George Orwell — 1984
"Bir sırrı saklamak istiyorsan, onu kendinden de gizlemelisin."
Biz de öyle yaptık. Identity Encryption anahtarınız, tarayıcınızda WebAuthn doğrulayıcınızdan — parmak izi, yüz veya donanım anahtarı — türetilir. Sunucularımız onu hiç görmedi. Özel alanlarınızı isteseler bile çözemezlerdi. Başka hiç kimse de.
Kimlik bilgisi dağıtımı & parola yönetimi
İki sorun. Tek ürün.
AI ajanlarının kimlik bilgilerine ihtiyacı var
Ajanlarınız kod dağıtır, anahtar döndürür, 2FA geçer — ama mevcut parola yöneticileri ya her şeyi verir ya da hiçbir şey. Clavitor her ajana yalnızca ihtiyacı olan kimlik bilgilerini verir. Kasa tarama yok. Keşif yok.
Kimlik bilgileri gerçek şifrelemeye ihtiyaç duyuyor
Her parola yöneticisi ana parolayla şifreler. O parola zayıfsa — veya çalınırsa — her şey düşer. Clavitor anahtarları donanımınızdan türetir. Kıracak parola yok. Kaba kuvvetle deneyecek yedek yok.
Sorun
Her parola yöneticisi, AI ajanları var olmadan önce inşa edildi. Şimdi yetişmeleri gerekiyor.
Ya hep ya hiç — bu işe yaramaz
Diğer tüm yöneticiler AI ajanınıza kasadaki her şeye erişim verir ya da hiçbir şey vermez. AI'ınızın GitHub token'ına ihtiyacı var — ama pasaport numaranızı da görmemeli.
Politika güvenlik değildir
"AI güvenli" kasalar hâlâ her şeyi sunucu tarafında çözer. Sunucu okuyabiliyorsa, gerçekten özel değildir. Matematik her zaman politikayı yener.
Ajanların kimlik bilgilerine ihtiyacı var — ve 2FA'ya da
AI'nız erişim olmadan giriş yapamaz, iki faktörlü doğrulamayı geçemez veya anahtar döndüremez. clavitor üçünü de mümkün kılar — kredi kartınızı aynı hatta açığa çıkarmadan.
Nasıl çalışır
"Asistanınız uçuşlarınızı rezerve edebilir.
Günlüğünüzü okuyamaz."
Her alan şifrelenir. Ama bazıları ikinci bir kilit alır. İkinci anahtar, WebAuthn doğrulayıcınızdan türetilir ve yalnızca tarayıcınızda bulunur. Kasayı biz tutuyoruz. Anahtarı yalnızca siz tutuyorsunuz.
AI tarafından okunabilir
Beklemede şifrelenmiş, kasa sunucusu tarafından çözülebilir. AI ajanınız bunlara CLI üzerinden erişir.
- API keys & tokens
- SSH keys
- TOTP 2FA kodları — AI sizin için üretir
- OAuth tokens
- Yapılandırılmış notlar
Yalnızca sizin cihazınız
WebAuthn PRF ile istemci tarafında şifrelenir. Sunucu düz metni asla görmez. Asla.
- Kredi kartı numaraları
- CVV
- Pasaport & SSN
- Özel imza anahtarları
- Özel notlar
Farklı inşa edildi
AI onay kutusu olan sıradan bir parola yöneticisi değil. Mimari, özelliğin ta kendisi.
Alan düzeyinde AI görünürlüğü
Her alanın kendi şifreleme seviyesi var. AI'nız kullanıcı adını okur, CVV'yi değil. Aynı kayıt, farklı erişim.
WebAuthn PRF
Identity Encryption, WebAuthn PRF kullanır — WebAuthn doğrulayıcınızdan (parmak izi, yüz veya donanım anahtarı) türetilen kriptografik bir anahtar. Politika değil, matematik. Biz kelimenin tam anlamıyla çözemeyiz.
API keys — birinci sınıf vatandaş
Özel bir API key kategorisi olan tek kasa — ajan tarafından erişilebilir ve görsel olarak ayrıştırılmış. Hosted planlar içe aktarmada API keys'leri otomatik algılar. Ajanınız API key'i getirir. Pasaportunuzu asla görmez.
Kapsamlı ajan token'ları
Her ajan için ayrı token oluşturun. Her token yalnızca kendisine atanan kayıtları görür. Biri ele geçirilse, geri kalanı güvende kalır.
