Keyblind

Bóveda de secretos cifrados para agentes de IA que almacena claves API en AES-256-GCM y las resuelve en tiempo de ejecución de MCP para que el texto plano nunca toque la transcripción del LLM.

GitHub

Prueba este MCPPatrocinado

Documentación

Keyblind — Ciega la IA a tus claves

Bóveda de secretos cifrada con MCP para agentes de IA. Los secretos se resuelven en tiempo de ejecución, nunca se filtran a las conversaciones de LLM.

Por qué

Los desarrolladores filtran regularmente claves de API, contraseñas y tokens a herramientas de codificación con IA. En 2025 se encontraron más de 100,000 conversaciones de LLM con secretos expuestos indexadas por motores de búsqueda.

Los agentes de IA leen tus archivos .env. Copian y pegan secretos en las conversaciones. Los confirman accidentalmente. Keyblind detiene esto manteniendo los secretos cifrados en reposo y resolviéndolos en tiempo de ejecución — el valor en texto plano nunca toca la transcripción del LLM.

Cómo funciona

┌──────────┐     ┌────────────────┐     ┌─────────────────┐
│ AI Agent │ ──→ │  Keyblind MCP  │ ──→ │  Encrypted      │
│ (Claude) │     │  Server        │     │  SQLite Vault   │
│          │ ←── │  (16 tools)    │ ←── │  (AES-256-GCM)  │
└──────────┘     └────────────────┘     └─────────────────┘
      ↑                                        │
      │ secret value never appears             │ secrets never
      │ in conversation transcript             │ stored in plaintext

Inicio rápido

# 1. Install
npm i -g keyblind

# 2. Initialize your vault
keyblind init

# 3. Auto-configure MCP for Claude Code (one command)
keyblind setup-mcp

# 4. Store secrets
echo "sk-proj-abc123" | keyblind set OPENAI_API_KEY
keyblind set DATABASE_URL -    # prompts securely

# 5. Sandbox your .env (AI agents see fakes)
keyblind sandbox

# 6. Resolve a secret
keyblind get OPENAI_API_KEY

# 7. Run commands with secrets injected as env vars
keyblind run -- npm start

# 8. List all secrets (names only, values hidden)
keyblind list

Eso es todo. Después de keyblind setup-mcp, reinicia Claude Code. Luego solo di "list my keyblind secrets" o "use my OPENAI_API_KEY" — el agente de IA resuelve secretos en tiempo de ejecución sin verlos nunca en la transcripción.

Servidor MCP

Keyblind es MCP-first — funciona con toda herramienta de IA que hable el Protocolo de Contexto de Modelo (Claude Code, Cursor, Copilot, Windsurf, Cline, Zed).

Configuración (automática)

keyblind setup-mcp

Esto configura automáticamente Claude Code para usar Keyblind. Funciona desde cualquier directorio. Para otros editores, consulta configuraciones específicas de editor.

Configuración (manual)

Añade un .mcp.json a la raíz de tu proyecto, o usa claude mcp add:

claude mcp add --scope user keyblind -- keyblind start

Con puerta biométrica (se requiere Touch ID antes de resolver secretos):

keyblind unlock                      # Authenticate first
claude mcp add keyblind -- keyblind start --biometric

La sesión expira después de 15 minutos. Requiere licencia Pro o Team.

Herramientas MCP

Herramienta	Descripción
`resolve_secret`	Resuelve un secreto en tiempo de ejecución (valor oculto de la transcripción)
`store_secret`	Cifra y almacena un secreto
`list_secrets`	Lista nombres de secretos (los valores nunca se revelan)
`delete_secret`	Elimina un secreto
`sandbox_env`	Reemplaza los valores de `.env` con falsos deterministas
`unsandbox_env`	Restaura los valores reales de `.env` desde la bóveda
`audit_log`	Ver el registro de auditoría de resolución de secretos
`totp_code`	Genera un código TOTP 2FA para una configuración almacenada
`totp_store`	Almacena una configuración TOTP desde la URI otpauth://
`totp_list`	Lista todas las configuraciones TOTP almacenadas
`totp_delete`	Elimina una configuración TOTP
`create_share_link`	Crea un enlace de compartición cifrado y con expiración para un secreto
`receive_share`	Recibe y descifra un secreto compartido
`deadman_status`	Verifica el estado del interruptor de hombre muerto
`deadman_checkin`	Restablece el temporizador del interruptor de hombre muerto
`sso_status`	Verifica el estado de autenticación SSO/OIDC

Panel web

Gestiona tus secretos desde un navegador en app.keyblind.dev. Inicia el servidor HTTP:

keyblind start --http

Luego inicia sesión con tu clave de licencia en app.keyblind.dev/login. Características:

Ver, añadir, copiar y eliminar secretos
Registro de auditoría con historial completo de accesos
Gestión de licencias
Estado del nivel Pro/Team

Extensión de navegador

La extensión de Chrome de Keyblind detecta y bloquea secretos que se pegan en interfaces de chat de IA (Claude.ai, ChatGPT, Copilot).

Características:

Detecta más de 12 formatos de claves de API (OpenAI, GitHub, Stripe, AWS, etc.)
Intercepta eventos de pegado en sitios de chat de IA
Banner de advertencia cuando se detectan secretos
Popup con estado de conexión a la bóveda

Ubicada en browser-extension/. Cárgala como extensión descomprimida desde chrome://extensions.

