Hanki Clavitor koneellesi.

Lataa

Clavitor CLI

Single binary. Fetch credentials, generate TOTP, store new secrets. Zero dependencies.

Clavitor Proxy

HTTPS proxy that injects credentials into agent requests. WASM crypto, no CGO, zero dependencies.

Download SHA256SUMS · verify with sha256sum -c SHA256SUMS

Selainlaajennus

Haluatko mieluummin täyttää tunnistetiedot selaimessa? Clavitor-laajennus pudottaa salasanat, passkeyt, kortit ja kertakäyttöiset koodit kenttään, joka niitä todella haluaa – samalla kun holvisi pysyy etänä, ilman välimuistiin tallennettuja tai koneellasi purettuja tietoja.

Saatavilla nyt Chromeen. Firefox ja Safari pian.

Määritä agentti

Kaksi vaihetta. Alle minuutti tuoreesta CLI-asennuksesta toimivaan agentti-identiteettiin.

1. Luo agentti holviisi

Holvinne web-käyttöliittymässä valitkaa Agents → New. Nimetkää agentti (esimerkiksi "Claude Code") ja valitkaa, mihin merkintöihin sillä on pääsy. Clavitor palauttaa enrollment blob -objektin ja enrollment key -avaimen. Blob on sinetöity (se sisältää holvin osoitteen ja agentin identiteetin); avain on ainoa salaisuus, joka avaa sen. Käsiteltävä avain kuin salasana: antakaa se suoraan koneelle, jossa agentti toimii, ja hävittäkää se sen jälkeen.

2. Alusta CLI agentin koneella

$ clavitor-cli init <enrollment-blob>
Enrollment key:

CLI pyytää avainta (sitä ei koskaan anneta komentorivillä, eikä sitä kaiuteta), purkaa blobin paikallisesti ja tallentaa tuloksen salattuna paikallisena asetuksena polkuun ~/.config/clavitor/config (tai $XDG_CONFIG_HOME/clavitor/config). Blobia tai avainta ei tarvita uudelleen. Seuraava osio näyttää, miten agentti käyttää CLI:tä tästä eteenpäin.

Määritä välityspalvelin

Agentteja varten, jotka jo puhuvat HTTP/HTTPS:ää – Claude Desktop, mukautetut skriptit, kaikki requests- tai fetch-kirjastoa käyttävät. Välityspalvelin sijaitsee agentin ja ylävirran API:n välissä, ratkaisten clavitor://Entry/field -paikkamerkit verkon yli, jotta agentti ei koskaan käsittele varsinaisia tunnistetietoja. Katso välityspalvelimen arkkitehtuurisivu uhkamallia ja protokollan yksityiskohtia varten.

Käyttöopas on kirjoitettu keskustelevaan sävyyn, jotta ihminen tai tekoälyagentti voi lukea sen päästä päähän ja suorittaa sen oikealla koneella. Valitse käyttöjärjestelmäsi alta – jokainen osio on itsenäinen kuusivaiheinen toimenpide.

Ennen aloittamista: hankkikaa enrollment blob ja avain holvista

Tarvitsette holvista enrollment blobin ja sitä vastaavan enrollment key -avaimen. Tämä on ainoa osa, jonka vain ihminen voi tehdä — holvi vaatii laitteiston kosketuksen uuden agentin valtuuttamiseen.

Holvin web-käyttöliittymässä valitkaa Agents → New, nimeäkää agentti (esim. "Local Proxy"), valitkaa, mihin merkintöihin sillä on pääsy, ja koskettakaa suojausavainta kehotteen tullessa. Clavitor palauttaa enrollment blobin ja enrollment key -avaimen. Kopioikaa molemmat. Alla olevat vaiheet pyytävät liittämään kummankin kerran, minkä jälkeen ne voi unohtaa.

Linux

Alla oleva käyttöopas käyttää bashia ja olettaa, että olet x86-64-arkkitehtuurissa; korvaa arm64 amd64:llä, jos käytät aarch64-arkkitehtuuria.

1. Lataa välityspalvelimen binääri ja tee siitä suoritettava. Yksi itsenäinen binääri, ei riippuvuuksia:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Binääri on levyllä. Sitokaa se nyt holviinne. Välityspalvelin lukee blobin ja avaimen stdinistä (ei koskaan komentoriviltä, joten ne eivät vuoda komentohistoriaan). Liittäkää kumpikin kohdasta "Ennen aloittamista" kehotteen tullessa (avainta ei kaiuteta) ja vahvistakaa sitten näytetty holvin isäntä:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Mitä juuri tapahtui: blob purettiin paikallisesti avaimella (ei verkkokutsua), ja holvin osoite + agentin identiteetti + tunnisteen purkuavain kirjoitettiin salattuun tiedostoon clavitor.conf binäärin viereen (tila 0600). Blobia tai avainta ei tarvita uudelleen. Kun syöte tulee putkesta eikä näppäimistöltä, isännän vahvistukseen ei voi vastata, joten asettakaa ensin CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Vie välityspalvelimen pää-CA. Välityspalvelin lopettaa jokaisen HTTPS-yhteyden, jonka agenttisi tekee, ja antaa uuden varmenteen jokaiselle ylävirran isännälle lennossa. Ilman sen pää-CA:n luottamista nämä varmenteet epäonnistuisivat tarkistuksessa:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Asenna CA järjestelmän luottamusvarastoon. Debian/Ubuntu ja sen johdannaiset:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates tulostaa 1 added. Tästä eteenpäin jokainen HTTPS-asiakas koneella (curl, Pythonin requests, Go:n net/http jne.) hyväksyy välityspalvelimen varmenteet laillisina.

