डाउनलोड
अपनी मशीन पर Clavitor प्राप्त करें।
CLI आपके एजेंट को आपके वॉल्ट तक स्कोप्ड एक्सेस देता है। प्रॉक्सी पारदर्शी रूप से HTTPS अनुरोधों में क्रेडेंशियल इंजेक्ट करता है। दोनों ही ज़ीरो डिपेंडेंसी वाले सिंगल बाइनरी हैं।
डाउनलोड
No binaries published yet. Run make publish-dev in clavitor-cli and clavitor-proxy to populate this page locally.
ब्राउज़र एक्सटेंशन
ब्राउज़र में क्रेडेंशियल भरना पसंद करते हैं? Clavitor एक्सटेंशन पासवर्ड, पासकी, कार्ड और वन-टाइम कोड को सीधे उस फ़ील्ड में डाल देता है जहाँ वास्तव में इनकी ज़रूरत होती है — जबकि आपका वॉल्ट रिमोट रहता है, और आपकी मशीन पर कुछ भी कैश या डिक्रिप्ट नहीं होता।
अब Chrome के लिए उपलब्ध। Firefox और Safari जल्द आ रहे हैं।
एजेंट सेट अप करें
दो चरण। नए CLI इंस्टॉल से लेकर काम करने वाली एजेंट पहचान तक, एक मिनट से भी कम समय।
1. अपने वॉल्ट में एजेंट बनाएं
अपने वॉल्ट के वेब UI में, Agents → New पर जाएं। एजेंट को नाम दें (उदाहरण के लिए, "Claude Code") और चुनें कि यह किन एंट्री तक पहुंच सकता है। Clavitor एक सेटअप टोकन लौटाता है — एक सिंगल स्ट्रिंग जो वॉल्ट पते, एजेंट पहचान और इसे आवश्यक एन्क्रिप्शन कुंजी को एन्कोड करती है।
टोकन सिंगल-यूज़ और अल्पकालिक होता है (डिफ़ॉल्ट रूप से 15 मिनट)। इसे पासवर्ड की तरह समझें: इसे सीधे उस मशीन को दें जहां एजेंट चलता है, फिर इसे हटा दें।
2. एजेंट की मशीन पर CLI इनिशियलाइज़ करें
$ clavitor-cli init <setup-token>
टोकन डिकोड किया जाता है और एन्क्रिप्टेड लोकल कॉन्फ़िग के रूप में सेव किया जाता है (~/.config/clavitor/agent.clv डिफ़ॉल्ट रूप से — फ़ाइल परमिशन 0600)। मूल टोकन उपयोग किया जा चुका होता है और इसे दोबारा इस्तेमाल नहीं किया जा सकता। अगला सेक्शन दिखाता है कि एजेंट इसके बाद CLI का उपयोग कैसे करता है।
प्रॉक्सी सेट अप करें
उन एजेंट के लिए जो पहले से HTTP/HTTPS बोलते हैं — Claude Desktop, कस्टम स्क्रिप्ट, requests या fetch का उपयोग करने वाला कुछ भी। प्रॉक्सी एजेंट और अपस्ट्रीम API के बीच बैठता है, और वायर पर clavitor://Entry/field प्लेसहोल्डर को रिज़ॉल्व करता है ताकि एजेंट के पास कभी भी वास्तविक क्रेडेंशियल न हो। थ्रेट मॉडल और प्रोटोकॉल विवरण के लिए प्रॉक्सी आर्किटेक्चर पेज देखें।
वॉकथ्रू को बातचीत के अंदाज़ में लिखा गया है ताकि कोई इंसान या AI एजेंट इसे ऊपर से नीचे तक पढ़ सके और इसे वास्तविक मशीन पर निष्पादित कर सके। नीचे अपना OS चुनें — प्रत्येक सेक्शन एक स्व-संपूर्ण छह-चरणीय प्रक्रिया है।
शुरू करने से पहले: वॉल्ट से एक सेटअप टोकन प्राप्त करें
आपको अपने वॉल्ट से एक सेटअप टोकन चाहिए। यह वह एकमात्र हिस्सा है जो केवल एक इंसान कर सकता है — वॉल्ट को नए एजेंट को अधिकृत करने के लिए हार्डवेयर कुंजी के टैप की आवश्यकता होती है।
वॉल्ट के वेब UI में, Agents → New पर जाएं, एजेंट को नाम दें (उदा. "Local Proxy"), चुनें कि यह किन एंट्री तक पहुंच सकता है, और संकेत मिलने पर अपनी हार्डवेयर कुंजी टैप करें। Clavitor 15-मिनट TTL के साथ एक सिंगल-यूज़ सेटअप टोकन लौटाता है। इसे कॉपी करें। नीचे दिए गए बाकी चरणों में आपको इसे एक बार पेस्ट करने और फिर इसके बारे में भूल जाने के लिए कहा जाएगा।
Linux
