Få Clavitor på din maskine.

Download

Clavitor CLI

Single binary. Fetch credentials, generate TOTP, store new secrets. Zero dependencies.

Clavitor Proxy

HTTPS proxy that injects credentials into agent requests. WASM crypto, no CGO, zero dependencies.

Download SHA256SUMS · verify with sha256sum -c SHA256SUMS

Browserudvidelse

Foretrækker du at udfylde loginoplysninger i browseren? Clavitor-udvidelsen indsætter adgangskoder, passkeys, kort og engangskoder i det felt, der rent faktisk ønsker dem — mens din boks forbliver ekstern, uden noget cachelagret eller dekrypteret på din maskine.

Tilgængelig nu til Chrome. Firefox og Safari kommer snart.

Opsæt en agent

To trin. Mindre end et minut fra en frisk CLI-installation til en fungerende agentidentitet.

1. Opret agenten i din boks

I din vaults web-UI går du til Agenter → Ny. Navngiv agenten (for eksempel "Claude Code") og vælg, hvilke poster den kan tilgå. Clavitor returnerer en tilmeldingsblob og en tilmeldingsnøgle. Blobben er forseglet (den koder vault-adressen og agentidentiteten); nøglen er den eneste hemmelighed, der åbner den. Behandl nøglen som en adgangskode: giv den direkte til maskinen, hvor agenten kører, og kassér den derefter.

2. Initialiser CLI'en på agentens maskine

$ clavitor-cli init <enrollment-blob>
Enrollment key:

CLI'en beder om nøglen (den tages aldrig på kommandolinjen og ekkoes ikke), dekrypterer blobben lokalt og gemmer resultatet som krypteret lokal konfiguration i ~/.config/clavitor/config (eller $XDG_CONFIG_HOME/clavitor/config). Du behøver ikke blobben eller nøglen igen. Næste afsnit viser, hvordan agenten bruger CLI'en herfra.

Opsæt proxyen

Til agenter, der allerede taler HTTP/HTTPS — Claude Desktop, brugerdefinerede scripts, alt der bruger requests eller fetch. Proxyen sidder mellem agenten og den opstrøms API, og løser clavitor://Entry/field placeholders på ledningen, så agenten aldrig holder den faktiske loginoplysning. Se proxyens arkitekturside for trusselsmodellen og protokoldetaljer.

Gennemgangen er skrevet samtaleagtigt, så et menneske eller en AI-agent kan læse den fra start til slut og udføre den på en rigtig maskine. Vælg dit OS nedenfor — hvert afsnit er en selvstændig procedure med seks trin.

Før du starter: hent en tilmeldingsblob og en nøgle fra vaulten

Du skal bruge en tilmeldingsblob og dens tilmeldingsnøgle fra din vault. Dette er den ene del, kun et menneske kan gøre — vaulten kræver et hardwaretryk for at godkende en ny agent.

I vaultens web-UI går du til Agenter → Ny, navngiver agenten (f.eks. "Local Proxy"), vælger hvilke poster den kan tilgå, og trykker på din sikkerhedsnøgle, når du bliver bedt om det. Clavitor returnerer en tilmeldingsblob og en tilmeldingsnøgle. Kopiér begge. Trinnene nedenfor beder dig indsætte hver én gang og derefter glemme dem.

Linux

Gennemgangen nedenfor bruger bash og antager, at du er på x86-64; erstat arm64 med amd64, hvis du er på aarch64.

1. Download proxyens binære fil og gør den eksekverbar. En enkelt, selvstændig binær fil, ingen afhængigheder:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Binærfilen ligger på disken. Bind den nu til din vault. Proxyen læser blobben og nøglen fra stdin (aldrig fra kommandolinjen, så de ikke lækker til din shell-historik). Indsæt hver fra "Før du starter", når du bliver bedt om det (nøglen ekkoes ikke), og bekræft derefter den vault-vært, den viser dig:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Hvad der lige skete: blobben blev dekrypteret lokalt med nøglen (intet netværkskald), og vault-adressen + agentidentiteten + nøglen til dekryptering af legitimationsoplysninger blev skrevet til en krypteret fil, clavitor.conf, ved siden af binærfilen (tilstand 0600). Du behøver ikke blobben eller nøglen igen. Når inputtet pipes i stedet for at blive tastet, kan værtsbekræftelsen ikke besvares, så sæt CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> først.

