Dapatkan Clavitor di mesin Anda.

Unduh

Clavitor CLI

Single binary. Fetch credentials, generate TOTP, store new secrets. Zero dependencies.

Clavitor Proxy

HTTPS proxy that injects credentials into agent requests. WASM crypto, no CGO, zero dependencies.

Download SHA256SUMS · verify with sha256sum -c SHA256SUMS

Ekstensi peramban

Lebih memilih untuk mengisi kredensial di peramban? Ekstensi Clavitor memasukkan kata sandi, kunci sandi, kartu, dan kode sekali pakai ke dalam bidang yang membutuhkannya — sementara brankas Anda tetap tersimpan jarak jauh, tanpa ada yang di-cache atau didekripsi di mesin Anda.

Tersedia sekarang untuk Chrome. Firefox dan Safari segera menyusul.

Siapkan agen

Dua langkah. Kurang dari satu menit dari instalasi CLI baru hingga identitas agen yang berfungsi.

1. Buat agen di brankas Anda

Di UI web vault Anda, buka Agen → Baru. Beri nama agen (misalnya, "Claude Code") dan pilih entri yang dapat diaksesnya. Clavitor mengembalikan blob pendaftaran dan kunci pendaftaran. Blob tersegel (berisi alamat vault dan identitas agen); kunci adalah satu-satunya rahasia yang membukanya. Perlakukan kunci seperti kata sandi: serahkan langsung ke mesin tempat agen berjalan, lalu buang.

2. Inisialisasi CLI di mesin agen

$ clavitor-cli init <enrollment-blob>
Enrollment key:

CLI meminta kunci (tidak pernah diambil dari baris perintah, dan tidak ditampilkan), mendekripsi blob secara lokal, lalu menyimpan hasilnya sebagai konfigurasi lokal terenkripsi di ~/.config/clavitor/config (atau $XDG_CONFIG_HOME/clavitor/config). Anda tidak memerlukan blob atau kunci lagi. Bagian berikutnya menunjukkan cara agen memakai CLI mulai dari titik ini.

Siapkan proxy

Untuk agen yang sudah menggunakan HTTP/HTTPS — Claude Desktop, skrip kustom, apa pun yang menggunakan requests atau fetch. Proxy ditempatkan di antara agen dan API hulu, memproses placeholder clavitor://Entry/field saat transit sehingga agen tidak pernah menyimpan kredensial sebenarnya. Lihat halaman arsitektur proxy untuk model ancaman dan detail protokol.

Panduan ini ditulis dengan gaya percakapan sehingga manusia atau agen AI dapat membacanya dari awal hingga akhir dan menjalankannya di mesin sungguhan. Pilih sistem operasi Anda di bawah — setiap bagian adalah prosedur enam langkah yang mandiri.

Sebelum Anda mulai: ambil blob pendaftaran dan kunci dari vault

Anda memerlukan blob pendaftaran dan kunci pendaftarannya dari vault Anda. Ini satu-satunya bagian yang hanya dapat dilakukan manusia — vault memerlukan ketukan perangkat keras untuk mengotorisasi agen baru.

Di UI web vault, buka Agen → Baru, beri nama agen (mis. "Local Proxy"), pilih entri yang dapat diaksesnya, lalu ketuk kunci keamanan Anda saat diminta. Clavitor mengembalikan blob pendaftaran dan kunci pendaftaran. Salin keduanya. Langkah di bawah meminta Anda menempelkan masing-masing sekali, lalu melupakannya.

Linux

Panduan di bawah ini menggunakan bash dan mengasumsikan Anda menggunakan x86-64; ganti arm64 dengan amd64 jika Anda menggunakan aarch64.

1. Unduh biner proxy dan jadikan dapat dieksekusi. Biner tunggal mandiri, tanpa dependensi:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Biner sudah ada di disk. Sekarang ikat ke vault Anda. Proksi membaca blob dan kunci dari stdin (tidak pernah dari baris perintah, sehingga tidak bocor ke riwayat shell Anda). Tempel masing-masing dari "Sebelum Anda mulai" saat diminta (kunci tidak ditampilkan), lalu konfirmasi host vault yang ditampilkan:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Yang baru saja terjadi: blob didekripsi secara lokal dengan kunci (tanpa panggilan jaringan), dan alamat vault + identitas agen + kunci dekripsi kredensial ditulis ke berkas terenkripsi, clavitor.conf, di samping biner (mode 0600). Anda tidak memerlukan blob atau kunci lagi. Jika masukan dialirkan alih-alih diketik, konfirmasi host tidak dapat dijawab, jadi atur CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> terlebih dahulu.