नीचे दिया गया वॉकथ्रू bash का उपयोग करता है और मानता है कि आप x86-64 पर हैं; यदि आप aarch64 पर हैं तो amd64 की जगह arm64 प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें और इसे एक्ज़ीक्यूटेबल बनाएं। एक सिंगल सेल्फ-कंटेन्ड बाइनरी, कोई डिपेंडेंसी नहीं:
$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64 $ chmod +x clavitor-proxy-linux-amd64
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाइंड करें। प्रॉक्सी सेटअप टोकन को stdin से पढ़ता है (कभी भी कमांड लाइन से नहीं, ताकि यह आपकी शेल हिस्ट्री में लीक न हो)। संकेत मिलने पर "शुरू करने से पहले" वाला टोकन पेस्ट करें:
$ ./clavitor-proxy-linux-amd64 init Paste enrollment token, then press Enter: <paste-the-token-here> ✓ Authenticated.
अभी क्या हुआ: टोकन को स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), वॉल्ट पता + एजेंट पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी को ~/.config/clavitor-proxy/agent.clv (मोड 0600) पर एक एन्क्रिप्टेड साइडकार में लिखा गया, और टोकन स्वयं अब उपयोग किया जा चुका है। आपको इसकी दोबारा ज़रूरत नहीं है।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem
4. CA को सिस्टम ट्रस्ट स्टोर में इंस्टॉल करें। Debian/Ubuntu और इसके डेरिवेटिव पर:
$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt $ sudo update-ca-certificates
update-ca-certificates को 1 added प्रिंट करना चाहिए। इसके बाद से, मशीन पर हर HTTPS क्लाइंट (curl, Python का requests, Go का net/http, आदि) प्रॉक्सी के सर्टिफिकेट को वैध के रूप में स्वीकार करता है।
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
$ ./clavitor-proxy-linux-amd64 serve clavitor-proxy listening on 127.0.0.1:1983
स्थायी सेटअप के लिए, उसी बाइनरी की ओर इशारा करते हुए एक systemd यूनिट डालें ताकि यह रीबूट पर पुनः प्रारंभ हो — संदर्भ यूनिट के लिए प्रॉक्सी डॉक्स देखें।
6. अपने एजेंट को प्रॉक्सी की ओर पॉइंट करें और एंड-टू-एंड सत्यापित करें। दूसरी शेल में:
$ export HTTPS_PROXY=http://127.0.0.1:1983 $ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models
वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
macOS
नीचे दिया गया वॉकथ्रू zsh (macOS पर डिफ़ॉल्ट शेल) का उपयोग करता है और Apple Silicon मानता है; यदि आप Intel Mac पर हैं तो arm64 की जगह amd64 प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें और इसे एक्ज़ीक्यूटेबल बनाएं। एक सिंगल सेल्फ-कंटेन्ड बाइनरी, कोई डिपेंडेंसी नहीं:
$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64 $ chmod +x clavitor-proxy-darwin-arm64
यदि macOS Gatekeeper पहली बार बाइनरी चलाने से मना करता है, तो Finder में इस पर राइट-क्लिक करें, Open चुनें, और पुष्टि करें — यह अपवाद को पंजीकृत करता है। इसके बाद कमांड-लाइन इनवोकेशन काम करता है।
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाइंड करें। प्रॉक्सी सेटअप टोकन को stdin से पढ़ता है (कभी भी कमांड लाइन से नहीं, ताकि यह आपकी शेल हिस्ट्री में लीक न हो)। संकेत मिलने पर "शुरू करने से पहले" वाला टोकन पेस्ट करें:
$ ./clavitor-proxy-darwin-arm64 init Paste enrollment token, then press Enter: <paste-the-token-here> ✓ Authenticated.
