Zainstaluj Clavitor na swoim komputerze.

Pobierz

No binaries published yet. Run make publish-dev in clavitor-cli and clavitor-proxy to populate this page locally.

Rozszerzenie przeglądarki

Wolicie Państwo wypełniać poświadczenia w przeglądarce? Rozszerzenie Clavitor wstawia hasła, klucze dostępu, karty i kody jednorazowe do pola, które ich faktycznie potrzebuje — podczas gdy Państwa sejf pozostaje zdalny, bez żadnych danych buforowanych lub odszyfrowanych na Państwa komputerze.

Dostępne teraz dla Chrome. Firefox i Safari wkrótce.

Skonfiguruj agenta

Dwa kroki. Mniej niż minuta od świeżej instalacji CLI do działającego agenta.

1. Utwórz agenta w swoim sejfie

W interfejsie webowym Państwa sejfu przejdź do Agenci → Nowy. Nazwij agenta (na przykład "Claude Code") i wybierz, do których wpisów będzie miał dostęp. Clavitor zwróci token konfiguracji — pojedynczy ciąg znaków, który koduje adres sejfu, tożsamość agenta i klucz szyfrowania, którego będzie potrzebował.

Token jest jednorazowy i krótkotrwały (domyślnie 15 minut). Traktujcie go Państwo jak hasło: przekażcie go bezpośrednio maszynie, na której działa agent, a następnie go usuńcie.

2. Zainicjuj CLI na maszynie agenta

$ clavitor-cli init <setup-token>

Token zostanie zdekodowany i zapisany jako zaszyfrowana lokalna konfiguracja (~/.config/clavitor/agent.clv domyślnie — uprawnienia pliku 0600). Oryginalny token zostanie zużyty i nie będzie mógł być ponownie użyty. Następna sekcja pokazuje, jak agent korzysta z CLI od tego momentu.

Skonfiguruj proxy

Dla agentów, którzy już komunikują się przez HTTP/HTTPS — Claude Desktop, niestandardowe skrypty, cokolwiek używa requests lub fetch. Proxy znajduje się między agentem a serwerem nadrzędnym, rozwiązując placeholdery clavitor://Entry/field na linii, dzięki czemu agent nigdy nie przechowuje faktycznych poświadczeń. Zobacz stronę architektury proxy dla modelu zagrożeń i szczegółów protokołu.

Przewodnik jest napisany w sposób konwersacyjny, aby człowiek lub agent AI mógł go przeczytać od początku do końca i wykonać na prawdziwej maszynie. Wybierz poniżej swój system operacyjny — każda sekcja to samodzielna sześciostopniowa procedura.

Zanim zaczniesz: pobierz token konfiguracji z sejfu

Potrzebny jest token konfiguracji z Państwa sejfu. To jest jedyna część, którą może wykonać tylko człowiek — sejf wymaga fizycznego klucza sprzętowego do autoryzacji nowego agenta.

W interfejsie webowym sejfu przejdź do Agenci → Nowy, nazwij agenta (np. "Local Proxy"), wybierz, do których wpisów będzie miał dostęp, i dotknij swojego klucza bezpieczeństwa, gdy zostanie Państwo o to poproszony. Clavitor zwróci jednorazowy token konfiguracji z 15-minutowym TTL. Skopiuj go. Pozostałe kroki poniżej proszą o jednokrotne wklejenie go, a następnie zapomnienie o nim.

Linux

Poniższy przewodnik używa bash i zakłada, że jest Państwo na x86-64; zastąp amd64 przez arm64, jeśli jest Państwo na aarch64.

1. Pobierz plik binarny proxy i nadaj mu uprawnienia do wykonywania. Pojedynczy, samodzielny plik binarny, bez zależności:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Plik binarny jest na dysku. Teraz połącz go ze swoim sejfem. Proxy odczytuje token konfiguracji ze standardowego wejścia (nigdy z linii poleceń, aby nie wyciekł do historii powłoki). Wklej token z sekcji "Zanim zaczniesz", gdy zostaniesz o to poproszony:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Co się właśnie stało: token został odszyfrowany lokalnie (bez połączenia sieciowego), adres sejfu + tożsamość agenta + klucz deszyfrowania poświadczeń zostały zapisane w zaszyfrowanym pliku pomocniczym pod adresem ~/.config/clavitor-proxy/agent.clv (tryb 0600), a sam token został zużyty. Nie potrzebujesz go ponownie.