3. Ekspor CA root proxy. Proxy akan memutus setiap koneksi HTTPS yang dibuat agen Anda dan menerbitkan ulang sertifikat untuk setiap host hulu secara langsung. Tanpa memercayai CA root-nya, sertifikat tersebut akan gagal diverifikasi:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Instal CA ke dalam penyimpanan kepercayaan sistem. Di Debian/Ubuntu dan turunannya:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates seharusnya menampilkan 1 added. Mulai sekarang, setiap klien HTTPS di mesin (curl, Python's requests, Go's net/http, dll.) akan menerima sertifikat proxy sebagai valid.

5. Mulai proxy. Proxy ini terikat ke 127.0.0.1:1983 dan berjalan di latar depan; Ctrl-C akan menghentikannya:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Untuk penyiapan permanen, buat unit systemd yang menunjuk ke biner yang sama sehingga dimulai ulang saat reboot — lihat dokumentasi proxy untuk contoh unit.

6. Arahkan agen Anda ke proksi dan verifikasi ujung ke ujung. Di shell lain, di folder yang menyimpan biner (berkas proxy-auth di sana adalah token akses proksi; serve mencetak baris ini):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Apa yang sebenarnya keluar dari proxy dan mencapai server OpenAI — permintaan yang tidak pernah dilihat agen Anda:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jika Anda mendapatkan respons JSON dari OpenAI, semuanya sudah terhubung. Proxy memproses clavitor://OpenAI/key terhadap brankas menggunakan kunci dekripsi kredensial dari langkah 2, menggantikan kunci asli di header Authorization, dan meneruskan permintaan ke hulu. Kode agen Anda hanya berisi placeholder; kunci sebenarnya tidak pernah meninggalkan memori proses proxy.

macOS

Panduan di bawah ini menggunakan zsh (shell default di macOS) dan mengasumsikan Apple Silicon; ganti amd64 dengan arm64 jika Anda menggunakan Mac Intel.

1. Unduh biner proxy dan jadikan dapat dieksekusi. Biner tunggal mandiri, tanpa dependensi:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Jika macOS Gatekeeper menolak menjalankan biner untuk pertama kalinya, klik kanan berkas tersebut di Finder, pilih Buka, dan konfirmasi — tindakan ini akan mendaftarkan pengecualian. Setelah itu, pemanggilan baris perintah akan berfungsi.

2. Biner sudah ada di disk. Sekarang ikat ke vault Anda. Proksi membaca blob dan kunci dari stdin (tidak pernah dari baris perintah, sehingga tidak bocor ke riwayat shell Anda). Tempel masing-masing dari "Sebelum Anda mulai" saat diminta (kunci tidak ditampilkan), lalu konfirmasi host vault yang ditampilkan:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Yang baru saja terjadi: blob didekripsi secara lokal dengan kunci (tanpa panggilan jaringan), dan alamat vault + identitas agen + kunci dekripsi kredensial ditulis ke berkas terenkripsi, clavitor.conf, di samping biner (mode 0600). Anda tidak memerlukan blob atau kunci lagi. Jika masukan dialirkan alih-alih diketik, konfirmasi host tidak dapat dijawab, jadi atur CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> terlebih dahulu.

3. Ekspor CA root proxy. Proxy akan memutus setiap koneksi HTTPS yang dibuat agen Anda dan menerbitkan ulang sertifikat untuk setiap host hulu secara langsung. Tanpa memercayai CA root-nya, sertifikat tersebut akan gagal diverifikasi:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Instal CA ke dalam System Keychain. Satu perintah, meminta kata sandi sudo Anda:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Setelah ini, Safari, curl, Swift, Python, Go, dan sebagian besar klien HTTPS lainnya di mesin akan menerima sertifikat proxy. (Sejumlah kecil runtime bahasa menyertakan bundel kepercayaan mereka sendiri dan memerlukan konfigurasi terpisah — Anda akan melihat kesalahan sertifikat jika demikian.)

5. Mulai proxy. Proxy ini terikat ke 127.0.0.1:1983 dan berjalan di latar depan; Ctrl-C akan menghentikannya:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Untuk penyiapan permanen, instal sebagai agen launchd sehingga dimulai saat login dan dijalankan ulang saat crash.

6. Arahkan agen Anda ke proksi dan verifikasi ujung ke ujung. Di shell lain, di folder yang menyimpan biner (berkas proxy-auth di sana adalah token akses proksi; serve mencetak baris ini):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Apa yang sebenarnya keluar dari proxy dan mencapai server OpenAI — permintaan yang tidak pernah dilihat agen Anda:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jika Anda mendapatkan respons JSON dari OpenAI, semuanya sudah terhubung. Proxy memproses clavitor://OpenAI/key terhadap brankas menggunakan kunci dekripsi kredensial dari langkah 2, menggantikan kunci asli di header Authorization, dan meneruskan permintaan ke hulu. Kode agen Anda hanya berisi placeholder; kunci sebenarnya tidak pernah meninggalkan memori proses proxy.

