George Orwell — 1984
"अगर आप कोई राज़ रखना चाहते हैं, तो आपको उसे खुद से भी छिपाना होगा।"
हमने यही किया। आपकी Identity Encryption कुंजी आपके ब्राउज़र में आपके WebAuthn authenticator से व्युत्पन्न होती है — फ़िंगरप्रिंट, चेहरा, या हार्डवेयर कुंजी। हमारे सर्वर ने इसे कभी नहीं देखा। वे आपके निजी फ़ील्ड को चाहकर भी डिक्रिप्ट नहीं कर सकते। और न कोई और।
Credential जारी करना & पासवर्ड प्रबंधन
दो समस्याएँ। एक उत्पाद।
AI एजेंट्स को credentials चाहिए
आपके एजेंट कोड डिप्लॉय करते हैं, कुंजियाँ रोटेट करते हैं, 2FA पूरा करते हैं — लेकिन मौजूदा पासवर्ड मैनेजर उन्हें या तो सब कुछ देते हैं या कुछ नहीं। Clavitor हर एजेंट को केवल वही credentials देता है जो उसे चाहिए। कोई vault ब्राउज़िंग नहीं। कोई खोज नहीं।
Credentials को असली एन्क्रिप्शन चाहिए
हर पासवर्ड मैनेजर मास्टर पासवर्ड से एन्क्रिप्ट करता है। जब वह पासवर्ड कमज़ोर हो — या चोरी हो जाए — तो सब कुछ गिर जाता है। Clavitor कुंजियाँ आपके हार्डवेयर से व्युत्पन्न करता है। क्रैक करने के लिए कोई पासवर्ड नहीं। ब्रूट-फ़ोर्स करने के लिए कोई बैकअप नहीं।
समस्या
हर पासवर्ड मैनेजर AI एजेंट्स के अस्तित्व से पहले बनाया गया था। अब उन्हें पकड़ना होगा।
सब-या-कुछ-नहीं टूटा हुआ है
बाकी सब आपके AI एजेंट को vault में सब कुछ दे देते हैं, या कुछ भी नहीं। आपके AI को आपका GitHub token चाहिए — उसे आपका पासपोर्ट नंबर भी देखने की ज़रूरत नहीं।
नीति सुरक्षा नहीं है
"AI-सुरक्षित" vault अभी भी सब कुछ सर्वर-साइड डिक्रिप्ट करते हैं। अगर सर्वर पढ़ सकता है, तो यह सच में निजी नहीं है। गणित हमेशा नीति से जीतता है।
एजेंट्स को credentials चाहिए — और 2FA भी
आपका AI लॉग इन नहीं कर सकता, टू-फ़ैक्टर पास नहीं कर सकता, या कुंजियाँ रोटेट नहीं कर सकता बिना एक्सेस के। clavitor तीनों करने देता है — बिना आपके क्रेडिट कार्ड को उसी पाइपलाइन में उजागर किए।
यह कैसे काम करता है
"आपका सहायक आपकी उड़ानें बुक कर सकता है।
आपकी डायरी नहीं पढ़ सकता।"
हर फ़ील्ड एन्क्रिप्टेड है। लेकिन कुछ को दूसरा ताला मिलता है। वह दूसरी कुंजी आपके WebAuthn authenticator से व्युत्पन्न होती है और केवल आपके ब्राउज़र में मौजूद होती है। हम तिजोरी की रखवाली करते हैं। केवल आपके पास वह कुंजी है।
AI द्वारा पढ़ने योग्य