3. Wyeksportuj główny certyfikat CA proxy. Proxy będzie terminować każde połączenie HTTPS nawiązane przez agenta i generować na bieżąco certyfikat dla każdego hosta nadrzędnego. Bez zaufania do jego głównego CA, te certyfikaty nie przeszłyby weryfikacji:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Zainstaluj CA w systemowym magazynie zaufania. Na Debian/Ubuntu i pochodnych:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates powinien wyświetlić 1 added. Od tego momentu każdy klient HTTPS na maszynie (curl, Python's requests, Go's net/http itp.) akceptuje certyfikaty proxy jako legalne.

5. Uruchom proxy. Wiąże się z adresem 127.0.0.1:1983 i działa na pierwszym planie; Ctrl-C zatrzymuje je:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy listening on 127.0.0.1:1983

Aby uzyskać trwałą konfigurację, utwórz jednostkę systemd wskazującą na ten sam plik binarny, aby restartował się po ponownym uruchomieniu — zobacz dokumentację proxy dla przykładowej jednostki.

6. Skieruj swojego agenta na proxy i zweryfikuj end-to-end. W innej powłoce:

$ export HTTPS_PROXY=http://127.0.0.1:1983
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Co faktycznie opuszcza proxy i dociera do serwerów OpenAI — żądanie, którego agent nigdy nie widzi:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jeśli otrzymasz odpowiedź JSON od OpenAI, wszystko jest skonfigurowane. Proxy rozwiązało clavitor://OpenAI/key w sejfie przy użyciu klucza deszyfrowania poświadczeń z kroku 2, zastąpiło rzeczywisty klucz w nagłówku Authorization i przekazało żądanie dalej. Kod agenta zawiera tylko placeholder; rzeczywisty klucz nigdy nie opuszcza pamięci procesu proxy.

macOS

Poniższy przewodnik używa zsh (domyślna powłoka na macOS) i zakłada Apple Silicon; zastąp arm64 przez amd64, jeśli jest Państwo na Macu z Intelem.

1. Pobierz plik binarny proxy i nadaj mu uprawnienia do wykonywania. Pojedynczy, samodzielny plik binarny, bez zależności:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Jeśli macOS Gatekeeper odmówi uruchomienia pliku binarnego za pierwszym razem, kliknij go prawym przyciskiem myszy w Finderze, wybierz Otwórz i potwierdź — to zarejestruje wyjątek. Następnie wywołanie z linii poleceń będzie działać.

2. Plik binarny jest na dysku. Teraz połącz go ze swoim sejfem. Proxy odczytuje token konfiguracji ze standardowego wejścia (nigdy z linii poleceń, aby nie wyciekł do historii powłoki). Wklej token z sekcji "Zanim zaczniesz", gdy zostaniesz o to poproszony:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Co się właśnie stało: token został odszyfrowany lokalnie (bez połączenia sieciowego), adres sejfu + tożsamość agenta + klucz deszyfrowania poświadczeń zostały zapisane w zaszyfrowanym pliku pomocniczym pod adresem ~/.config/clavitor-proxy/agent.clv (tryb 0600), a sam token został zużyty. Nie potrzebujesz go ponownie.

3. Wyeksportuj główny certyfikat CA proxy. Proxy będzie terminować każde połączenie HTTPS nawiązane przez agenta i generować na bieżąco certyfikat dla każdego hosta nadrzędnego. Bez zaufania do jego głównego CA, te certyfikaty nie przeszłyby weryfikacji:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Zainstaluj CA w pęku kluczy systemowych. Jedno polecenie, wymaga podania hasła sudo:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Po tym Safari, curl, Swift, Python, Go i większość innych klientów HTTPS na maszynie akceptuje certyfikaty proxy. (Niewielka liczba środowisk uruchomieniowych języków dostarcza własny pakiet zaufania i wymaga oddzielnej konfiguracji — w takim przypadku zobaczysz błąd certyfikatu.)

5. Uruchom proxy. Wiąże się z adresem 127.0.0.1:1983 i działa na pierwszym planie; Ctrl-C zatrzymuje je:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy listening on 127.0.0.1:1983

Aby uzyskać trwałą konfigurację, zainstaluj je jako agenta launchd, aby uruchamiał się przy logowaniu i restartował w przypadku awarii.

