Встановіть Clavitor на свою машину.

Завантажити

Clavitor CLI

Single binary. Fetch credentials, generate TOTP, store new secrets. Zero dependencies.

Clavitor Proxy

HTTPS proxy that injects credentials into agent requests. WASM crypto, no CGO, zero dependencies.

Download SHA256SUMS · verify with sha256sum -c SHA256SUMS

Розширення для браузера

Бажаєте заповнювати облікові дані в браузері? Розширення Clavitor вставляє паролі, ключі доступу, картки та одноразові коди у поле, яке їх потребує — поки Ваше сховище залишається віддаленим, без кешування чи розшифрування на Вашій машині.

Доступно зараз для Chrome. Firefox та Safari незабаром.

Налаштуйте ШІ-агента

Два кроки. Менш ніж за хвилину від свіжого встановлення CLI до робочого ідентифікатора ШІ-агента.

1. Створіть ШІ-агента у Вашому сховищі

У вебінтерфейсі Вашого сховища перейдіть до Агенти → Новий. Назвіть агента (наприклад, "Claude Code") та оберіть, до яких записів він матиме доступ. Clavitor повертає блоб реєстрації та ключ реєстрації. Блоб запечатано (він кодує адресу сховища та ідентичність агента); ключ є єдиною таємницею, яка його відкриває. Ставтеся до ключа як до пароля: передайте його напряму на машину, де працює агент, а потім знищіть.

2. Ініціалізуйте CLI на машині ШІ-агента

$ clavitor-cli init <enrollment-blob>
Enrollment key:

CLI запитує ключ (його ніколи не беруть із командного рядка, і він не відображається на екрані), розшифровує блоб локально та зберігає результат як зашифровану локальну конфігурацію в ~/.config/clavitor/config (або $XDG_CONFIG_HOME/clavitor/config). Блоб і ключ Вам більше не знадобляться. Наступний розділ показує, як агент далі користується CLI.

Налаштуйте проксі

Для ШІ-агентів, які вже працюють з HTTP/HTTPS — Claude Desktop, власні скрипти, будь-що, що використовує requests або fetch. Проксі розташовується між ШІ-агентом та вихідним API, розпізнаючи плейсхолдери clavitor://Entry/field в мережі, щоб ШІ-агент ніколи не зберігав фактичні облікові дані. Дивіться сторінку архітектури проксі для моделі загроз та деталей протоколу.

Посібник написаний у розмовній формі, щоб людина або ШІ-агент могли прочитати його від початку до кінця та виконати на реальній машині. Виберіть свою ОС нижче — кожен розділ є окремою процедурою з шести кроків.

Перш ніж почати: отримайте блоб і ключ реєстрації зі сховища

Вам потрібні блоб реєстрації та його ключ реєстрації з Вашого сховища. Це єдина частина, яку може виконати лише людина — сховище вимагає дотику до апаратного ключа, щоб авторизувати нового агента.

У вебінтерфейсі сховища перейдіть до Агенти → Новий, назвіть агента (наприклад, "Локальний проксі"), оберіть, до яких записів він матиме доступ, і торкніться ключа безпеки, коли з'явиться запит. Clavitor повертає блоб реєстрації та ключ реєстрації. Скопіюйте обидва. Кроки нижче просять вставити кожен один раз, а потім забути про них.

Linux

Посібник нижче використовує bash і передбачає, що Ви працюєте на x86-64; замініть arm64 на amd64, якщо Ви на aarch64.

1. Завантажте бінарний файл проксі та зробіть його виконуваним. Один самодостатній бінарний файл, без залежностей:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Двійковий файл вже на диску. Тепер прив'яжіть його до Вашого сховища. Проксі читає блоб і ключ зі stdin (ніколи не з командного рядка, тож вони не потрапляють до Вашої історії оболонки). Вставте кожен з розділу "Перш ніж почати", коли з'явиться запит (ключ не відображається), потім підтвердьте хост сховища, який Вам покажуть:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Що щойно сталося: блоб розшифровано локально ключем (без мережевого виклику), а адресу сховища + ідентичність агента + ключ розшифрування облікових даних записано до зашифрованого файлу, clavitor.conf, поруч із двійковим файлом (режим 0600). Блоб і ключ Вам більше не знадобляться. Коли введення подається конвеєром, а не набирається, на підтвердження хоста не можна відповісти, тож спочатку задайте CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Експортуйте кореневий сертифікат проксі (root CA). Проксі буде завершувати кожне HTTPS-з'єднання, яке робить Ваш ШІ-агент, і на льоту перевипускатиме сертифікат для кожного вихідного хоста. Без довіри до його кореневого сертифіката ці сертифікати не пройдуть перевірку:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Встановіть кореневий сертифікат (CA) у системне сховище довіри. На Debian/Ubuntu та їх похідних:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates має вивести 1 added. Відтепер кожен HTTPS-клієнт на машині (curl, Python's requests, Go's net/http тощо) прийматиме сертифікати проксі як законні.