विश्राम में एन्क्रिप्टेड, vault सर्वर द्वारा डिक्रिप्ट करने योग्य। आपका AI एजेंट इन्हें CLI के माध्यम से एक्सेस करता है।
- API keys & tokens
- SSH keys
- TOTP 2FA कोड — AI आपके लिए जनरेट करता है
- OAuth tokens
- संरचित नोट्स
केवल आपका डिवाइस
WebAuthn PRF से क्लाइंट-साइड एन्क्रिप्टेड। सर्वर plaintext कभी नहीं देखता। कभी नहीं।
- क्रेडिट कार्ड नंबर
- CVV
- पासपोर्ट & SSN
- निजी साइनिंग कुंजियाँ
- निजी नोट्स
अलग तरह से बनाया गया
बस एक और पासवर्ड मैनेजर नहीं जिसमें AI का चेकबॉक्स लगा हो। आर्किटेक्चर ही फ़ीचर है।
फ़ील्ड-स्तरीय AI दृश्यता
हर फ़ील्ड का अपना एन्क्रिप्शन स्तर है। आपका AI यूज़रनेम पढ़ता है, CVV नहीं। एक ही आइटम, अलग एक्सेस।
WebAuthn PRF
Identity Encryption WebAuthn PRF का उपयोग करता है — आपके WebAuthn authenticator से व्युत्पन्न एक क्रिप्टोग्राफ़िक कुंजी — फ़िंगरप्रिंट, चेहरा, या हार्डवेयर कुंजी। गणित, नीति नहीं। हम इसे शाब्दिक रूप से डिक्रिप्ट नहीं कर सकते।
API keys — विशेष स्थान
एक समर्पित API key श्रेणी वाला एकमात्र vault — एजेंट-एक्सेसिबल और दृश्य रूप से अलग। Hosted योजनाएँ इम्पोर्ट पर API keys को स्वचालित रूप से पहचानती हैं। आपका एजेंट API key लाता है, लेकिन आपका पासपोर्ट कभी नहीं दिखता।
Scoped agent tokens
प्रति एजेंट अलग tokens बनाएँ। हर token केवल अपनी निर्धारित प्रविष्टियाँ देखता है। एक से समझौता? बाकी सुरक्षित रहते हैं।
एक बाइनरी, एक फ़ाइल
कोई Docker नहीं। कोई Postgres नहीं। कोई Redis नहीं। एक Go बाइनरी, एक SQLite फ़ाइल। Raspberry Pi पर चलता है। $4/माह के VPS पर चलता है।
कहीं से भी अपग्रेड करें
14 पासवर्ड मैनेजर और ब्राउज़र से इम्पोर्ट करें। हर फ़ील्ड मैप किया गया, हर टाइप संरक्षित, आगमन पर दोहरा एन्क्रिप्शन। सभी स्रोत देखें →
10 एजेंट।
हर एक को ठीक वही मिलता है जो उसे चाहिए।
प्रति एजेंट scoped CLI tokens बनाएँ। एक समझौतित एजेंट एक scope उजागर करता है — आपकी पूरी vault नहीं।
MCP क्यों नहीं? क्योंकि credentials vault में एन्क्रिप्टेड हैं — उन्हें CLI द्वारा स्थानीय रूप से डिक्रिप्ट करना होगा। एक MCP सर्वर ऐसा नहीं कर सकता। CLI आपकी मशीन पर डिक्रिप्ट करता है, plaintext लौटाता है, और कुछ भी संवेदनशील किसी तृतीय-पक्ष प्रोटोकॉल परत से नहीं गुज़रता।
