डाउनलोड
अपनी मशीन पर Clavitor प्राप्त करें।
CLI आपके एजेंट को आपके वॉल्ट तक परिधिबद्ध एक्सेस देता है। प्रॉक्सी पारदर्शी रूप से HTTPS अनुरोधों में क्रेडेंशियल इंजेक्ट करता है। दोनों ही ज़ीरो डिपेंडेंसी वाले सिंगल बाइनरी हैं।
डाउनलोड
Clavitor CLI
Single binary. Fetch credentials, generate TOTP, store new secrets. Zero dependencies.
| Platform | Size | SHA-256 | |
|---|---|---|---|
| Linux · amd64 | 1.7 MB | b81465759ca1f82c… | Download |
| Linux · arm64 | 1.3 MB | d3cb5af3fd9c736c… | Download |
| macOS · Intel | 1.4 MB | 97f82d5a3b060d38… | Download |
| macOS · Apple Silicon | 1.2 MB | 23c9beac8fd4dfe0… | Download |
| Windows · amd64 | 1.5 MB | 25d69ebd9e8cebcd… | Download |
| Windows · 386 | 1.2 MB | a1873dc576cc479f… | Download |
| FreeBSD · amd64 | 1.5 MB | 89750dcf6e59f8f1… | Download |
Clavitor Proxy
HTTPS proxy that injects credentials into agent requests. WASM crypto, no CGO, zero dependencies.
| Platform | Size | SHA-256 | |
|---|---|---|---|
| Linux · amd64 | 2.6 MB | 10681c485f405342… | Download |
| Linux · arm64 | 2.1 MB | 467b03d5dd006420… | Download |
| macOS · Intel | 2.1 MB | 289d74cdf2e4ed5f… | Download |
| macOS · Apple Silicon | 1.7 MB | 950baa470ce40ff3… | Download |
| Windows · amd64 | 2.2 MB | 4d39567efd100a4b… | Download |
| Windows · 386 | 1.8 MB | fa3cae1a442e140e… | Download |
| FreeBSD · amd64 | 2.4 MB | ee870cc2c717bd7c… | Download |
Download SHA256SUMS · verify with sha256sum -c SHA256SUMS
ब्राउज़र एक्सटेंशन
ब्राउज़र में क्रेडेंशियल भरना पसंद करते हैं? Clavitor एक्सटेंशन पासवर्ड, पासकी, कार्ड और वन-टाइम कोड को सीधे उस फ़ील्ड में डाल देता है जहाँ वास्तव में इनकी ज़रूरत होती है — जबकि आपका वॉल्ट रिमोट रहता है, और आपकी मशीन पर कुछ भी कैश या डिक्रिप्ट नहीं होता।
अब Chrome के लिए उपलब्ध। Firefox और Safari जल्द आ रहे हैं।
एजेंट सेट अप करें
दो चरण। नए CLI इंस्टॉल से लेकर काम करने वाली एजेंट पहचान तक, एक मिनट से भी कम समय।
1. अपने वॉल्ट में एजेंट बनाएं
अपने वॉल्ट के वेब UI में एजेंट → नया पर जाएँ। एजेंट को नाम दें (उदाहरण के लिए, "Claude Code") और चुनें कि वह किन प्रविष्टियों तक पहुँच सकता है। Clavitor एक नामांकन ब्लॉब और एक नामांकन कुंजी लौटाता है। ब्लॉब सीलबंद है (यह वॉल्ट का पता और एजेंट की पहचान एन्कोड करता है); कुंजी ही एकमात्र रहस्य है जो उसे खोलती है। कुंजी को पासवर्ड की तरह सँभालें: उसे सीधे उस मशीन को सौंपें जहाँ एजेंट चलता है, फिर त्याग दें।
2. एजेंट की मशीन पर CLI इनिशियलाइज़ करें
$ clavitor-cli init <enrollment-blob> Enrollment key:
CLI कुंजी माँगता है (कुंजी कमांड लाइन पर कभी नहीं ली जाती, और इको नहीं होती), ब्लॉब को स्थानीय रूप से डिक्रिप्ट करता है, और परिणाम को ~/.config/clavitor/config (या $XDG_CONFIG_HOME/clavitor/config) में एन्क्रिप्टेड स्थानीय कॉन्फ़िग के रूप में सहेजता है। आपको ब्लॉब या कुंजी दोबारा नहीं चाहिए। अगला अनुभाग दिखाता है कि यहाँ से आगे एजेंट CLI का उपयोग कैसे करता है।
प्रॉक्सी सेट अप करें
उन एजेंट के लिए जो पहले से HTTP/HTTPS बोलते हैं — Claude Desktop, कस्टम स्क्रिप्ट, requests या fetch का उपयोग करने वाला कुछ भी। प्रॉक्सी एजेंट और अपस्ट्रीम API के बीच बैठता है, और वायर पर clavitor://Entry/field प्लेसहोल्डर को रिज़ॉल्व करता है ताकि एजेंट के पास कभी भी वास्तविक क्रेडेंशियल न हो। थ्रेट मॉडल और प्रोटोकॉल विवरण के लिए प्रॉक्सी आर्किटेक्चर पेज देखें।
वॉकथ्रू को बातचीत के अंदाज़ में लिखा गया है ताकि कोई इंसान या AI एजेंट इसे ऊपर से नीचे तक पढ़ सके और इसे वास्तविक मशीन पर निष्पादित कर सके। नीचे अपना OS चुनें — प्रत्येक सेक्शन एक स्व-संपूर्ण छह-चरणीय प्रक्रिया है।
शुरू करने से पहले: वॉल्ट से नामांकन ब्लॉब और कुंजी प्राप्त करें
आपको अपने वॉल्ट से एक नामांकन ब्लॉब और उसकी नामांकन कुंजी चाहिए। यह एकमात्र हिस्सा है जो केवल मनुष्य कर सकता है — नए एजेंट को अधिकृत करने के लिए वॉल्ट हार्डवेयर टैप माँगता है।