3. Eksporter proxyens rod-CA. Proxyen vil afslutte enhver HTTPS-forbindelse, din agent laver, og udstede et certifikat for hver opstrøms host on-the-fly. Uden at stole på dens rod-CA, ville disse certifikater fejle verifikation:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Installer CA'en i systemets tillidslager. På Debian/Ubuntu og derivater:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates bør udskrive 1 added. Fra nu af accepterer enhver HTTPS-klient på maskinen (curl, Python's requests, Go's net/http osv.) proxyens certifikater som legitime.

5. Start proxyen. Den binder til 127.0.0.1:1983 og kører i forgrunden; Ctrl-C stopper den:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

For en permanent opsætning, opret en systemd-enhed, der peger på den samme binære fil, så den genstarter ved genstart — se proxyens dokumentation for en referenceenhed.

6. Peg din agent mod proxyen, og verificer ende-til-ende. I en anden shell, i mappen der indeholder binærfilen (filen proxy-auth dér er proxyens adgangstoken; serve udskriver denne linje):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Hvad der faktisk forlader proxyen og når OpenAI's servere — anmodningen din agent aldrig ser:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Hvis du får et JSON-svar tilbage fra OpenAI, er alt sat op. Proxyen løste clavitor://OpenAI/key mod boksen ved hjælp af dekrypteringsnøglen til loginoplysninger fra trin 2, erstattede den rigtige nøgle i Authorization-headeren og videresendte anmodningen opstrøms. Din agentkode indeholder kun placeholderen; den rigtige nøgle forlader aldrig proxyens proceshukommelse.

macOS

Gennemgangen nedenfor bruger zsh (standard shell på macOS) og antager Apple Silicon; erstat amd64 med arm64, hvis du er på en Intel Mac.

1. Download proxyens binære fil og gør den eksekverbar. En enkelt, selvstændig binær fil, ingen afhængigheder:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Hvis macOS Gatekeeper nægter at køre den binære fil første gang, højreklik på den i Finder, vælg Åbn, og bekræft — det registrerer undtagelsen. Derefter virker kaldet fra kommandolinjen.

2. Binærfilen ligger på disken. Bind den nu til din vault. Proxyen læser blobben og nøglen fra stdin (aldrig fra kommandolinjen, så de ikke lækker til din shell-historik). Indsæt hver fra "Før du starter", når du bliver bedt om det (nøglen ekkoes ikke), og bekræft derefter den vault-vært, den viser dig:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Hvad der lige skete: blobben blev dekrypteret lokalt med nøglen (intet netværkskald), og vault-adressen + agentidentiteten + nøglen til dekryptering af legitimationsoplysninger blev skrevet til en krypteret fil, clavitor.conf, ved siden af binærfilen (tilstand 0600). Du behøver ikke blobben eller nøglen igen. Når inputtet pipes i stedet for at blive tastet, kan værtsbekræftelsen ikke besvares, så sæt CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> først.

3. Eksporter proxyens rod-CA. Proxyen vil afslutte enhver HTTPS-forbindelse, din agent laver, og udstede et certifikat for hver opstrøms host on-the-fly. Uden at stole på dens rod-CA, ville disse certifikater fejle verifikation:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Installer CA'en i System Keychain. Én kommando, beder om din sudo-adgangskode:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Efter dette accepterer Safari, curl, Swift, Python, Go og de fleste andre HTTPS-klienter på maskinen proxyens certifikater. (Et lille antal sprog-runtimes leveres med deres egen tillidsbundt og kræver separat konfiguration — du vil se en certifikatfejl, hvis det er tilfældet.)

5. Start proxyen. Den binder til 127.0.0.1:1983 og kører i forgrunden; Ctrl-C stopper den:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

For en permanent opsætning, installer den som en launchd-agent, så den starter ved login og genstarter ved nedbrud.