Agent workflow
# Agent fetches exactly what it's scoped to $ clavitor-cli get "GitHub Deploy" --field password ghp_a3f8...
Claude Code
# Install the skill — Claude Code learns your vault $ clavitor-cli skill > ~/.claude/skills/clavitor.md # Then just ask: # "get me the AWS credentials" # "store this API key as 'Stripe Prod'"
आपका एजेंट और आप — एक ही vault, सही एक्सेस
अंदर जाने के चार तरीके। हर एक अलग संदर्भ के लिए डिज़ाइन किया गया। सभी एक ही एन्क्रिप्टेड स्टोर की ओर इशारा करते हैं।
CLI
AI एजेंट्स के लिए
एजेंट credentials लाने के लिए CLI को कॉल करते हैं — प्रति एजेंट scoped। हर एजेंट केवल वही देखता है जो उसे दिया गया है। कोई vault ब्राउज़िंग नहीं, कोई खोज नहीं।
Extension
ब्राउज़र में इंसानों के लिए
पासवर्ड ऑटोफ़िल करें, 2FA कोड इनलाइन जनरेट करें, और अपने authenticator से Identity फ़ील्ड अनलॉक करें — पेज छोड़े बिना।
CLI
टर्मिनल वर्कफ़्लो के लिए
Credentials को सीधे स्क्रिप्ट और CI पाइपलाइन में पाइप करें। vault get github.token — बस।
API
बाकी सब के लिए
Scoped tokens के साथ REST API। अपनी deployment पाइपलाइन को staging keys का रीड एक्सेस दें। और कुछ नहीं।
यह क्यों मायने रखता है
2022 में भंग हुआ। में अभी भी ख़ून बह रहा है।
2022 में, LastPass ने एन्क्रिप्टेड vault बैकअप खो दिए। हर vault ग्राहक के मास्टर पासवर्ड से एन्क्रिप्टेड था। सालों बाद, हमलावर अभी भी उन्हें क्रैक कर रहे हैं — पहले कमज़ोर पासवर्ड, फिर मज़बूत। FBI ने $150M क्रिप्टो चोरी का पता उसी एक भंग से लगाया। लेकिन क्रिप्टो तो बस दिखने वाला नुकसान है — उन्हीं vaults में बैंक लॉगिन, कॉर्पोरेट VPN credentials, मेडिकल पोर्टल और टैक्स अकाउंट भी थे।
एक ही भंग से पुष्टि की गई क्रिप्टो चोरी। FBI द्वारा ट्रेस की गई। अभी भी बढ़ रही है। Krebs on Security ↗
चोरी अभी भी जारी है। एन्क्रिप्शन प्रति-ग्राहक था — लेकिन कुंजी एक पासवर्ड थी। पासवर्ड क्रैक हो जाते हैं। Security Affairs ↗
Clavitor हार्डवेयर कुंजी को प्रति सेकंड एक ट्रिलियन अनुमानों से ब्रूट-फ़ोर्स करने में ब्रह्मांड की आयु से एक ट्रिलियन × एक ट्रिलियन × एक ट्रिलियन × एक ट्रिलियन गुना अधिक समय लगेगा। यह कोई अलंकार नहीं है। यह गणित है।
Clavitor का उत्तर: 21 क्षेत्र — हर vault एक पृथक डेटाबेस है, किसी साझा तालिका में एक पंक्ति नहीं। हर credential और identity फ़ील्ड की अपनी एन्क्रिप्शन कुंजी है जो आपके WebAuthn authenticator से व्युत्पन्न होती है — फ़िंगरप्रिंट, चेहरा, YubiKey, या कोई भी FIDO2 डिवाइस। आपने कोई पासवर्ड नहीं चुना। आप कोई पासवर्ड चुन भी नहीं सकते थे। एक कुंजी जो कभी किसी सर्वर पर मौजूद नहीं रही, कभी किसी बैकअप में नहीं रही, और ब्रूट-फ़ोर्स नहीं की जा सकती क्योंकि यह कभी अक्षरों की कोई श्रृंखला ही नहीं थी।
उस शक्ति के साथ ज़िम्मेदारी आती है। हमेशा कम से कम दो डिवाइस रजिस्टर करें (फ़ोन + लैपटॉप)। और बेहतर: अपनी रिकवरी कुंजी प्रिंट करें, उसे PIN से सुरक्षित करें, और उसे अपने घर से बाहर कहीं रखें। अगर आप अपने सभी डिवाइस खो देते हैं, तो वह प्रिंटआउट आपकी एकमात्र वापसी का रास्ता है। हम आपकी मदद नहीं कर सकते — यह डिज़ाइन से है।
प्रतिस्पर्धा
हमने सुना। और सबको संबोधित किया।
असली उपयोगकर्ताओं की असली शिकायतें — 1Password, Bitwarden, और LastPass के बारे में। फ़ोरम, GitHub issues, और Hacker News से ली गईं। हमारे अपने उपयोगकर्ताओं से चुनी नहीं गईं।
1PASSWORD — Community Forum
"The web extensions are laughably bad at this point. This has been going on for months. They either won't fill, wont' unlock, or just plain won't do anything (even clicking extension icon). It's so bad"
- clavitor: कोई डेस्कटॉप ऐप निर्भरता नहीं। Extension सीधे स्थानीय vault बाइनरी से बात करता है — कोई IPC नहीं, कोई sync नहीं, कोई unlock चेन नहीं।
BITWARDEN — GitHub Issues
"Every single website loads slower. From Google, up to social media websites like Reddit, Instagram, X up to websites like example.com. Even scrolling and animation stutters sometimes. javascript heavy websites like X, Instagram, Reddit etc. become extremely sluggish when interacting with buttons. So for me the Bitwarden browser extension is unusable. It interferes with my browsing experience like malware."