Tek ikili dosya, tek dosya
Docker yok. Postgres yok. Redis yok. Tek Go ikili dosyası, tek SQLite dosyası. Raspberry Pi'de çalışır. Aylık $4'lık VPS'te çalışır.
Her şeyden geçiş yapın
14 parola yöneticisi ve tarayıcıdan içe aktarma. Her alan eşlenir, her tür korunur, varışta çift şifrelenir. Tüm kaynakları gör →
10 ajan.
Her biri tam olarak ihtiyacı olanı alır.
Her ajan için kapsamlı CLI token'ları oluşturun. Bir ajan ele geçirilirse yalnızca bir kapsam açığa çıkar — tüm kasanız değil.
Neden MCP değil? Çünkü kimlik bilgileri kasada şifrelidir — CLI ile yerelde çözülmeleri gerekir. Bir MCP sunucusu bunu yapamaz. CLI makinenizde çözer, düz metni döndürür ve hassas hiçbir şey üçüncü taraf bir protokol katmanından geçmez.
Agent workflow
# Agent fetches exactly what it's scoped to $ clavitor-cli get "GitHub Deploy" --field password ghp_a3f8...
Claude Code
# Install the skill — Claude Code learns your vault $ clavitor-cli skill > ~/.claude/skills/clavitor.md # Then just ask: # "get me the AWS credentials" # "store this API key as 'Stripe Prod'"
Ajanınız ve siz — aynı kasa, doğru erişim
Dört giriş yolu. Her biri farklı bir bağlam için tasarlandı. Hepsi aynı şifreli depoya işaret eder.
CLI
AI ajanları için
Ajanlar kimlik bilgilerini almak için CLI'ı çağırır — ajan başına kapsamlı. Her ajan yalnızca kendisine verilen şeyi görür. Kasa tarama yok, keşif yok.
Extension
Tarayıcıdaki insanlar için
Parolaları otomatik doldur, 2FA kodlarını satır içi üret ve doğrulayıcınızla Identity alanlarının kilidini aç — bulunduğunuz sayfadan ayrılmadan.
CLI
Terminal iş akışları için
Kimlik bilgilerini doğrudan betiklere ve CI hatlarına aktarın. vault get github.token — tamam.
API
Geri kalan her şey için
Kapsamlı token'lı REST API. Dağıtım hattınıza hazırlık anahtarlarına okuma erişimi verin. Başka bir şey değil.
Bu neden önemli
2022'de ihlal edildi. 'de hâlâ kanıyor.
2022'de LastPass şifreli kasa yedeklerini kaybetti. Her kasa, müşterinin ana parolasıyla şifrelenmişti. Yıllar sonra saldırganlar hâlâ kırıyor — önce zayıf parolalar, sonra güçlüleri. FBI, 150 milyon dolarlık kripto hırsızlığını o tek ihlale kadar takip etti. Ama kripto yalnızca görünen hasar — aynı kasalarda banka girişleri, kurumsal VPN kimlik bilgileri, tıbbi portallar ve vergi hesapları da vardı.
Tek bir ihlalden doğrulanan kripto hırsızlığı. FBI tarafından takip edildi. Hâlâ artıyor. Krebs on Security ↗
Hırsızlıklar devam ediyor. Şifreleme müşteri bazındaydı — ama anahtar bir parolaydı. Parolalar kırılır. Security Affairs ↗
Bir Clavitor donanım anahtarını saniyede bir trilyon denemeyle kaba kuvvetle kırmak, evrenin var olduğu süreden bir trilyon × bir trilyon × bir trilyon × bir trilyon kat daha uzun sürer. Bu bir mecaz değil. Bu matematik.
Clavitor'ın yanıtı: 21 bölge — her kasa izole bir veritabanıdır, paylaşılan bir tablodaki satır değil. Her kimlik bilgisi ve kimlik alanı, WebAuthn doğrulayıcınızdan — parmak izi, yüz, YubiKey veya herhangi bir FIDO2 cihazı — türetilen kendi şifreleme anahtarına sahiptir. Seçtiğiniz bir parola değil. Seçebileceğiniz bir parola da değil. Hiçbir sunucuda var olmamış, hiçbir yedekte yer almamış ve başlangıçta bir karakter dizisi olmadığı için kaba kuvvetle kırılamayan bir anahtar.