अभी क्या हुआ: टोकन को स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), वॉल्ट पता + एजेंट पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी को ~/.config/clavitor-proxy/agent.clv (मोड 0600) पर एक एन्क्रिप्टेड साइडकार में लिखा गया, और टोकन स्वयं अब उपयोग किया जा चुका है। आपको इसकी दोबारा ज़रूरत नहीं है।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem
4. CA को सिस्टम कीचेन में इंस्टॉल करें। एक कमांड, आपके sudo पासवर्ड के लिए पूछता है:
$ sudo security add-trusted-cert -d -r trustRoot \
-k /Library/Keychains/System.keychain clavitor-proxy-ca.pemइसके बाद, Safari, curl, Swift, Python, Go, और मशीन पर अधिकांश अन्य HTTPS क्लाइंट प्रॉक्सी के सर्टिफिकेट स्वीकार करते हैं। (कुछ भाषा रनटाइम अपना ट्रस्ट बंडल लाते हैं और उन्हें अलग कॉन्फ़िगरेशन की आवश्यकता होती है — यदि ऐसा है तो आपको एक सर्ट त्रुटि दिखाई देगी।)
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
$ ./clavitor-proxy-darwin-arm64 serve clavitor-proxy listening on 127.0.0.1:1983
स्थायी सेटअप के लिए, इसे launchd एजेंट के रूप में इंस्टॉल करें ताकि यह लॉगिन पर शुरू हो और क्रैश होने पर पुनः प्रारंभ हो।
6. अपने एजेंट को प्रॉक्सी की ओर पॉइंट करें और एंड-टू-एंड सत्यापित करें। दूसरी शेल में:
$ export HTTPS_PROXY=http://127.0.0.1:1983 $ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models
वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
Windows
नीचे दिया गया वॉकथ्रू PowerShell का उपयोग करता है और 64-बिट Windows मानता है; यदि आप 32-बिट पर हैं तो windows-amd64.exe की जगह windows-386.exe प्रतिस्थापित करें।
1. प्रॉक्सी बाइनरी डाउनलोड करें। एक सिंगल सेल्फ-कंटेन्ड .exe, कोई डिपेंडेंसी नहीं:
> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
-OutFile clavitor-proxy.exeजब आप पहली बार कोई अहस्ताक्षरित बाइनरी चलाते हैं तो Windows SmartScreen एक चेतावनी दिखा सकता है — इसे अनुमति देने के लिए More info → Run anyway पर क्लिक करें।
2. बाइनरी डिस्क पर है। अब इसे अपने वॉल्ट से बाइंड करें। प्रॉक्सी सेटअप टोकन को stdin से पढ़ता है (कभी भी कमांड लाइन से नहीं, ताकि यह आपकी PowerShell हिस्ट्री में लीक न हो)। संकेत मिलने पर "शुरू करने से पहले" वाला टोकन पेस्ट करें:
> .\clavitor-proxy.exe init Paste enrollment token, then press Enter: <paste-the-token-here> ✓ Authenticated.
