Maccyはパスワードを見ていますか？
コピーしたものをすべて記録するなら、パスワードも記録するのか。これは、あらゆるクリップボードマネージャーに向けるべき正しい問いです。Maccyの短い答えは「いいえ」です。ただし、理解しておく価値のある注意点が一つあります。
保護の仕組み
macOSでは、アプリがクリップボード項目に機密または一時的というフラグを立てられます。「これを保持しない」というシグナルです。1Password、Bitwarden、Appleのパスワードなどのパスワードマネージャーは、パスワードをコピーするときにこのフラグを設定します。Maccyはこれを尊重してその項目をスキップするので、履歴に表示されません。そのために設定する必要はありません。
注意すべき一つのケース
フラグは、コピー元のアプリが設定します。パスワードマネージャーからパスワードをコピーすれば、機密扱いになり無視されます。しかし、パスワードを通常の入力欄からプレーンテキストとしてコピーした場合、たとえば、メモの書類やWebフォームに入力したパスワードで、機密として扱われないものでは、macOSには機密であることを示すシグナルがないため、Maccyは他のテキストと同じように保存します。
要点：認証情報はパスワードマネージャーに任せ（機密扱いにしてくれます）、自分で管理できない通常のテキスト入力欄から秘密情報をコピーするのは避けましょう。
追加の安全策
- 機密性の高いアプリを除外する：銀行、2FA、その他のアプリを設定 → 除外に追加すれば、それらからは何も記録されません。次をご覧ください：除外アプリのガイド。
- 必要なときに消去する：機密性の高いものが保存されてしまったら、履歴を消去します。
- 控えめな履歴の上限を保つ：保持が少ないほど、露出の期間が短くなります（保持とサイズ上限）。
なぜ信頼できるのか
Maccyはオープンソースなので、機密フラグの処理はコードで直接確認できます。宣伝文句に頼る必要はありません。この監査可能性が、安全性で高く評価される大きな理由です。完全な記事は次をご覧ください：プライバシーとセキュリティのレビュー。
完全な答え
いいえ。Maccyは、パスワードをクリップボード履歴に保存しません。これは宣伝文句ではありません。独立した2つの技術的な仕組みで実現されています。
仕組み1：デフォルトの除外リスト
Maccyは、1Password、Bitwarden、Dashlane、macOSキーチェーンを、除外リストに入れて出荷されます。これらのアプリがクリップボードに書き込んでも、Maccyは書き込みイベントを認識しますが、記録しません。項目は一度のペーストにだけ使え、Maccyの観点からは、その後消えます。
これは、Maccyの設定 → 除外で構成されています。このリストのアプリは、いつでも表示、追加、削除できます。
仕組み2：macOSのセキュアなクリップボードフラグ
Maccy自身の除外リストに加えて、macOS自体にも「セキュア」なクリップボードフラグがあります。パスワードマネージャーは、機密データを書き込むときにこのフラグを設定します。セキュアフラグ付きのクリップボード書き込みを受け取るアプリは、Maccyを含め、それを永続化しないことが期待されます。Maccyはこのフラグを尊重します。
つまり、パスワードマネージャーが何らかの理由でMaccyの除外リストになくても、セキュアフラグが第二の保護層になります。
自分で確認する方法
- 機密でないテキストを先にコピーします（注：これがMaccyの1番目の項目になります）
- 1PasswordまたはBitwardenからパスワードをコピーします
- すぐにMaccyを開きます（Cmd+Shift+C）
- 1番目の項目は、その前にコピーしたテキストのはずで、パスワードではありません
- パスワードはリストのどこにも表示されません
このテストが成り立つのは、Maccyが項目を届いた順に記録するからです。パスワードを記録していたら、1番目に表示されるはずです。それがないことが、除外リストが機能している証拠です。
デフォルトのリストにないパスワードマネージャーを使っている場合は？
NordPass、Keeper、Enpass、またはMaccyのデフォルトにないマネージャーを使う場合は、手動で追加します：
# Find bundle ID for any app:
osascript -e 'id of app "NordPass"'
# Returns: com.nordpass.macosMaccyの設定 → 除外を開き、+をクリックして、バンドルIDを追加します。
オープンソースのコードは検証できますか？
はい。Maccyのソースは次にあります：github.com/p0deje/Maccy。除外リストの実装とセキュアなクリップボードフラグの処理は、公開されていて誰でも読めます。セキュリティ研究者や企業のITチームが、このコードを監査しています。コードベースに、パスワードマネージャーの活動を隠れて記録する処理はありません。