Keysrs

Keysrs

Mac とクラウド VM で AI エージェントに短期間有効なトークンを発行します。実際の API キーは macOS キーチェーンに保管され、エージェントには代わりにスコープを限定したトークンが渡されます。

• MCP ファースト。 エージェントは MCP 経由で Keysrs とやり取りします。プロジェクト内のキーを見つけてインポートし、アクセスを申請します。各許可は Touch ID で承認します。
• 短期間有効なトークン。 許可の対象は 1 つのキー、1 つのホスト、数分から数時間です。プロジェクトトークンの有効期間は 30 日です。1 回の呼び出しですべてを取り消せます。
• クラウド VM にも対応。 VM やサンドボックスにはキーではなくトークンを渡します。その呼び出しは SSH または自分でデプロイするリレーを介して Mac 上のゲートウェイに戻り、そこで実際のキーに置き換えられます。

Keysrs は、ゲートウェイ経由の呼び出しについて、キーおよびプロバイダーごとのトークン、リクエスト、推定利用額もグラフで表示します。

無料で、MIT ライセンスです。Apple Silicon 搭載の macOS 14 以降に対応しています。

インストール

keysrs.com または最新リリースから Keysrs-arm64.dmg をダウンロードし、Keysrs を Applications にドラッグして開きます。バックグラウンドで実行され（再度開くまで Dock アイコンやウィンドウは表示されません）、自動で更新されます。

keys コマンドラインツールを使うには、Keysrs メニューから コマンドラインツールをインストール… を選択します。~/.local/bin/keys へのリンクが作成されます。

エージェントでの使用

keys setup mcp

これにより、Keysrs MCP サーバーが Claude Code、Codex、Cursor、Droid、Claude Desktop に登録されます。エージェントを再起動してから、普段の言葉で次のように依頼してください。

• 「Keysrs でこのプロジェクトの API キーをスキャンして。」環境設定ファイル内の認証情報らしき変数を見つけ、値は表示せず、名前と末尾 4 文字のヒントを報告します。
• 「このプロジェクトのキーをインポートしてラップして。」Touch ID で 1 回認証すると、キーが macOS キーチェーンに移され、環境設定ファイルは有効期間 30 日のプロジェクトトークンに書き換えられます。
• 「キー anthropic の Keysrs 許可を 30 分間申請して。」Touch ID で承認すると、エージェントには 1 つのキー、1 つのホスト、時間制限にスコープを限定したトークンが渡されます。
• 「すべて取り消して。」すべての許可、プロジェクトトークン、リレーのペアリングを一度に終了し、リレーを停止します。

keys unwrap を実行すると、元の値に戻ります。

クラウド VM

keys gateway on openai                               # once per key
keys client issue openai --label "my vm" --days 7   # a revocable token for the VM
keys tunnel user@my-vm                               # VM reaches the gateway over SSH

VM 上では、エージェントの接続先を http://127.0.0.1:12767/openai に設定し、ksfc_… トークンを API キーとして使います。SSH 接続できないサンドボックスの場合は、keys relay を使うと、自分のアカウントにデプロイした Cloudflare Worker を介して同じゲートウェイを利用できます。また、keys share "my box" --key openai を使うと、1 つのトークンとペアリングで複数のキーを一度にマシンに渡せます。環境変数として貼り付けられる形式で出力されます。クラウドエージェントとリレーをご覧ください。

コマンドラインからの使用

keys add                                  # guided: provider, name, hidden secret
keys list
keys grant openai --minutes 30            # a scoped token for a script
keys env openai OPENAI_API_KEY -- python run.py
keys spend --week
keys help                                 # every command

詳細：完全ガイド、エージェントと MCP、クラウドエージェント、リレー。

プライバシー

• すべて 127.0.0.1 でのみ待ち受けます。外部から接続するための唯一のオプションは、自分の Cloudflare アカウントにデプロイするリレー Worker です。キーがリレーを通過することはありません。
• ツール、ログ、画面、レポートにキーの値が表示されることはありません。コピー、表示、環境設定、ローテーションのたびに Touch ID が必要です。
• Keysrs がカウントするのは独自のゲートウェイ経由の呼び出しのみです。他のツールのログを読み取ることはありません。また、~/.codex/auth.json、~/.grok/auth.json、ブラウザーの Cookie、プロバイダーの Web サイトを読み取ることもありません。
• アプリは分析データやテレメトリーを送信しません。
• 更新確認では、GitHub のリリース API に Cookie なしのリクエストを 1 回送信します。

ソースからビルド

make build                     # signed debug CLI at .build/debug/keys
python3 scripts/build-app.py   # Keysrs.app from the release build
swift test                     # offline; CI's env is in test.yml

署名の設定については SIGNING.md をご覧ください。CI で実行されるチェックの一覧は .github/workflows/test.yml にあります。

Keysrs は以前 Keysreallysafe という名前でした。既存のインストールが引き続き動作するよう、リポジトリ、キーチェーンのサービス、データフォルダーにはその名前が残っています。

ライセンス

MIT。LICENSE とサードパーティー通知をご覧ください。