5. Запустіть проксі. Він прив'язується до 127.0.0.1:1983 і працює на передньому плані; Ctrl-C зупиняє його:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Для постійного налаштування створіть unit systemd, що вказує на той самий бінарний файл, щоб він перезапускався після перезавантаження — дивіться документацію проксі для прикладу unit.

6. Спрямуйте Вашого агента на проксі та перевірте наскрізно. В іншій оболонці, у теці, де лежить двійковий файл (файл proxy-auth там є токеном доступу проксі; serve виводить цей рядок):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Що насправді виходить з проксі та досягає серверів OpenAI — запит, який Ваш ШІ-агент ніколи не бачить:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Якщо Ви отримаєте JSON-відповідь від OpenAI, все налаштовано правильно. Проксі розпізнав clavitor://OpenAI/key у сховищі за допомогою ключа розшифрування облікових даних з кроку 2, замінив реальний ключ у заголовку Authorization та перенаправив запит. Ваш код ШІ-агента містить лише плейсхолдер; реальний ключ ніколи не залишає пам'ять процесу проксі.

macOS

Посібник нижче використовує zsh (оболонка за замовчуванням на macOS) і передбачає Apple Silicon; замініть amd64 на arm64, якщо Ви на Intel Mac.

1. Завантажте бінарний файл проксі та зробіть його виконуваним. Один самодостатній бінарний файл, без залежностей:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Якщо macOS Gatekeeper вперше відмовляється запускати бінарний файл, клацніть його правою кнопкою миші у Finder, виберіть Відкрити та підтвердіть — це зареєструє виняток. Після цього виклик з командного рядка працюватиме.

2. Двійковий файл вже на диску. Тепер прив'яжіть його до Вашого сховища. Проксі читає блоб і ключ зі stdin (ніколи не з командного рядка, тож вони не потрапляють до Вашої історії оболонки). Вставте кожен з розділу "Перш ніж почати", коли з'явиться запит (ключ не відображається), потім підтвердьте хост сховища, який Вам покажуть:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config /path/to/clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Що щойно сталося: блоб розшифровано локально ключем (без мережевого виклику), а адресу сховища + ідентичність агента + ключ розшифрування облікових даних записано до зашифрованого файлу, clavitor.conf, поруч із двійковим файлом (режим 0600). Блоб і ключ Вам більше не знадобляться. Коли введення подається конвеєром, а не набирається, на підтвердження хоста не можна відповісти, тож спочатку задайте CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Експортуйте кореневий сертифікат проксі (root CA). Проксі буде завершувати кожне HTTPS-з'єднання, яке робить Ваш ШІ-агент, і на льоту перевипускатиме сертифікат для кожного вихідного хоста. Без довіри до його кореневого сертифіката ці сертифікати не пройдуть перевірку:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Встановіть кореневий сертифікат (CA) у системний ланцюжок ключів (System Keychain). Одна команда, запитує Ваш пароль sudo:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Після цього Safari, curl, Swift, Python, Go та більшість інших HTTPS-клієнтів на машині прийматимуть сертифікати проксі. (Невелика кількість мовних середовищ постачається з власним набором довірених сертифікатів і потребує окремого налаштування — Ви побачите помилку сертифіката, якщо це так.)

5. Запустіть проксі. Він прив'язується до 127.0.0.1:1983 і працює на передньому плані; Ctrl-C зупиняє його:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at /path/to/proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat /path/to/proxy-auth)@127.0.0.1:1983"

Для постійного налаштування встановіть його як агент launchd, щоб він запускався під час входу в систему та перезапускався у разі збою.

6. Спрямуйте Вашого агента на проксі та перевірте наскрізно. В іншій оболонці, у теці, де лежить двійковий файл (файл proxy-auth там є токеном доступу проксі; serve виводить цей рядок):

$ export HTTPS_PROXY="http://clavitor:$(cat proxy-auth)@127.0.0.1:1983"
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Що насправді виходить з проксі та досягає серверів OpenAI — запит, який Ваш ШІ-агент ніколи не бачить:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Якщо Ви отримаєте JSON-відповідь від OpenAI, все налаштовано правильно. Проксі розпізнав clavitor://OpenAI/key у сховищі за допомогою ключа розшифрування облікових даних з кроку 2, замінив реальний ключ у заголовку Authorization та перенаправив запит. Ваш код ШІ-агента містить лише плейсхолдер; реальний ключ ніколи не залишає пам'ять процесу проксі.

Windows

Посібник нижче використовує PowerShell і передбачає 64-розрядну версію Windows; замініть windows-386.exe на windows-amd64.exe, якщо Ви на 32-розрядній версії.