6. Skieruj swojego agenta na proxy i zweryfikuj end-to-end. W innej powłoce:

$ export HTTPS_PROXY=http://127.0.0.1:1983
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Co faktycznie opuszcza proxy i dociera do serwerów OpenAI — żądanie, którego agent nigdy nie widzi:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jeśli otrzymasz odpowiedź JSON od OpenAI, wszystko jest skonfigurowane. Proxy rozwiązało clavitor://OpenAI/key w sejfie przy użyciu klucza deszyfrowania poświadczeń z kroku 2, zastąpiło rzeczywisty klucz w nagłówku Authorization i przekazało żądanie dalej. Kod agenta zawiera tylko placeholder; rzeczywisty klucz nigdy nie opuszcza pamięci procesu proxy.

Windows

Poniższy przewodnik używa PowerShell i zakłada 64-bitowy system Windows; zastąp windows-386.exe przez windows-amd64.exe, jeśli jesteś na 32-bitowym.

1. Pobierz plik binarny proxy. Pojedynczy, samodzielny plik .exe, bez zależności:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen może wyświetlić ostrzeżenie przy pierwszym uruchomieniu niepodpisanego pliku binarnego — kliknij Więcej informacji → Uruchom mimo to, aby na to zezwolić.

2. Plik binarny jest na dysku. Teraz połącz go ze swoim sejfem. Proxy odczytuje token konfiguracji ze standardowego wejścia (nigdy z linii poleceń, aby nie wyciekł do historii PowerShell). Wklej token z sekcji "Zanim zaczniesz", gdy zostaniesz o to poproszony:

> .\clavitor-proxy.exe init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Co się właśnie stało: token został odszyfrowany lokalnie (bez połączenia sieciowego), adres sejfu + tożsamość agenta + klucz deszyfrowania poświadczeń zostały zapisane w zaszyfrowanym pliku pomocniczym pod adresem %APPDATA%\clavitor-proxy\agent.clv, a sam token został zużyty. Nie potrzebujesz go ponownie.

3. Wyeksportuj główny certyfikat CA proxy. Proxy będzie terminować każde połączenie HTTPS nawiązane przez agenta i generować na bieżąco certyfikat dla każdego hosta nadrzędnego. Bez zaufania do jego głównego CA, te certyfikaty nie przeszłyby weryfikacji:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Zainstaluj CA w magazynie zaufanych głównych urzędów certyfikacji lokalnego komputera. Otwórz podwyższony PowerShell (kliknij prawym przyciskiem myszy PowerShell → Uruchom jako administrator) i uruchom:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Po tym Edge, .NET, curl.exe i większość klientów HTTP na maszynie akceptuje certyfikaty proxy. (Firefox utrzymuje własny magazyn zaufania; jeśli testujesz przez Firefox, zaimportuj CA oddzielnie w Ustawienia → Prywatność i bezpieczeństwo → Certyfikaty → Wyświetl certyfikaty → Urzędy certyfikacji → Importuj.)

5. Uruchom proxy. Wiąże się z adresem 127.0.0.1:1983 i działa na pierwszym planie; Ctrl-C zatrzymuje je:

> .\clavitor-proxy.exe serve
clavitor-proxy listening on 127.0.0.1:1983

Aby uzyskać trwałą konfigurację, zarejestruj je jako usługę systemu Windows lub zaplanowane zadanie, aby uruchamiały się przy starcie systemu.

6. Skieruj swojego agenta na proxy i zweryfikuj end-to-end. W innym oknie PowerShell:

> $env:HTTPS_PROXY = "http://127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Użyj jawnie curl.exe — alias curl w PowerShell wskazuje na Invoke-WebRequest, który inaczej obsługuje zmienną środowiskową proxy.) Co faktycznie opuszcza proxy i dociera do serwerów OpenAI — żądanie, którego agent nigdy nie widzi:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Jeśli otrzymasz odpowiedź JSON od OpenAI, wszystko jest skonfigurowane. Proxy rozwiązało clavitor://OpenAI/key w sejfie przy użyciu klucza deszyfrowania poświadczeń z kroku 2, zastąpiło rzeczywisty klucz w nagłówku Authorization i przekazało żądanie dalej. Kod agenta zawiera tylko placeholder; rzeczywisty klucz nigdy nie opuszcza pamięci procesu proxy.

Zainstaluj umiejętność Claude Code

CLI zawiera wbudowaną definicję umiejętności, która uczy Claude Code, jak korzystać z Państwa sejfu. Jedno polecenie ją instaluje.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Umiejętność jest osadzona w pliku binarnym. Zaktualizuj ją, pobierając nowe wydanie.

Użyj jej

Państwa agent może teraz pobierać poświadczenia, generować kody TOTP i przechowywać nowe sekrety. Każdy dostęp jest rejestrowany w dzienniku audytu sejfu.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list