वॉल्ट के वेब UI में एजेंट → नया पर जाएँ, एजेंट को नाम दें (उदाहरण के लिए, "स्थानीय प्रॉक्सी"), चुनें कि वह किन प्रविष्टियों तक पहुँच सकता है, और पूछे जाने पर अपनी सुरक्षा कुंजी टैप करें। Clavitor एक नामांकन ब्लॉब और एक नामांकन कुंजी लौटाता है। दोनों की प्रतिलिपि लें। नीचे के चरण आपसे प्रत्येक को एक बार चिपकाने और फिर भूल जाने को कहते हैं।
Linux
नीचे दिया गया वॉकथ्रू bash का उपयोग करता है और मानता है कि आप x86-64 पर हैं; यदि आप aarch64 पर हैं तो amd64 की जगह arm64 प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें और इसे एक्ज़ीक्यूटेबल बनाएं। एक सिंगल सेल्फ-कंटेन्ड बाइनरी, कोई डिपेंडेंसी नहीं:
$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64 $ chmod +x clavitor-proxy-linux-amd64
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाँधें। प्रॉक्सी ब्लॉब और कुंजी stdin से पढ़ता है (कमांड लाइन से कभी नहीं, ताकि वे आपके शेल इतिहास में लीक न हों)। पूछे जाने पर "शुरू करने से पहले" से प्रत्येक को चिपकाएँ (कुंजी इको नहीं होती), फिर यह जो वॉल्ट होस्ट दिखाए, उसकी पुष्टि करें:
$ ./clavitor-proxy-linux-amd64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>
This token enrolls the agent against vault:
<vault-host>
Your key authenticated the blob — NOT this host. If you did not get
this blob from your own vault operator, answering yes hands your
agent's credential resolution to whoever did.
Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem then clavitor-proxy serveअभी क्या हुआ: ब्लॉब को कुंजी से स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), और वॉल्ट का पता + एजेंट की पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी बाइनरी के बगल में एन्क्रिप्टेड फ़ाइल clavitor.conf में लिख दिए गए (मोड 0600)। आपको ब्लॉब या कुंजी दोबारा नहीं चाहिए। जब इनपुट टाइप करने के बजाय पाइप किया जाए, तो होस्ट की पुष्टि का उत्तर नहीं दिया जा सकता, इसलिए पहले CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> सेट करें।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem
4. CA को सिस्टम ट्रस्ट स्टोर में इंस्टॉल करें। Debian/Ubuntu और इसके डेरिवेटिव पर:
$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt $ sudo update-ca-certificates
update-ca-certificates को 1 added प्रिंट करना चाहिए। इसके बाद से, मशीन पर हर HTTPS क्लाइंट (curl, Python का requests, Go का net/http, आदि) प्रॉक्सी के सर्टिफिकेट को वैध के रूप में स्वीकार करता है।
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
$ ./clavitor-proxy-linux-amd64 serve clavitor-proxy <version> listening on 127.0.0.1:1983 Point your agent at: HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983 Token redacted above; it is stored 0600 at /path/to/proxy-auth. e.g. export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"
स्थायी सेटअप के लिए, उसी बाइनरी की ओर इशारा करते हुए एक systemd यूनिट डालें ताकि यह रीबूट पर पुनः प्रारंभ हो — संदर्भ यूनिट के लिए प्रॉक्सी डॉक्स देखें।
6. अपने एजेंट को प्रॉक्सी पर निर्देशित करें और अंत-से-अंत सत्यापित करें। दूसरे शेल में, उस फ़ोल्डर में जहाँ बाइनरी है (वहाँ फ़ाइल proxy-auth प्रॉक्सी का पहुँच टोकन है; serve यह पंक्ति छापता है):
$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983" $ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models
वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
macOS
नीचे दिया गया वॉकथ्रू zsh (macOS पर डिफ़ॉल्ट शेल) का उपयोग करता है और Apple Silicon मानता है; यदि आप Intel Mac पर हैं तो arm64 की जगह amd64 प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें और इसे एक्ज़ीक्यूटेबल बनाएं। एक सिंगल सेल्फ-कंटेन्ड बाइनरी, कोई डिपेंडेंसी नहीं:
$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64 $ chmod +x clavitor-proxy-darwin-arm64
यदि macOS Gatekeeper पहली बार बाइनरी चलाने से मना करता है, तो Finder में इस पर राइट-क्लिक करें, Open चुनें, और पुष्टि करें — यह अपवाद को पंजीकृत करता है। इसके बाद कमांड-लाइन इनवोकेशन काम करता है।