Windows

Panduan di bawah ini menggunakan PowerShell dan mengasumsikan Windows 64-bit; ganti windows-386.exe dengan windows-amd64.exe jika Anda menggunakan 32-bit.

1. Unduh biner proxy. Biner .exe tunggal mandiri, tanpa dependensi:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen mungkin menampilkan peringatan saat Anda menjalankan biner yang tidak ditandatangani untuk pertama kalinya — klik Info selengkapnya → Jalankan saja untuk mengizinkannya.

2. Biner sudah ada di disk. Sekarang ikat ke vault Anda. Proksi membaca blob dan kunci dari stdin (tidak pernah dari baris perintah, sehingga tidak bocor ke riwayat PowerShell Anda). Tempel masing-masing dari "Sebelum Anda mulai" saat diminta (kunci tidak ditampilkan), lalu konfirmasi host vault yang ditampilkan:

> .\clavitor-proxy.exe init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config C:\path\to\clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Yang baru saja terjadi: blob didekripsi secara lokal dengan kunci (tanpa panggilan jaringan), dan alamat vault + identitas agen + kunci dekripsi kredensial ditulis ke berkas terenkripsi, clavitor.conf, di samping biner. Anda tidak memerlukan blob atau kunci lagi. Jika masukan dialirkan alih-alih diketik, konfirmasi host tidak dapat dijawab, jadi atur CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host> terlebih dahulu.

3. Ekspor CA root proxy. Proxy akan memutus setiap koneksi HTTPS yang dibuat agen Anda dan menerbitkan ulang sertifikat untuk setiap host hulu secara langsung. Tanpa memercayai CA root-nya, sertifikat tersebut akan gagal diverifikasi:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Instal CA ke dalam penyimpanan Root Tepercaya Mesin Lokal. Buka PowerShell dengan hak administrator (Klik kanan PowerShell → Jalankan sebagai Administrator) dan jalankan:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Setelah ini, Edge, .NET, curl.exe, dan sebagian besar klien HTTP di mesin akan menerima sertifikat proxy. (Firefox mengelola penyimpanan kepercayaannya sendiri; jika Anda menguji melalui Firefox, impor CA secara terpisah melalui Pengaturan → Privasi & Keamanan → Sertifikat → Lihat Sertifikat → Otoritas → Impor.)

5. Mulai proxy. Proxy ini terikat ke 127.0.0.1:1983 dan berjalan di latar depan; Ctrl-C akan menghentikannya:

> .\clavitor-proxy.exe serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at C:\path\to\proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat C:\path\to\proxy-auth)@127.0.0.1:1983"

Untuk penyiapan permanen, daftarkan sebagai layanan Windows atau tugas terjadwal sehingga dimulai saat boot.

6. Arahkan agen Anda ke proksi dan verifikasi ujung ke ujung. Di jendela PowerShell lain, di folder yang menyimpan biner (berkas proxy-auth di sana adalah token akses proksi):

> $env:HTTPS_PROXY = "http://clavitor:$(Get-Content proxy-auth)@127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Gunakan curl.exe secara eksplisit — alias curl PowerShell menunjuk ke Invoke-WebRequest, yang menangani variabel lingkungan proxy secara berbeda.) Apa yang sebenarnya keluar dari proxy dan mencapai server OpenAI — permintaan yang tidak pernah dilihat agen Anda:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jika Anda mendapatkan respons JSON dari OpenAI, semuanya sudah terhubung. Proxy memproses clavitor://OpenAI/key terhadap brankas menggunakan kunci dekripsi kredensial dari langkah 2, menggantikan kunci asli di header Authorization, dan meneruskan permintaan ke hulu. Kode agen Anda hanya berisi placeholder; kunci sebenarnya tidak pernah meninggalkan memori proses proxy.

Instal skill Claude Code

CLI dilengkapi dengan definisi skill bawaan yang mengajarkan Claude Code cara menggunakan brankas Anda. Satu perintah menginstalnya.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Skill disematkan dalam biner. Perbarui dengan mengunduh rilis baru.

Gunakan

Agen Anda sekarang dapat mengambil kredensial, menghasilkan kode TOTP, dan menyimpan rahasia baru. Setiap akses dicatat dalam log audit brankas.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list