- clavitor: शून्य content scripts। Extension पेजों में कुछ भी इंजेक्ट नहीं करता — भरना केवल ब्राउज़र autofill API के माध्यम से होता है, केवल जब आप माँगें।
LASTPASS — Hacker News
"The fact they're drip-feeding how bad this breach actually was is terrible enough... Personally I'm never touching them again."
— intunderflow, January 2023 ↗
- clavitor: स्वयं होस्ट करें या Identity Encryption के साथ hosted उपयोग करें — हम गणितीय रूप से आपके निजी फ़ील्ड नहीं पढ़ सकते। भंग करने के लिए कोई vault डेटा नहीं।
1PASSWORD — Community Forum
"Since doing so, it asks me to enter my password every 10 minutes or so in the chrome extension"
— Anonymous (Former Member), November 2022 ↗
- clavitor: WebAuthn-first। आपका authenticator प्राथमिक अनलॉक है। सेशन स्थानीय रूप से रहता है — कोई सर्वर-साइड समाप्ति नहीं जो पुनः प्रमाणीकरण मजबूर करे।
BITWARDEN — Community Forums
"the password not only auto-filled in the password field, but also auto-filled in reddit's search box!"
"if autofill has the propensity at times to put an entire password in plain text in a random field, autofill seems like more risk than it's worth."
- clavitor: LLM फ़ील्ड पहचान। Extension फ़ॉर्म पढ़ता है, मॉडल से पूछता है कौन सा फ़ील्ड क्या है — इरादे के आधार पर भरता है, CSS selector के आधार पर नहीं।
BITWARDEN — Community Forums
"Bitwarden REFUSES to autofill the actual password saved for a given site or app...and instead fills an old password. It simply substitutes the OLD password for the new one that is plainly saved in the vault."
- clavitor: LLM फ़ील्ड पहचान इरादे से मैच करती है। प्रविष्टियाँ URL द्वारा अनुक्रमित हैं — सही साइट के लिए सही credential, हर बार।
सभी उद्धरण सार्वजनिक पोस्ट से शब्दशः हैं। URL सत्यापित। स्रोत देखें →
आपकी vault हर जगह होनी चाहिए जहाँ आप हैं।
एक पासवर्ड मैनेजर जो केवल आपके होम नेटवर्क पर काम करता है, पासवर्ड मैनेजर नहीं है। आपका लैपटॉप चलता है। आपका फ़ोन चलता है। आपके ब्राउज़र extension को कॉफ़ी शॉप में, हवाई जहाज़ में, क्लाइंट के ऑफ़िस में आपकी vault चाहिए।
इसे स्वयं होस्ट करने का मतलब है एक सर्वर जिसमें पब्लिक IP हो, DNS, TLS सर्टिफ़िकेट, अपटाइम मॉनिटरिंग, और बैकअप। यह कोई वीकेंड प्रोजेक्ट नहीं — यह इन्फ़्रास्ट्रक्चर है।
हम clavitor को हर महाद्वीप पर 21 क्षेत्रों में चलाते हैं। $12/वर्ष। आपकी Identity Encryption कुंजियाँ कभी आपका ब्राउज़र नहीं छोड़तीं — हम गणितीय रूप से आपके निजी फ़ील्ड नहीं पढ़ सकते।
30 सेकंड में चालू
एक कमांड। कोई dependencies नहीं।
Terminal
Agent access — scoped, encrypted
# Initialize the agent (one-time, token from web UI) $ clavitor-cli init <setup-token> # Agent fetches only what it's scoped to $ clavitor-cli get "Vercel" --field password tV3r...