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाँधें। प्रॉक्सी ब्लॉब और कुंजी stdin से पढ़ता है (कमांड लाइन से कभी नहीं, ताकि वे आपके शेल इतिहास में लीक न हों)। पूछे जाने पर "शुरू करने से पहले" से प्रत्येक को चिपकाएँ (कुंजी इको नहीं होती), फिर यह जो वॉल्ट होस्ट दिखाए, उसकी पुष्टि करें:
$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>
This token enrolls the agent against vault:
<vault-host>
Your key authenticated the blob — NOT this host. If you did not get
this blob from your own vault operator, answering yes hands your
agent's credential resolution to whoever did.
Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem then clavitor-proxy serveअभी क्या हुआ: ब्लॉब को कुंजी से स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), और वॉल्ट का पता + एजेंट की पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी बाइनरी के बगल में एन्क्रिप्टेड फ़ाइल clavitor.conf में लिख दिए गए (मोड 0600)। आपको ब्लॉब या कुंजी दोबारा नहीं चाहिए। जब इनपुट टाइप करने के बजाय पाइप किया जाए, तो होस्ट की पुष्टि का उत्तर नहीं दिया जा सकता, इसलिए पहले CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> सेट करें।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem
4. CA को सिस्टम कीचेन में इंस्टॉल करें। एक कमांड, आपके sudo पासवर्ड के लिए पूछता है:
$ sudo security add-trusted-cert -d -r trustRoot \
-k /Library/Keychains/System.keychain clavitor-proxy-ca.pemइसके बाद, Safari, curl, Swift, Python, Go, और मशीन पर अधिकांश अन्य HTTPS क्लाइंट प्रॉक्सी के सर्टिफिकेट स्वीकार करते हैं। (कुछ भाषा रनटाइम अपना ट्रस्ट बंडल लाते हैं और उन्हें अलग कॉन्फ़िगरेशन की आवश्यकता होती है — यदि ऐसा है तो आपको एक सर्ट त्रुटि दिखाई देगी।)
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
$ ./clavitor-proxy-darwin-arm64 serve clavitor-proxy <version> listening on 127.0.0.1:1983 Point your agent at: HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983 Token redacted above; it is stored 0600 at /path/to/proxy-auth. e.g. export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"
स्थायी सेटअप के लिए, इसे launchd एजेंट के रूप में इंस्टॉल करें ताकि यह लॉगिन पर शुरू हो और क्रैश होने पर पुनः प्रारंभ हो।
6. अपने एजेंट को प्रॉक्सी पर निर्देशित करें और अंत-से-अंत सत्यापित करें। दूसरे शेल में, उस फ़ोल्डर में जहाँ बाइनरी है (वहाँ फ़ाइल proxy-auth प्रॉक्सी का पहुँच टोकन है; serve यह पंक्ति छापता है):
$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983" $ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models
वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
Windows
नीचे दिया गया वॉकथ्रू PowerShell का उपयोग करता है और 64-बिट Windows मानता है; यदि आप 32-बिट पर हैं तो windows-amd64.exe की जगह windows-386.exe प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें। एक सिंगल सेल्फ-कंटेन्ड .exe, कोई डिपेंडेंसी नहीं:
> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
-OutFile clavitor-proxy.exeजब आप पहली बार कोई अहस्ताक्षरित बाइनरी चलाते हैं तो Windows SmartScreen एक चेतावनी दिखा सकता है — इसे अनुमति देने के लिए More info → Run anyway पर क्लिक करें।
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाँधें। प्रॉक्सी ब्लॉब और कुंजी stdin से पढ़ता है (कमांड लाइन से कभी नहीं, ताकि वे आपके PowerShell इतिहास में लीक न हों)। पूछे जाने पर "शुरू करने से पहले" से प्रत्येक को चिपकाएँ (कुंजी इको नहीं होती), फिर यह जो वॉल्ट होस्ट दिखाए, उसकी पुष्टि करें:
> .\clavitor-proxy.exe init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>
This token enrolls the agent against vault:
<vault-host>
Your key authenticated the blob — NOT this host. If you did not get
this blob from your own vault operator, answering yes hands your
agent's credential resolution to whoever did.
Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config C:\path\to\clavitor.conf
Try: clavitor-proxy ca > ca.pem then clavitor-proxy serveअभी क्या हुआ: ब्लॉब को कुंजी से स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), और वॉल्ट का पता + एजेंट की पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी बाइनरी के बगल में एन्क्रिप्टेड फ़ाइल clavitor.conf में लिख दिए गए। आपको ब्लॉब या कुंजी दोबारा नहीं चाहिए। जब इनपुट टाइप करने के बजाय पाइप किया जाए, तो होस्ट की पुष्टि का उत्तर नहीं दिया जा सकता, इसलिए पहले CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> सेट करें।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem
4. CA को लोकल मशीन ट्रस्टेड रूट स्टोर में इंस्टॉल करें। एक एलिवेटेड PowerShell खोलें (PowerShell पर राइट-क्लिक करें → Run as Administrator) और चलाएं:
> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem
इसके बाद, Edge, .NET, curl.exe, और मशीन पर अधिकांश HTTP क्लाइंट प्रॉक्सी के सर्टिफिकेट स्वीकार करते हैं। (Firefox अपना ट्रस्ट स्टोर बनाए रखता है; यदि आप Firefox के माध्यम से परीक्षण कर रहे हैं, तो Settings → Privacy & Security → Certificates → View Certificates → Authorities → Import के अंतर्गत CA को अलग से इम्पोर्ट करें।)
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
> .\clavitor-proxy.exe serve clavitor-proxy <version> listening on 127.0.0.1:1983 Point your agent at: HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983 Token redacted above; it is stored 0600 at C:\path\to\proxy-auth. e.g. export HTTPS_PROXY="http://clavitor:$(cat C:\path\to\proxy-auth)@127.0.0.1:1983"
स्थायी सेटअप के लिए, इसे Windows सेवा या शेड्यूल किए गए कार्य के रूप में पंजीकृत करें ताकि यह बूट पर शुरू हो।
6. अपने एजेंट को प्रॉक्सी पर निर्देशित करें और अंत-से-अंत सत्यापित करें। दूसरी PowerShell विंडो में, उस फ़ोल्डर में जहाँ बाइनरी है (वहाँ फ़ाइल proxy-auth प्रॉक्सी का पहुँच टोकन है):
> $env:HTTPS_PROXY = "http://clavitor:$(Get-Content proxy-auth)@127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
https://api.openai.com/v1/models(curl.exe का स्पष्ट रूप से उपयोग करें — PowerShell का curl उपनाम Invoke-WebRequest की ओर इशारा करता है, जो प्रॉक्सी एनवायरनमेंट वेरिएबल को अलग तरीके से हैंडल करता है।) वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
Claude Code स्किल इंस्टॉल करें
CLI एक बिल्ट-इन स्किल परिभाषा के साथ आता है जो Claude Code को सिखाती है कि आपके वॉल्ट का उपयोग कैसे करें। एक कमांड इसे इंस्टॉल करती है।
# Install globally (all projects) $ clavitor-cli skill > ~/.claude/skills/clavitor.md # Or install for a specific project $ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md
स्किल बाइनरी में एम्बेडेड है। नई रिलीज़ डाउनलोड करके इसे अपडेट करें।
इसका उपयोग करें
आपका एजेंट अब क्रेडेंशियल फ़ेच कर सकता है, TOTP कोड जनरेट कर सकता है, और नए सीक्रेट स्टोर कर सकता है। हर एक्सेस वॉल्ट के ऑडिट लॉग में दर्ज किया जाता है।
# Fetch a credential $ clavitor-cli get github # Generate a TOTP code $ clavitor-cli totp github # Store a new credential $ clavitor-cli put credential "AWS Prod" --username admin --password s3cret # List all entries $ clavitor-cli list
एक CLI कॉल। हर सीक्रेट।
आपका वॉल्ट, आपकी परिधिबद्धताएँ, आपका ऑडिट लॉग। कोई env vars नहीं, कोई कॉन्फ़िग फ़ाइलें नहीं, लॉग में कोई सीक्रेट नहीं।