Cài đặt Clavitor trên máy của bạn.

Tải xuống

No binaries published yet. Run make publish-dev in clavitor-cli and clavitor-proxy to populate this page locally.

Tiện ích mở rộng trình duyệt

Bạn muốn điền thông tin xác thực trong trình duyệt? Tiện ích mở rộng Clavitor sẽ điền mật khẩu, passkey, thẻ và mã dùng một lần vào đúng trường cần chúng — trong khi két an toàn của bạn vẫn được lưu trữ từ xa, không có gì bị lưu vào bộ nhớ đệm hoặc giải mã trên máy của bạn.

Hiện có sẵn cho Chrome. Firefox và Safari sẽ sớm ra mắt.

Thiết lập tác nhân AI

Hai bước. Chưa đầy một phút từ lúc cài đặt CLI mới đến khi có danh tính tác nhân AI hoạt động.

1. Tạo tác nhân AI trong két an toàn của bạn

Trong giao diện web của két an toàn, đi tới Agents → New. Đặt tên cho tác nhân AI (ví dụ: "Claude Code") và chọn các bản ghi mà nó có thể truy cập. Clavitor trả về một token thiết lập — một chuỗi duy nhất mã hóa địa chỉ két an toàn, danh tính tác nhân AI và khóa mã hóa mà nó sẽ cần.

Token này chỉ dùng một lần và có thời hạn ngắn (mặc định 15 phút). Hãy coi nó như một mật khẩu: chuyển trực tiếp cho máy mà tác nhân AI chạy, sau đó xóa bỏ.

2. Khởi tạo CLI trên máy của tác nhân AI

$ clavitor-cli init <setup-token>

Token được giải mã và lưu dưới dạng cấu hình cục bộ được mã hóa (~/.config/clavitor/agent.clv theo mặc định — quyền tệp 0600). Token gốc đã được sử dụng và không thể dùng lại. Phần tiếp theo sẽ chỉ ra cách tác nhân AI sử dụng CLI từ thời điểm này trở đi.

Thiết lập proxy

Dành cho các tác nhân AI đã giao tiếp qua HTTP/HTTPS — Claude Desktop, tập lệnh tùy chỉnh, hoặc bất kỳ thứ gì sử dụng requests hay fetch. Proxy nằm giữa tác nhân AI và API thượng nguồn, phân giải các placeholder clavitor://Entry/field trên đường truyền để tác nhân AI không bao giờ giữ thông tin xác thực thực tế. Xem trang kiến trúc proxy để biết mô hình mối đe dọa và chi tiết giao thức.

Hướng dẫn được viết theo văn phong tự nhiên để con người hoặc tác nhân AI có thể đọc từ đầu đến cuối và thực thi trên một máy thật. Chọn hệ điều hành của bạn bên dưới — mỗi phần là một quy trình sáu bước hoàn chỉnh.

Trước khi bắt đầu: lấy token thiết lập từ két an toàn

Bạn cần một token thiết lập từ két an toàn của mình. Đây là phần duy nhất con người có thể làm — két an toàn yêu cầu chạm khóa phần cứng để ủy quyền cho tác nhân AI mới.

Trong giao diện web của két an toàn, đi tới Agents → New, đặt tên cho tác nhân AI (ví dụ: "Local Proxy"), chọn các bản ghi mà nó có thể truy cập và chạm khóa phần cứng của bạn khi được nhắc. Clavitor trả về một token thiết lập chỉ dùng một lần với TTL 15 phút. Hãy sao chép nó. Các bước còn lại bên dưới sẽ yêu cầu bạn dán nó một lần và sau đó không cần quan tâm đến nó nữa.

Linux

Hướng dẫn bên dưới sử dụng bash và giả định bạn đang ở trên x86-64; thay thế arm64 cho amd64 nếu bạn đang ở trên aarch64.

