Chaque agent. Accès à portée limitée.
Piste d'audit complète.

Comment fonctionne l'accès des agents

Votre coffre-fort émet des jetons à portée limitée — chaque jeton accorde l'accès à des entrées spécifiques. L'agent peut récupérer ce à quoi il a été assigné et ne peut pas découvrir ce qui lui est inaccessible. Il n'existe aucun point d'accès côté agent qui renvoie une liste d'identifiants. Pas de recherche, pas de navigation, pas d'énumération.

Chaque accès est consigné avec l'identité de l'agent, l'identifiant accédé, l'horodatage et l'adresse IP source. Les limites de débit appliquent trois identifiants uniques par minute et dix par heure. Une deuxième violation en moins de deux heures déclenche un verrouillage complet — l'agent est gelé jusqu'à ce que vous le déverrouilliez avec votre clé matérielle.

# One-time setup — paste the scoped token at the prompt, or pipe it in
$ echo "$CLAVITOR_TOKEN" | clavitor-cli init

# The agent can now fetch credentials within its scope
$ clavitor-cli get "GitHub Deploy" --field password
$ clavitor-cli totp "GitHub"
847203

# Anything outside scope is refused
$ clavitor-cli get "Stripe API" --field key
clavitor-cli: CV-2041: Access denied.

Intégrations d'agents

Claude Code

# One-time setup; the skill is installed on first init
$ echo "$CLAVITOR_TOKEN" | clavitor-cli init

# Claude Code can now:
#   "get me the AWS credentials"
#   "what's the GitHub deploy token?"
#   "store this API key as 'Stripe Prod'"

La compétence installée applique des garde-fous : un identifiant à la fois, pas d'énumération en masse, les secrets ne sont jamais renvoyés dans la sortie de la conversation.

Codex (OpenAI)

# Codex uses the HTTPS proxy — no API key in the environment
$ export HTTPS_PROXY=http://localhost:1983
$ codex

Le proxy résout les références clavitor:// dans les en-têtes de requêtes sortantes. La clé n'entre jamais dans la mémoire ou les journaux de Codex.

OpenClaw

Remplacez les clés API codées en dur dans openclaw.json par des références au coffre-fort :

{
  "providers": {
    "openrouter": {
      "apiKey": "clavitor://OpenRouter API/key"
    },
    "fireworks": {
      "apiKey": "clavitor://Fireworks.ai/key"
    }
  },
  "channels": {
    "discord": {
      "accounts": {
        "main": { "token": "clavitor://Discord Bot/token" }
      }
    }
  }
}

# Start with resolved config
$ clavitor-cli render openclaw.json | openclaw start --config -

Hermes

# Initialize with a scoped token (stdin keeps the secret out of argv)
$ echo "$CLAVITOR_TOKEN" | clavitor-cli init

# Hermes resolves credentials via the CLI skill,
# or through the proxy for API calls
$ export HTTPS_PROXY=http://localhost:1983
$ hermes start

Cursor / Windsurf / Aider

Tout agent qui exécute des commandes shell. Ajoutez aux instructions du projet :

# "Use clavitor-cli to retrieve secrets. Never ask the user for passwords."

CrewAI / LangChain / AutoGen

import subprocess

def get_secret(name, field="password"):
    return subprocess.check_output(
        ["clavitor-cli", "get", name, "--field", field]
    ).decode().strip()

# Use inline — don't store in a variable longer than needed
client = OpenAI(api_key=get_secret("OpenRouter API", "key"))

n8n / Make / Zapier

Utilisez le proxy HTTPS pour les intégrations basées sur HTTP — les identifiants sont résolus de manière transparente à partir des en-têtes de requête :

$ export HTTPS_PROXY=http://localhost:1983
$ curl -H "Authorization: Bearer clavitor://Stripe API/key" \
  https://api.stripe.com/v1/charges

Configurations multi-agents

Vous exécutez plusieurs agents sur différents projets ? Créez un agent distinct pour chacun. Chaque agent obtient sa propre portée, ses propres limites de débit, sa propre piste d'audit.

Chaque accès est consigné

Le journal d'audit enregistre quel agent a accédé à quel identifiant, quand et d'où.

# TIME                 ACTION    ENTRY               ACTOR
2026-03-08 10:23:14  read      github.com          cli:claude-code
2026-03-08 10:23:15  fill      github.com          cli:claude-code
2026-03-08 11:45:02  read      aws-production      cli:deploy-agent
2026-03-08 14:12:33  ai_read   openrouter.com      cli:codex