अभी क्या हुआ: टोकन को स्थानीय रूप से डिक्रिप्ट किया गया (कोई नेटवर्क कॉल नहीं), वॉल्ट पता + एजेंट पहचान + क्रेडेंशियल-डिक्रिप्शन कुंजी को %APPDATA%\clavitor-proxy\agent.clv पर एक एन्क्रिप्टेड साइडकार में लिखा गया, और टोकन स्वयं अब उपयोग किया जा चुका है। आपको इसकी दोबारा ज़रूरत नहीं है।
3. प्रॉक्सी के रूट CA को एक्सपोर्ट करें। प्रॉक्सी आपके एजेंट द्वारा किए जाने वाले हर HTTPS कनेक्शन को टर्मिनेट करने वाला है और प्रत्येक अपस्ट्रीम होस्ट के लिए ऑन द फ्लाई एक सर्टिफिकेट फिर से जारी करने वाला है। इसके रूट CA पर भरोसा किए बिना, वे सर्टिफिकेट सत्यापन में विफल हो जाएंगे:
> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem
4. CA को लोकल मशीन ट्रस्टेड रूट स्टोर में इंस्टॉल करें। एक एलिवेटेड PowerShell खोलें (PowerShell पर राइट-क्लिक करें → Run as Administrator) और चलाएं:
> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem
इसके बाद, Edge, .NET, curl.exe, और मशीन पर अधिकांश HTTP क्लाइंट प्रॉक्सी के सर्टिफिकेट स्वीकार करते हैं। (Firefox अपना ट्रस्ट स्टोर बनाए रखता है; यदि आप Firefox के माध्यम से परीक्षण कर रहे हैं, तो Settings → Privacy & Security → Certificates → View Certificates → Authorities → Import के अंतर्गत CA को अलग से इम्पोर्ट करें।)
5. प्रॉक्सी शुरू करें। यह 127.0.0.1:1983 से बाइंड होता है और फोरग्राउंड में चलता है; Ctrl-C इसे रोक देता है:
> .\clavitor-proxy.exe serve clavitor-proxy listening on 127.0.0.1:1983
स्थायी सेटअप के लिए, इसे Windows सेवा या शेड्यूल किए गए कार्य के रूप में पंजीकृत करें ताकि यह बूट पर शुरू हो।
6. अपने एजेंट को प्रॉक्सी की ओर पॉइंट करें और एंड-टू-एंड सत्यापित करें। दूसरी PowerShell विंडो में:
> $env:HTTPS_PROXY = "http://127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
https://api.openai.com/v1/models(curl.exe का स्पष्ट रूप से उपयोग करें — PowerShell का curl उपनाम Invoke-WebRequest की ओर इशारा करता है, जो प्रॉक्सी एनवायरनमेंट वेरिएबल को अलग तरीके से हैंडल करता है।) वास्तव में क्या प्रॉक्सी से निकलता है और OpenAI के सर्वर तक पहुंचता है — वह अनुरोध जो आपका एजेंट कभी नहीं देखता:
GET /v1/models HTTP/1.1 Host: api.openai.com Authorization: Bearer sk-proj-abc123def456ghi789… ← real key, injected by the proxy User-Agent: curl/8.4.0
यदि आपको OpenAI से JSON प्रतिक्रिया वापस मिलती है, तो सब कुछ वायर अप है। प्रॉक्सी ने चरण 2 की क्रेडेंशियल-डिक्रिप्शन कुंजी का उपयोग करके वॉल्ट के विरुद्ध clavitor://OpenAI/key को रिज़ॉल्व किया, वास्तविक कुंजी को Authorization हेडर में प्रतिस्थापित किया, और अनुरोध को अपस्ट्रीम पर फ़ॉरवर्ड किया। आपका एजेंट कोड केवल प्लेसहोल्डर रखता है; वास्तविक कुंजी कभी भी प्रॉक्सी की प्रोसेस मेमोरी से बाहर नहीं जाती।
Claude Code स्किल इंस्टॉल करें
CLI एक बिल्ट-इन स्किल परिभाषा के साथ आता है जो Claude Code को सिखाती है कि आपके वॉल्ट का उपयोग कैसे करें। एक कमांड इसे इंस्टॉल करती है।
# Install globally (all projects) $ clavitor-cli skill > ~/.claude/skills/clavitor.md # Or install for a specific project $ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md
स्किल बाइनरी में एम्बेडेड है। नई रिलीज़ डाउनलोड करके इसे अपडेट करें।
इसका उपयोग करें
आपका एजेंट अब क्रेडेंशियल फ़ेच कर सकता है, TOTP कोड जनरेट कर सकता है, और नए सीक्रेट स्टोर कर सकता है। हर एक्सेस वॉल्ट के ऑडिट लॉग में दर्ज किया जाता है।
# Fetch a credential $ clavitor-cli get github # Generate a TOTP code $ clavitor-cli totp github # Store a new credential $ clavitor-cli put credential "AWS Prod" --username admin --password s3cret # List all entries $ clavitor-cli list
एक CLI कॉल। हर सीक्रेट।
आपका वॉल्ट, आपके स्कोप्स, आपका ऑडिट लॉग। कोई env vars नहीं, कोई कॉन्फ़िग फ़ाइलें नहीं, लॉग में कोई सीक्रेट नहीं।