionnaires de mots de passe.
2. Ignorer des types de pasteboard
Si une application précise marque ses secrets avec un type personnalisé, vous pouvez ajouter ce type à la liste des types ignorés. C’est utile pour les outils de niche qui suivent leur propre convention.
3. Ignorer par motif
Maccy permet d’ignorer le texte copié qui correspond à une expression régulière. Servez-vous-en pour les secrets dont la forme est reconnaissable, comme des clés d’API à préfixe fixe. Voici un motif donné à titre d’exemple :
^sk-[A-Za-z0-9]{20,}$
Il correspond aux chaînes qui commencent par sk- suivi d’au moins 20 caractères alphanumériques. Adaptez-le au format réel des jetons que vous manipulez. Un motif ne peut attraper que ce que vous savez décrire : voyez-le comme un filet de sécurité, pas comme votre défense principale.
Cas ponctuel : ne pas enregistrer une seule copie
Si vous allez copier quelque chose de sensible depuis une application que vous n’avez pas ignorée, Maccy propose d’ignorer la prochaine copie sans toucher aux réglages. [À VÉRIFIER : nom exact de l’entrée de menu et raccourci dans la version actuelle.]
Où Maccy conserve-t-il votre historique ?
Sur votre Mac, dans une base de données locale située dans le dossier de données de l’application, sous votre compte utilisateur. Maccy fonctionne en local d’abord : il n’a ni système de comptes, ni synchronisation cloud propre. Il est aussi open source, donc inutile de me croire sur parole : le code est public sur github.com/p0deje/Maccy.
Deux réserves honnêtes :
- L’historique n’est pas un coffre-fort. C’est une base de données locale protégée par votre compte Mac et le chiffrement du disque (activez FileVault si ce n’est pas fait), pas par un mot de passe distinct. [À VÉRIFIER : l’historique stocké est-il en plus chiffré ?]
- Le Presse-papiers universel est une fonction d’Apple, pas de Maccy. Si Handoff est activé, ce que vous copiez sur un iPhone peut arriver dans le presse-papiers de votre Mac, et Maccy le verra là comme n’importe quelle autre copie.
Et si un mot de passe est déjà dans mon historique ?
- Ouvrez Maccy, sélectionnez l’entrée et supprimez-la, ou videz tout l’historique depuis le menu.
- Si ce mot de passe protégeait quelque chose d’important et que vous ignorez qui a pu voir votre écran ou accéder à votre Mac, changez-le.
- Ajoutez l’application source à la liste d’exclusion pour que cela ne se reproduise pas.
Vérifiez aussi le nombre d’éléments que Maccy conserve. Un historique plus court réduit le temps pendant lequel une donnée traîne : c’est une façon peu coûteuse de limiter le risque si vous copiez souvent du texte sensible.
Faut-il renoncer aux gestionnaires de presse-papiers ?
Pas forcément, mais il faut être lucide sur le vrai compromis. Tout historique de presse-papiers, celui de Maccy comme celui d’un autre, est une trace de ce que vous avez copié. Le risque n’est pas que Maccy vous espionne. C’est qu’un fichier local contienne désormais du texte que vous pensiez disparu après le collage.
Pour la plupart des gens, ignorer le gestionnaire de mots de passe et garder un historique modeste règle le problème. Si vous copiez régulièrement des secrets de production, adoptez une discipline plus stricte : utilisez le remplissage automatique de votre gestionnaire plutôt que le presse-papiers dès que c’est possible, et videz l’historique après les sessions sensibles.
Questions fréquentes
Maccy enregistre-t-il ce que je tape dans les champs de mot de passe ?
Non. Maccy surveille le presse-papiers du système, pas votre clavier. Il ne voit un texte qu’une fois copié. Saisir un mot de passe dans un champ de connexion ne passe jamais par le presse-papiers.
Maccy sauvegarde-t-il les mots de passe copiés depuis un gestionnaire de mots de passe ?
En général, non. La plupart des gestionnaires marquent les secrets copiés comme masqués ou transitoires, et Maccy ignore par défaut les éléments portant ces marqueurs. Cela dépend du gestionnaire : faites le test décrit plus haut.
Maccy envoie-t-il l’historique de mon presse-papiers sur Internet ?
Non. Maccy fonctionne en local d’abord et il est open source : l’historique est stocké sur votre Mac. Vous pouvez lire le code source pour vérifier ce qu’il fait. [À VÉRIFIER : si la version que vous distribuez inclut une vérification des mises à jour, préciser qu’elle ne contacte un serveur que pour cela.]
Comment empêcher Maccy d’enregistrer les mots de passe ?
Ouvrez Réglages → Ignorer et ajoutez votre gestionnaire de mots de passe comme application ignorée. Vous pouvez en option ajouter des types de pasteboard ignorés ou des expressions régulières pour les secrets qui suivent un motif connu.
Comment supprimer un mot de passe que Maccy a déjà copié ?
Sélectionnez l’entrée dans Maccy et supprimez-la, ou videz tout l’historique depuis le menu de Maccy. Changez ensuite le mot de passe s’il y a la moindre chance qu’il ait été exposé.
En résumé
Maccy ne voit ni votre coffre-fort, ni vos frappes au clavier, ni rien de ce que vous ne copiez pas. Il peut en revanche stocker tout ce qui arrive dans le presse-papiers sans marqueur « masqué », et vous gardez la main là-dessus en une minute dans les réglages Ignorer. Testez une fois votre gestionnaire de mots de passe, ajoutez-le à la liste d’exclusion, et le risque disparaît en grande partie.
Si vous installez Maccy pour la première fois, téléchargez Maccy et commencez par l’onglet Ignorer, avant toute autre chose. Quelle est la seule application que vous ne voudriez jamais voir effleurer l’historique de votre presse-papiers ?
Temps de lecture : environ 6 minutes.