6. Peg din agent mod proxyen, og verificer ende-til-ende. I en anden shell, i mappen der indeholder binærfilen (filen proxy-auth dér er proxyens adgangstoken; serve udskriver denne linje):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Hvad der faktisk forlader proxyen og når OpenAI's servere — anmodningen din agent aldrig ser:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Hvis du får et JSON-svar tilbage fra OpenAI, er alt sat op. Proxyen løste clavitor://OpenAI/key mod boksen ved hjælp af dekrypteringsnøglen til loginoplysninger fra trin 2, erstattede den rigtige nøgle i Authorization-headeren og videresendte anmodningen opstrøms. Din agentkode indeholder kun placeholderen; den rigtige nøgle forlader aldrig proxyens proceshukommelse.

Windows

Gennemgangen nedenfor bruger PowerShell og antager 64-bit Windows; erstat windows-386.exe med windows-amd64.exe, hvis du er på 32-bit.

1. Download proxyens binære fil. En enkelt, selvstændig .exe-fil, ingen afhængigheder:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen kan vise en advarsel første gang, du kører en usigneret binær fil — klik Mere info → Kør alligevel for at tillade det.

2. Binærfilen ligger på disken. Bind den nu til din vault. Proxyen læser blobben og nøglen fra stdin (aldrig fra kommandolinjen, så de ikke lækker til din PowerShell-historik). Indsæt hver fra "Før du starter", når du bliver bedt om det (nøglen ekkoes ikke), og bekræft derefter den vault-vært, den viser dig:

> .\clavitor-proxy.exe init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config C:\path\to\clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Hvad der lige skete: blobben blev dekrypteret lokalt med nøglen (intet netværkskald), og vault-adressen + agentidentiteten + nøglen til dekryptering af legitimationsoplysninger blev skrevet til en krypteret fil, clavitor.conf, ved siden af binærfilen. Du behøver ikke blobben eller nøglen igen. Når inputtet pipes i stedet for at blive tastet, kan værtsbekræftelsen ikke besvares, så sæt CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> først.

3. Eksporter proxyens rod-CA. Proxyen vil afslutte enhver HTTPS-forbindelse, din agent laver, og udstede et certifikat for hver opstrøms host on-the-fly. Uden at stole på dens rod-CA, ville disse certifikater fejle verifikation:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Installer CA'en i Local Machine Trusted Root-lageret. Åbn en forhøjet PowerShell (Højreklik på PowerShell → Kør som administrator) og kør:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Efter dette accepterer Edge, .NET, curl.exe og de fleste HTTP-klienter på maskinen proxyens certifikater. (Firefox vedligeholder sit eget tillidslager; hvis du tester gennem Firefox, skal du importere CA'en separat under Indstillinger → Privatliv & sikkerhed → Certifikater → Vis certifikater → Myndigheder → Importér.)

5. Start proxyen. Den binder til 127.0.0.1:1983 og kører i forgrunden; Ctrl-C stopper den:

> .\clavitor-proxy.exe serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at C:\path\to\proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat C:\path\to\proxy-auth)@127.0.0.1:1983"

For en permanent opsætning, registrer den som en Windows-tjeneste eller planlagt opgave, så den starter ved opstart.

6. Peg din agent mod proxyen, og verificer ende-til-ende. I et andet PowerShell-vindue, i mappen der indeholder binærfilen (filen proxy-auth dér er proxyens adgangstoken):

> $env:HTTPS_PROXY = "http://clavitor:$(Get-Content proxy-auth)@127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Brug curl.exe eksplicit — PowerShell's curl-alias peger på Invoke-WebRequest, som håndterer proxy-miljøvariablen anderledes.) Hvad der faktisk forlader proxyen og når OpenAI's servere — anmodningen din agent aldrig ser:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Hvis du får et JSON-svar tilbage fra OpenAI, er alt sat op. Proxyen løste clavitor://OpenAI/key mod boksen ved hjælp af dekrypteringsnøglen til loginoplysninger fra trin 2, erstattede den rigtige nøgle i Authorization-headeren og videresendte anmodningen opstrøms. Din agentkode indeholder kun placeholderen; den rigtige nøgle forlader aldrig proxyens proceshukommelse.

Installer Claude Code-færdigheden

CLI'en leveres med en indbygget færdighedsdefinition, der lærer Claude Code at bruge din boks. Én kommando installerer den.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Færdigheden er indlejret i den binære fil. Opdater den ved at downloade en ny udgivelse.

Brug den

Din agent kan nu hente loginoplysninger, generere TOTP-koder og gemme nye hemmeligheder. Hver adgang logges i boksens auditlog.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list