1. Tải xuống tệp nhị phân proxy và cấp quyền thực thi cho nó. Một tệp nhị phân độc lập, không có phần phụ thuộc:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-linux-amd64
$ chmod +x clavitor-proxy-linux-amd64

2. Tệp nhị phân đã có trên đĩa. Bây giờ hãy liên kết nó với két an toàn của bạn. Proxy đọc token thiết lập từ stdin (không bao giờ từ dòng lệnh, vì vậy nó không bị rò rỉ vào lịch sử shell của bạn). Dán token từ phần "Trước khi bắt đầu" khi được nhắc:

$ ./clavitor-proxy-linux-amd64 init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Điều vừa xảy ra: token đã được giải mã cục bộ (không có lệnh gọi mạng), địa chỉ két an toàn + danh tính tác nhân AI + khóa giải mã thông tin xác thực đã được ghi vào một tệp phụ trợ được mã hóa tại ~/.config/clavitor-proxy/agent.clv (chế độ 0600), và chính token đó hiện đã được sử dụng. Bạn không cần nó nữa.

3. Xuất CA gốc của proxy. Proxy sẽ kết thúc mọi kết nối HTTPS mà tác nhân AI của bạn thực hiện và cấp lại chứng chỉ cho từng máy chủ thượng nguồn ngay lập tức. Nếu không tin tưởng CA gốc của nó, các chứng chỉ đó sẽ không vượt qua quá trình xác minh:

$ ./clavitor-proxy-linux-amd64 ca > clavitor-proxy-ca.pem

4. Cài đặt CA vào kho lưu trữ tin cậy của hệ thống. Trên Debian/Ubuntu và các bản phân phối tương tự:

$ sudo cp clavitor-proxy-ca.pem /usr/local/share/ca-certificates/clavitor-proxy-ca.crt
$ sudo update-ca-certificates

update-ca-certificates sẽ hiển thị 1 added. Từ đây trở đi, mọi ứng dụng khách HTTPS trên máy (curl, requests của Python, net/http của Go, v.v.) đều chấp nhận chứng chỉ của proxy là hợp lệ.

5. Khởi động proxy. Nó liên kết với 127.0.0.1:1983 và chạy ở nền trước; Ctrl-C sẽ dừng nó:

$ ./clavitor-proxy-linux-amd64 serve
clavitor-proxy listening on 127.0.0.1:1983

Để thiết lập vĩnh viễn, hãy thêm một unit systemd trỏ đến cùng một tệp nhị phân để nó tự khởi động lại khi hệ thống khởi động lại — xem tài liệu proxy để biết unit tham chiếu.

6. Trỏ tác nhân AI của bạn vào proxy và xác minh end-to-end. Trong một shell khác:

$ export HTTPS_PROXY=http://127.0.0.1:1983
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Điều thực sự rời khỏi proxy và đến máy chủ của OpenAI — yêu cầu mà tác nhân AI của bạn không bao giờ thấy:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Nếu bạn nhận được phản hồi JSON từ OpenAI, mọi thứ đã được thiết lập xong. Proxy đã phân giải clavitor://OpenAI/key từ két an toàn bằng khóa giải mã thông tin xác thực từ bước 2, thay thế khóa thực vào header Authorization và chuyển tiếp yêu cầu lên thượng nguồn. Mã tác nhân AI của bạn chỉ giữ placeholder; khóa thực không bao giờ rời khỏi bộ nhớ tiến trình của proxy.

macOS

Hướng dẫn bên dưới sử dụng zsh (shell mặc định trên macOS) và giả định Apple Silicon; thay thế amd64 cho arm64 nếu bạn đang ở trên Mac Intel.

1. Tải xuống tệp nhị phân proxy và cấp quyền thực thi cho nó. Một tệp nhị phân độc lập, không có phần phụ thuộc:

$ curl -LO https://clavitor.ai/downloads/clavitor-proxy-darwin-arm64
$ chmod +x clavitor-proxy-darwin-arm64

Nếu macOS Gatekeeper từ chối chạy tệp nhị phân lần đầu tiên, hãy nhấp chuột phải vào nó trong Finder, chọn Mở và xác nhận — thao tác này sẽ ghi nhận ngoại lệ. Sau đó, lệnh gọi từ dòng lệnh sẽ hoạt động.