Bu güç sorumluluk getirir. Her zaman en az iki cihaz kaydedin (telefon + dizüstü). Daha da iyisi: kurtarma anahtarınızı yazdırın, PIN ile koruyun ve evinizin dışında bir yerde saklayın. Tüm cihazlarınızı kaybederseniz, o çıktı geri dönüş için tek yolunuzdur. Size yardım edemeyiz — tasarım gereği.
Rekabet
Dinledik. Ve hepsini çözdük.
Gerçek kullanıcılardan gerçek şikayetler — 1Password, Bitwarden ve LastPass hakkında. Forumlardan, GitHub sorunlarından ve Hacker News'den toplanan. Kendi kullanıcılarımızdan seçilmiş değil.
1PASSWORD — Community Forum
"The web extensions are laughably bad at this point. This has been going on for months. They either won't fill, wont' unlock, or just plain won't do anything (even clicking extension icon). It's so bad"
- clavitor: Masaüstü uygulama bağımlılığı yok. Uzantı, doğrudan yerel kasa ikili dosyasıyla iletişim kurar — IPC yok, senkronizasyon yok, kilit açma zincirleri yok.
BITWARDEN — GitHub Issues
"Every single website loads slower. From Google, up to social media websites like Reddit, Instagram, X up to websites like example.com. Even scrolling and animation stutters sometimes. javascript heavy websites like X, Instagram, Reddit etc. become extremely sluggish when interacting with buttons. So for me the Bitwarden browser extension is unusable. It interferes with my browsing experience like malware."
- clavitor: Sıfır içerik betiği. Uzantı sayfalara hiçbir şey enjekte etmez — yalnızca siz istediğinizde tarayıcı otomatik doldurma API'si üzerinden doldurur.
LASTPASS — Hacker News
"The fact they're drip-feeding how bad this breach actually was is terrible enough... Personally I'm never touching them again."
— intunderflow, January 2023 ↗
- clavitor: Kendi sunucunuzda barındırın veya Identity Encryption ile hosted kullanın — özel alanlarınızı matematiksel olarak okuyamayız. İhlal edilecek kasa verisi yok.
1PASSWORD — Community Forum
"Since doing so, it asks me to enter my password every 10 minutes or so in the chrome extension"
— Anonymous (Former Member), November 2022 ↗
- clavitor: WebAuthn öncelikli. Doğrulayıcınız birincil kilit açma aracıdır. Oturum yerelde yaşar — sunucu taraflı süre dolumu yeniden kimlik doğrulamayı zorlamaz.
BITWARDEN — Community Forums
"the password not only auto-filled in the password field, but also auto-filled in reddit's search box!"
"if autofill has the propensity at times to put an entire password in plain text in a random field, autofill seems like more risk than it's worth."
- clavitor: LLM alan tanıma. Uzantı formu okur, modele hangi alanın ne olduğunu sorar — CSS seçiciye göre değil, niyete göre doldurur.
BITWARDEN — Community Forums
"Bitwarden REFUSES to autofill the actual password saved for a given site or app...and instead fills an old password. It simply substitutes the OLD password for the new one that is plainly saved in the vault."
- clavitor: LLM alan tanıma niyete göre eşleştirir. Kayıtlar URL'ye göre dizinlenir — doğru site için doğru kimlik bilgisi, her seferinde.
Tüm alıntılar herkese açık gönderilerden aynen alınmıştır. URL'ler doğrulanmıştır. Kaynakları gör →
Kasanız, siz neredeyseniz orada olmalı.
Yalnızca ev ağınızda çalışan bir parola yöneticisi, parola yöneticisi değildir. Dizüstünüz taşınır. Telefonunuz taşınır. Tarayıcı uzantınızın kasaya kafede, uçakta, müşterinin ofisinde ihtiyacı var.
Kendi sunucunuzda barındırmak, herkese açık IP'li bir sunucu, DNS, TLS sertifikaları, çalışma süresi izleme ve yedekleme demektir. Bu bir hafta sonu projesi değil — bu altyapıdır.
clavitor'ı her kıtada 21 bölgede çalıştırıyoruz. Yıllık $12. Identity Encryption anahtarlarınız tarayıcınızı asla terk etmez — özel alanlarınızı matematiksel olarak okuyamayız.
30 saniyede çalışır hale getirin
Tek komut. Bağımlılık yok.
Terminal
Agent access — scoped, encrypted
# Initialize the agent (one-time, token from web UI) $ clavitor-cli init <setup-token> # Agent fetches only what it's scoped to $ clavitor-cli get "Vercel" --field password tV3r...