danieljustus/symaira-vault

Symaira Vault — консольный менеджер паролей на Go, который хранит секреты в age-зашифрованном виде и отдаёт их как AI-агентам через MCP, так и человеку в терминале. Нужен разработчикам и командам, которые хотят держать пароли и токены под контролем без облачных сервисов.

Ключевые возможности

• Шифрование age (X25519 + ChaCha20-Poly1305)
• Хранение и генерация TOTP-кодов
• Автоочистка буфера обмена после таймаута
• Автозаполнение паролей на macOS, Linux и Windows
• Запуск команд с секретами из хранилища в переменных окружения
• MCP-сервер по stdio и HTTP со scoped-токенами для AI-агентов

Для каких задач подходит

• Хранение паролей и API-ключей в терминале без облачного менеджера
• Выдача секретов AI-агенту через MCP с ограничением по токену
• Запуск скриптов и деплоя с подстановкой секретов из хранилища
• Совместный доступ к общим секретам через age-получателей
• Приём и проверка случайных файлов с секретами перед добавлением в хранилище

Подробнее

Symaira Vault построен вокруг формата age: каждый секрет шифруется получателям X25519, а расшифровка требует приватного ключа. Сессионный кэш живёт в системном keyring с TTL 15 минут, поэтому повторный ввод мастер-пароля не нужен на каждом шаге. Помимо обычного CLI-сценария с копированием в буфер и автозаполнением, есть режим запуска команд, где секреты подставляются как переменные окружения — удобно для скриптов и CI-подобных задач.

Отличие от классических менеджеров паролей — встроенный MCP-сервер. Он работает по stdio и HTTP, выдаёт агенту только те секреты, которые разрешены scoped-токеном, и предлагает готовые slash-команды вроде add-credential или rotate-credential для Claude Code, OpenCode и Hermes. Для сбора учётных данных из чата предусмотрен нативный диалог ввода, а для разбора случайных файлов с секретами — карантин с ручным подтверждением перед попаданием в хранилище.

Стоит учитывать, что проект до версии 1.0: CLI и формат хранилища ещё стабилизируются, а README прямо предупреждает о рисках работы с чувствительными данными и советует держать проверенные резервные копии. Часть функций завязана на платформу: автозаполнение и нативные диалоги реализованы по-разному в macOS, Linux и Windows. Телеметрии нет, лицензия Apache-2.0 допускает коммерческое использование.