1. Завантажте бінарний файл проксі. Один самодостатній .exe, без залежностей:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen може показати попередження під час першого запуску непідписаного бінарного файлу — натисніть Додаткова інформація → Запустити в будь-якому випадку, щоб дозволити його.

2. Двійковий файл вже на диску. Тепер прив'яжіть його до Вашого сховища. Проксі читає блоб і ключ зі stdin (ніколи не з командного рядка, тож вони не потрапляють до Вашої історії PowerShell). Вставте кожен з розділу "Перш ніж почати", коли з'явиться запит (ключ не відображається), потім підтвердьте хост сховища, який Вам покажуть:

> .\clavitor-proxy.exe init
Paste enrollment blob, then press Enter:
<paste-the-blob-here>
Enrollment key:
<paste-the-key-here>

  This token enrolls the agent against vault:

      <vault-host>

  Your key authenticated the blob — NOT this host. If you did not get
  this blob from your own vault operator, answering yes hands your
  agent's credential resolution to whoever did.
  Enroll against <vault-host>? [yes/no] yes
Enrolled against vault https://<vault-host>
Vault ID <vault-id>
Config C:\path\to\clavitor.conf
Try: clavitor-proxy ca > ca.pem   then   clavitor-proxy serve

Що щойно сталося: блоб розшифровано локально ключем (без мережевого виклику), а адресу сховища + ідентичність агента + ключ розшифрування облікових даних записано до зашифрованого файлу, clavitor.conf, поруч із двійковим файлом. Блоб і ключ Вам більше не знадобляться. Коли введення подається конвеєром, а не набирається, на підтвердження хоста не можна відповісти, тож спочатку задайте CLAVITOR_PROXY_CONFIRM_VAULT=<vault-host>.

3. Експортуйте кореневий сертифікат проксі (root CA). Проксі буде завершувати кожне HTTPS-з'єднання, яке робить Ваш ШІ-агент, і на льоту перевипускатиме сертифікат для кожного вихідного хоста. Без довіри до його кореневого сертифіката ці сертифікати не пройдуть перевірку:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Встановіть кореневий сертифікат (CA) у локальне сховище довірених кореневих сертифікатів (Local Machine Trusted Root store). Відкрийте підвищений PowerShell (клацніть правою кнопкою миші на PowerShell → Запустити як адміністратор) та виконайте:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Після цього Edge, .NET, curl.exe та більшість HTTP-клієнтів на машині прийматимуть сертифікати проксі. (Firefox підтримує власне сховище довіри; якщо Ви тестуєте через Firefox, імпортуйте CA окремо в Налаштування → Конфіденційність і безпека → Сертифікати → Переглянути сертифікати → Органи → Імпорт.)

5. Запустіть проксі. Він прив'язується до 127.0.0.1:1983 і працює на передньому плані; Ctrl-C зупиняє його:

> .\clavitor-proxy.exe serve
clavitor-proxy <version> listening on 127.0.0.1:1983
Point your agent at:  HTTPS_PROXY=http://clavitor:<token>@127.0.0.1:1983
  Token redacted above; it is stored 0600 at C:\path\to\proxy-auth.
  e.g.  export HTTPS_PROXY="http://clavitor:$(cat C:\path\to\proxy-auth)@127.0.0.1:1983"

Для постійного налаштування зареєструйте його як службу Windows або заплановане завдання, щоб він запускався під час завантаження.

6. Спрямуйте Вашого агента на проксі та перевірте наскрізно. В іншому вікні PowerShell, у теці, де лежить двійковий файл (файл proxy-auth там є токеном доступу проксі):

> $env:HTTPS_PROXY = "http://clavitor:$(Get-Content proxy-auth)@127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Використовуйте curl.exe явно — псевдонім curl у PowerShell вказує на Invoke-WebRequest, який по-різному обробляє змінну середовища проксі.) Що насправді виходить з проксі та досягає серверів OpenAI — запит, який Ваш ШІ-агент ніколи не бачить:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Якщо Ви отримаєте JSON-відповідь від OpenAI, все налаштовано правильно. Проксі розпізнав clavitor://OpenAI/key у сховищі за допомогою ключа розшифрування облікових даних з кроку 2, замінив реальний ключ у заголовку Authorization та перенаправив запит. Ваш код ШІ-агента містить лише плейсхолдер; реальний ключ ніколи не залишає пам'ять процесу проксі.

Встановіть навичку Claude Code

CLI постачається з вбудованим визначенням навички, яке навчає Claude Code використовувати Ваше сховище. Одна команда встановлює його.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Навичка вбудована в бінарний файл. Оновіть її, завантаживши новий реліз.

Використовуйте

Ваш ШІ-агент тепер може отримувати облікові дані, генерувати коди TOTP та зберігати нові секрети. Кожен доступ реєструється в журналі аудиту сховища.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list