2. Tệp nhị phân đã có trên đĩa. Bây giờ hãy liên kết nó với két an toàn của bạn. Proxy đọc token thiết lập từ stdin (không bao giờ từ dòng lệnh, vì vậy nó không bị rò rỉ vào lịch sử shell của bạn). Dán token từ phần "Trước khi bắt đầu" khi được nhắc:

$ ./clavitor-proxy-darwin-arm64 init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Điều vừa xảy ra: token đã được giải mã cục bộ (không có lệnh gọi mạng), địa chỉ két an toàn + danh tính tác nhân AI + khóa giải mã thông tin xác thực đã được ghi vào một tệp phụ trợ được mã hóa tại ~/.config/clavitor-proxy/agent.clv (chế độ 0600), và chính token đó hiện đã được sử dụng. Bạn không cần nó nữa.

3. Xuất CA gốc của proxy. Proxy sẽ kết thúc mọi kết nối HTTPS mà tác nhân AI của bạn thực hiện và cấp lại chứng chỉ cho từng máy chủ thượng nguồn ngay lập tức. Nếu không tin tưởng CA gốc của nó, các chứng chỉ đó sẽ không vượt qua quá trình xác minh:

$ ./clavitor-proxy-darwin-arm64 ca > clavitor-proxy-ca.pem

4. Cài đặt CA vào Keychain Hệ thống. Một lệnh, yêu cầu mật khẩu sudo của bạn:

$ sudo security add-trusted-cert -d -r trustRoot \
    -k /Library/Keychains/System.keychain clavitor-proxy-ca.pem

Sau đó, Safari, curl, Swift, Python, Go và hầu hết các ứng dụng khách HTTPS khác trên máy sẽ chấp nhận chứng chỉ của proxy. (Một số ít runtime ngôn ngữ có gói tin cậy riêng và cần cấu hình riêng — bạn sẽ thấy lỗi chứng chỉ nếu có.)

5. Khởi động proxy. Nó liên kết với 127.0.0.1:1983 và chạy ở nền trước; Ctrl-C sẽ dừng nó:

$ ./clavitor-proxy-darwin-arm64 serve
clavitor-proxy listening on 127.0.0.1:1983

Để thiết lập vĩnh viễn, hãy cài đặt nó làm một launchd agent để nó khởi động khi đăng nhập và tự khởi động lại khi gặp sự cố.

6. Trỏ tác nhân AI của bạn vào proxy và xác minh end-to-end. Trong một shell khác:

$ export HTTPS_PROXY=http://127.0.0.1:1983
$ curl -H "Authorization: Bearer clavitor://OpenAI/key" https://api.openai.com/v1/models

Điều thực sự rời khỏi proxy và đến máy chủ của OpenAI — yêu cầu mà tác nhân AI của bạn không bao giờ thấy:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Nếu bạn nhận được phản hồi JSON từ OpenAI, mọi thứ đã được thiết lập xong. Proxy đã phân giải clavitor://OpenAI/key từ két an toàn bằng khóa giải mã thông tin xác thực từ bước 2, thay thế khóa thực vào header Authorization và chuyển tiếp yêu cầu lên thượng nguồn. Mã tác nhân AI của bạn chỉ giữ placeholder; khóa thực không bao giờ rời khỏi bộ nhớ tiến trình của proxy.

Windows

Hướng dẫn bên dưới sử dụng PowerShell và giả định Windows 64-bit; thay thế windows-386.exe cho windows-amd64.exe nếu bạn đang ở trên 32-bit.

1. Tải xuống tệp nhị phân proxy. Một tệp .exe độc lập, không có phần phụ thuộc:

> Invoke-WebRequest https://clavitor.ai/downloads/clavitor-proxy-windows-amd64.exe `
    -OutFile clavitor-proxy.exe

Windows SmartScreen có thể hiển thị cảnh báo lần đầu tiên bạn chạy một tệp nhị phân chưa ký — nhấp vào More info → Run anyway để cho phép.

2. Tệp nhị phân đã có trên đĩa. Bây giờ hãy liên kết nó với két an toàn của bạn. Proxy đọc token thiết lập từ stdin (không bao giờ từ dòng lệnh, vì vậy nó không bị rò rỉ vào lịch sử PowerShell của bạn). Dán token từ phần "Trước khi bắt đầu" khi được nhắc:

> .\clavitor-proxy.exe init
Paste enrollment token, then press Enter:
<paste-the-token-here>
✓ Authenticated.