5. Käynnistä välityspalvelin. Se sitoutuu osoitteeseen 127.0.0.1:1983 ja toimii etualalla; Ctrl-C pysäyttää sen:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Pysyvää asennusta varten luo systemd-yksikkö, joka osoittaa samaan binääriin, jotta se käynnistyy uudelleen uudelleenkäynnistyksen yhteydessä – katso välityspalvelimen dokumentaatiosta malliyksikkö.

6. Ohjatkaa agentti välityspalvelimeen ja varmistakaa toiminta päästä päähän. Toisessa komentotulkissa, kansiossa jossa binääri on (tiedosto proxy-auth siellä on välityspalvelimen käyttöoikeustunnus; serve tulostaa tämän rivin):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Mitä todella lähtee välityspalvelimesta ja saavuttaa OpenAI:n palvelimet – pyyntö, jota agenttisi ei koskaan näe:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jos saat JSON-vastauksen OpenAI:lta, kaikki on kytketty. Välityspalvelin ratkaisi clavitor://OpenAI/key holvia vastaan käyttäen tunnistetietojen purkuavainta vaiheesta 2, korvasi todellisen avaimen Authorization-otsakkeeseen ja välitti pyynnön ylävirtaan. Agenttikoodisi sisältää vain paikkamerkin; todellinen avain ei koskaan poistu välityspalvelimen prosessimuistista.

macOS

Alla oleva käyttöopas käyttää zsh:ta (oletuskomentotulkki macOS:ssä) ja olettaa Apple Siliconin; korvaa amd64 arm64:llä, jos käytät Intel Macia.

1. Lataa välityspalvelimen binääri ja tee siitä suoritettava. Yksi itsenäinen binääri, ei riippuvuuksia:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Jos macOS Gatekeeper kieltäytyy suorittamasta binääriä ensimmäisellä kerralla, napsauta sitä hiiren kakkospainikkeella Finderissa, valitse Avaa ja vahvista – tämä rekisteröi poikkeuksen. Sen jälkeen komentorivikutus toimii.

2. Binääri on levyllä. Sitokaa se nyt holviinne. Välityspalvelin lukee blobin ja avaimen stdinistä (ei koskaan komentoriviltä, joten ne eivät vuoda komentohistoriaan). Liittäkää kumpikin kohdasta "Ennen aloittamista" kehotteen tullessa (avainta ei kaiuteta) ja vahvistakaa sitten näytetty holvin isäntä:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Mitä juuri tapahtui: blob purettiin paikallisesti avaimella (ei verkkokutsua), ja holvin osoite + agentin identiteetti + tunnisteen purkuavain kirjoitettiin salattuun tiedostoon clavitor.conf binäärin viereen (tila 0600). Blobia tai avainta ei tarvita uudelleen. Kun syöte tulee putkesta eikä näppäimistöltä, isännän vahvistukseen ei voi vastata, joten asettakaa ensin CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Vie välityspalvelimen pää-CA. Välityspalvelin lopettaa jokaisen HTTPS-yhteyden, jonka agenttisi tekee, ja antaa uuden varmenteen jokaiselle ylävirran isännälle lennossa. Ilman sen pää-CA:n luottamista nämä varmenteet epäonnistuisivat tarkistuksessa:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Asenna CA järjestelmän avainnippuun. Yksi komento, pyytää sudo-salasanaasi:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Tämän jälkeen Safari, curl, Swift, Python, Go ja useimmat muut HTTPS-asiakkaat koneella hyväksyvät välityspalvelimen varmenteet. (Pieni määrä kielten suoritusympäristöjä käyttää omaa luottamuspakettiaan ja vaativat erillisen määrityksen – näet silloin varmennevirheen.)

5. Käynnistä välityspalvelin. Se sitoutuu osoitteeseen 127.0.0.1:1983 ja toimii etualalla; Ctrl-C pysäyttää sen:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Pysyvää asennusta varten asenna se launchd-agentiksi, jotta se käynnistyy kirjautuessa ja käynnistyy uudelleen kaatumisen jälkeen.

6. Ohjatkaa agentti välityspalvelimeen ja varmistakaa toiminta päästä päähän. Toisessa komentotulkissa, kansiossa jossa binääri on (tiedosto proxy-auth siellä on välityspalvelimen käyttöoikeustunnus; serve tulostaa tämän rivin):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Mitä todella lähtee välityspalvelimesta ja saavuttaa OpenAI:n palvelimet – pyyntö, jota agenttisi ei koskaan näe:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jos saat JSON-vastauksen OpenAI:lta, kaikki on kytketty. Välityspalvelin ratkaisi clavitor://OpenAI/key holvia vastaan käyttäen tunnistetietojen purkuavainta vaiheesta 2, korvasi todellisen avaimen Authorization-otsakkeeseen ja välitti pyynnön ylävirtaan. Agenttikoodisi sisältää vain paikkamerkin; todellinen avain ei koskaan poistu välityspalvelimen prosessimuistista.