Precios

	Free	Pro	Team
Precio	$0	$79/año	$29/usuario/mes
Secretos	5	Ilimitados	Ilimitados
Bóveda local	✓	✓	✓
Sandbox / Unsandbox	✓	✓	✓
Servidor MCP	✓	✓	✓
Panel	✓	✓	✓
Extensión de navegador	✓	✓	✓
7 backends	✓	✓	✓
Bóvedas de equipo	—	✓	✓
Registro de auditoría	—	✓	✓
Compartición de secretos	—	✓	✓
Interruptor de hombre muerto	—	✓	✓
TOTP 2FA	—	✓	✓
Puerta biométrica	—	✓	✓
SSO/OIDC	—	—	✓
Integración CI/CD	—	✓	✓

# Buy a license at keyblind.dev, then activate:
keyblind activate <your-license-key>

# Check your status
keyblind status

Backends

Keyblind admite múltiples backends de secretos:

keyblind backends                          # List available backends
keyblind backend 1password                 # Switch to 1Password
keyblind backend bitwarden                 # Switch to Bitwarden

Backend	Lectura	Escritura	Requiere
local (predeterminado)	✓	✓	Nada
1password	✓	✓	CLI de `op`
bitwarden	✓	—	CLI de `bw`
env	✓	—	Nada
aws	✓	✓	CLI de `aws`
gcp	✓	✓	CLI de `gcloud`
azure	✓	✓	CLI de `az`

Keyblind vs Cloak

	Keyblind	Cloak
Protocolo	MCP (todos los editores)	Solo extensión de VS Code
Editores	Claude Code, Cursor, Copilot, Windsurf, Cline, Zed	VS Code, Cursor
Almacenamiento	SQLite AES-256-GCM	Archivo AES-256-GCM
Backends	Local, 1Password, Bitwarden, Env, AWS, GCP, Azure	Solo local
Sandbox	Falsos HMAC deterministas	Cifrado AES-256-GCM
Panel web	✓ (app.keyblind.dev)	—
Extensión de navegador	✓ (Chrome)	—
TOTP 2FA	✓	—
Compartición de secretos	✓ (fragmento de URL cifrado)	—
Interruptor de hombre muerto	✓	—
Touch ID	✓ (puerta biométrica de macOS)	✓
CI/CD	`keyblind run` para inyección de env	—
Red	Cero (totalmente local)	Cero
Licencia	MIT	Propietaria
Nivel gratuito	✓ (5 secretos)	✓
Pro	$79/año (ilimitado)	—

Seguridad

Cifrado AES-256-GCM con derivación de clave PBKDF2 (600K iteraciones)
Clave vinculada a la identidad de la máquina — clave de cifrado envuelta con XOR con huella de máquina
Cero red, cero telemetría — sin nube, sin cuentas, sin análisis
Bóveda almacenada en ~/.keyblind/ con permisos 0700
Falsos de sandbox deterministas usando HMAC-SHA256 por proyecto + nombre de clave

Referencia de CLI

keyblind init                 Initialize the encrypted vault
keyblind set <name>           Store a secret (value from stdin)
keyblind set <name> -         Store a secret (prompts securely)
keyblind get <name>           Resolve and print a secret
keyblind list                 List all stored secrets
keyblind delete <name>        Delete a secret
keyblind setup-mcp            Auto-configure MCP for Claude Code
keyblind sandbox [.env]       Replace .env with deterministic fakes
keyblind unsandbox [.env]     Restore real .env values
keyblind run <command...>     Run command with secrets as env vars
keyblind start                Start MCP server (stdio — for AI agents)
keyblind start --http         Start MCP HTTP server (for dashboard)
keyblind start --biometric    Start MCP server with biometric requirement
keyblind backends             List available backends
keyblind backend <name>       Switch backend
keyblind activate <key>       Activate a Pro/Team license
keyblind deactivate           Remove current license
keyblind status               Show license and vault status
keyblind audit                Show secret resolution audit log
keyblind check --expired      List secrets past expiry
keyblind rotate <name>        Update a secret value
keyblind team init [path]     Create a shared team vault
keyblind team push <name>     Push a secret to team vault
keyblind team pull            Pull secrets from team vault
keyblind team list            List secrets in team vault
keyblind totp set <name>      Store TOTP 2FA config
keyblind totp code <name>     Generate current TOTP code
keyblind totp list            List all TOTP configs
keyblind totp delete <name>   Delete a TOTP config
keyblind share <name>         Create encrypted share link
keyblind receive <url>        Receive a shared secret
keyblind deadman setup        Configure dead man's switch
keyblind deadman checkin      Reset dead man's switch timer
keyblind deadman status       Show dead man's switch status
keyblind deadman disable      Disable dead man's switch
keyblind sso configure        Set up SSO/OIDC for team access
keyblind sso login            Authenticate via browser SSO
keyblind sso logout           Clear SSO session
keyblind sso status           Show SSO auth status
keyblind doctor               Run vault health check
keyblind generate <name>      Generate a strong random secret
keyblind import [.env]        Bulk import from .env file
keyblind export               Export all secrets
keyblind completions [shell]  Generate shell completion script

Desarrollo

git clone https://github.com/aarifmms/keyblind.git
cd keyblind
npm install
npm run build       # Compile TypeScript
npm test            # Run tests
npm run dev         # Watch mode

Licencia

MIT