Điều vừa xảy ra: token đã được giải mã cục bộ (không có lệnh gọi mạng), địa chỉ két an toàn + danh tính tác nhân AI + khóa giải mã thông tin xác thực đã được ghi vào một tệp phụ trợ được mã hóa tại %APPDATA%\clavitor-proxy\agent.clv, và chính token đó hiện đã được sử dụng. Bạn không cần nó nữa.

3. Xuất CA gốc của proxy. Proxy sẽ kết thúc mọi kết nối HTTPS mà tác nhân AI của bạn thực hiện và cấp lại chứng chỉ cho từng máy chủ thượng nguồn ngay lập tức. Nếu không tin tưởng CA gốc của nó, các chứng chỉ đó sẽ không vượt qua quá trình xác minh:

> .\clavitor-proxy.exe ca > clavitor-proxy-ca.pem

4. Cài đặt CA vào kho lưu trữ Gốc Tin cậy của Máy Cục bộ. Mở PowerShell với quyền quản trị (Nhấp chuột phải vào PowerShell → Run as Administrator) và chạy:

> certutil -addstore -f "ROOT" clavitor-proxy-ca.pem

Sau đó, Edge, .NET, curl.exe và hầu hết các ứng dụng khách HTTP trên máy sẽ chấp nhận chứng chỉ của proxy. (Firefox duy trì kho lưu trữ tin cậy riêng; nếu bạn đang kiểm tra qua Firefox, hãy nhập CA riêng trong Settings → Privacy & Security → Certificates → View Certificates → Authorities → Import.)

5. Khởi động proxy. Nó liên kết với 127.0.0.1:1983 và chạy ở nền trước; Ctrl-C sẽ dừng nó:

> .\clavitor-proxy.exe serve
clavitor-proxy listening on 127.0.0.1:1983

Để thiết lập vĩnh viễn, hãy đăng ký nó làm dịch vụ Windows hoặc tác vụ được lên lịch để nó tự khởi động khi hệ thống khởi động.

6. Trỏ tác nhân AI của bạn vào proxy và xác minh end-to-end. Trong một cửa sổ PowerShell khác:

> $env:HTTPS_PROXY = "http://127.0.0.1:1983"
> curl.exe -H "Authorization: Bearer clavitor://OpenAI/key" `
    https://api.openai.com/v1/models

(Hãy sử dụng rõ ràng curl.exe — bí danh curl của PowerShell trỏ đến Invoke-WebRequest, vốn xử lý biến môi trường proxy theo cách khác.) Điều thực sự rời khỏi proxy và đến máy chủ của OpenAI — yêu cầu mà tác nhân AI của bạn không bao giờ thấy:

GET /v1/models HTTP/1.1
Host: api.openai.com
Authorization: Bearer sk-proj-abc123def456ghi789…    ← real key, injected by the proxy
User-Agent: curl/8.4.0

Nếu bạn nhận được phản hồi JSON từ OpenAI, mọi thứ đã được thiết lập xong. Proxy đã phân giải clavitor://OpenAI/key từ két an toàn bằng khóa giải mã thông tin xác thực từ bước 2, thay thế khóa thực vào header Authorization và chuyển tiếp yêu cầu lên thượng nguồn. Mã tác nhân AI của bạn chỉ giữ placeholder; khóa thực không bao giờ rời khỏi bộ nhớ tiến trình của proxy.

Cài đặt kỹ năng Claude Code

CLI đi kèm với một định nghĩa kỹ năng tích hợp sẵn dạy Claude Code cách sử dụng két an toàn của bạn. Một lệnh sẽ cài đặt nó.

# Install globally (all projects)
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Or install for a specific project
$ clavitor-cli skill > /path/to/project/.claude/skills/clavitor.md

Kỹ năng được nhúng trong tệp nhị phân. Cập nhật nó bằng cách tải xuống bản phát hành mới.

Sử dụng nó

Tác nhân AI của bạn giờ đây có thể lấy thông tin xác thực, tạo mã TOTP và lưu trữ các bí mật mới. Mọi truy cập đều được ghi lại trong nhật ký kiểm toán của két an toàn.

# Fetch a credential
$ clavitor-cli get github

# Generate a TOTP code
$ clavitor-cli totp github

# Store a new credential
$ clavitor-cli put credential "AWS Prod" --username admin --password s3cret

# List all entries
$ clavitor-cli list