Windows

Alla oleva käyttöopas käyttää PowerShellia ja olettaa 64-bittisen Windowsin; korvaa windows-386.exe windows-amd64.exe:llä, jos käytät 32-bittistä.

1. Lataa välityspalvelimen binääri. Yksi itsenäinen .exe-tiedosto, ei riippuvuuksia:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen saattaa näyttää varoituksen ensimmäisellä kerralla, kun suoritat allekirjoittamattoman binäärin – napsauta Lisätietoja → Suorita silti sallimiseksi.

2. Binääri on levyllä. Sitokaa se nyt holviinne. Välityspalvelin lukee blobin ja avaimen stdinistä (ei koskaan komentoriviltä, joten ne eivät vuoda PowerShell-historiaan). Liittäkää kumpikin kohdasta "Ennen aloittamista" kehotteen tullessa (avainta ei kaiuteta) ja vahvistakaa sitten näytetty holvin isäntä:

> .\clavitor-proxy.exe init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config C:\path\to\clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Mitä juuri tapahtui: blob purettiin paikallisesti avaimella (ei verkkokutsua), ja holvin osoite + agentin identiteetti + tunnisteen purkuavain kirjoitettiin salattuun tiedostoon clavitor.conf binäärin viereen. Blobia tai avainta ei tarvita uudelleen. Kun syöte tulee putkesta eikä näppäimistöltä, isännän vahvistukseen ei voi vastata, joten asettakaa ensin CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Vie välityspalvelimen pää-CA. Välityspalvelin lopettaa jokaisen HTTPS-yhteyden, jonka agenttisi tekee, ja antaa uuden varmenteen jokaiselle ylävirran isännälle lennossa. Ilman sen pää-CA:n luottamista nämä varmenteet epäonnistuisivat tarkistuksessa:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Asenna CA paikallisen koneen luotettujen juurivarmenteiden tallennuspaikkaan. Avaa korotettu PowerShell (Napsauta PowerShell hiiren kakkospainikkeella → Suorita järjestelmänvalvojana) ja suorita:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Tämän jälkeen Edge, .NET, curl.exe ja useimmat HTTP-asiakkaat koneella hyväksyvät välityspalvelimen varmenteet. (Firefox ylläpitää omaa luottamusvarastoaan; jos testaat Firefoxin kautta, tuo CA erikseen kohdasta Asetukset → Tietosuoja ja turvallisuus → Varmenteet → Näytä varmenteet → Välittäjät → Tuo.)

5. Käynnistä välityspalvelin. Se sitoutuu osoitteeseen 127.0.0.1:1983 ja toimii etualalla; Ctrl-C pysäyttää sen:

> .\clavitor-proxy.exe serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at C:\path\to\proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat C:\path\to\proxy-auth)@127.0.0.1:1983"

Pysyvää asennusta varten rekisteröi se Windows-palveluksi tai ajoitetuksi tehtäväksi, jotta se käynnistyy käynnistyksen yhteydessä.

6. Ohjatkaa agentti välityspalvelimeen ja varmistakaa toiminta päästä päähän. Toisessa PowerShell-ikkunassa, kansiossa jossa binääri on (tiedosto proxy-auth siellä on välityspalvelimen käyttöoikeustunnus):

> $env:HTTPS_PROXY = "http://clavitor:$(Get-Content proxy-auth)@127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Käytä curl.exe:ä nimenomaisesti – PowerShellin curl-alias osoittaa Invoke-WebRequestiin, joka käsittelee välityspalvelimen ympäristömuuttujaa eri tavalla.) Mitä todella lähtee välityspalvelimesta ja saavuttaa OpenAI:n palvelimet – pyyntö, jota agenttisi ei koskaan näe:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jos saat JSON-vastauksen OpenAI:lta, kaikki on kytketty. Välityspalvelin ratkaisi clavitor://OpenAI/key holvia vastaan käyttäen tunnistetietojen purkuavainta vaiheesta 2, korvasi todellisen avaimen Authorization-otsakkeeseen ja välitti pyynnön ylävirtaan. Agenttikoodisi sisältää vain paikkamerkin; todellinen avain ei koskaan poistu välityspalvelimen prosessimuistista.

Asenna Claude Code -taito

CLI:ssä on sisäänrakennettu taitomääritys, joka opettaa Claude Codelle, kuinka käyttää holviasi. Yksi komento asentaa sen.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Taito on upotettu binääriin. Päivitä se lataamalla uusi julkaisu.

Käytä sitä

Agenttisi voi nyt hakea tunnistetietoja, luoda TOTP-koodeja ja tallentaa uusia salaisuuksia. Jokainen käyttö kirjataan holvin auditlokiin.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list