enigmagent-mcp — MCP-сервер для Claude Code
Локальный зашифрованный сейф для API-ключей. Агент видит только имена записей, а не сами значения.
claude mcp add --env VAULT_PASSWORD=<VAULT_PASSWORD> --env VAULT_PATH=<VAULT_PATH> --transport stdio enigmagent-mcp -- npx -y enigmagent-mcpЧто делает enigmagent-mcp
enigmagent-mcp хранит секреты в файле-сейфе, зашифрованном AES-256-GCM, а ключ выводится через Argon2id. Файл лежит на диске в зашифрованном виде, поэтому в репозиторий или в логи он не утечёт. Версия 2.0.0 читает сейфы формата 1 и создаёт новые в формате 2.
По умолчанию MCP работает в режиме только метаданных: инструмент enigmagent_list отдаёт имена, домены и время создания записей. Инструмент enigmagent_resolve, возвращающий само значение, включается отдельно — флагом --allow-raw-resolve или переменной ENIGMAGENT_ALLOW_RAW_RESOLVE=1. Автор прямо предупреждает: не включайте это для недоверенного клиента или общего процесса, потому что клиент может передать полученный открытый текст своей модели.
Есть и режим REST. Он слушает только 127.0.0.1, требует Bearer-токен длиной от 32 до 256 символов и отвергает запросы с браузерным origin. GET /health отвечает без авторизации, остальные эндпоинты — нет. При первом запуске в терминале сервер спросит пароль сейфа; для headless-процесса задайте ENIGMAGENT_USER и ENIGMAGENT_PASS в его окружении. Запись в сейф идёт через временный файл с резервной копией, так что обрыв не оставит битый сейф.
Какие задачи решает
- держать API-ключи вне контекста модели
- отдавать агенту только имена секретов, а не значения
- зашифровать сейф на диске паролем
- поднять локальный REST-доступ к секретам с токеном
- перенести сейф версии 1 на формат версии 2
Примеры запросов агенту
- Покажи список секретов через
enigmagent_list - Разреши значение для домена api.example.com через
enigmagent_resolve - Запусти сервер в режиме REST на порту 3737 с сейфом
./my.vault.json
Как установить enigmagent-mcp
Командой платформы
claude mcp add --env VAULT_PASSWORD=<VAULT_PASSWORD> --env VAULT_PATH=<VAULT_PATH> --transport stdio enigmagent-mcp -- npx -y enigmagent-mcpВместо <…> подставьте свои значения
Командой платформы
codex mcp add enigmagent-mcp --env VAULT_PASSWORD=<VAULT_PASSWORD> --env VAULT_PATH=<VAULT_PATH> -- npx -y enigmagent-mcpВместо <…> подставьте свои значения
Файл настроек
{
"mcpServers": {
"enigmagent-mcp": {
"command": "npx",
"args": [
"-y",
"enigmagent-mcp"
],
"env": {
"VAULT_PASSWORD": "<VAULT_PASSWORD>",
"VAULT_PATH": "<VAULT_PATH>"
}
}
}
}Вместо <…> подставьте свои значения
Файл настроек
{
"servers": {
"enigmagent-mcp": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"enigmagent-mcp"
],
"env": {
"VAULT_PASSWORD": "<VAULT_PASSWORD>",
"VAULT_PATH": "<VAULT_PATH>"
}
}
}
}Вместо <…> подставьте свои значения
Командой платформы
gemini mcp add -e VAULT_PASSWORD=<VAULT_PASSWORD> -e VAULT_PATH=<VAULT_PATH> enigmagent-mcp npx -y enigmagent-mcpВместо <…> подставьте свои значения
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о enigmagent-mcp
Как установить enigmagent-mcp в Claude Code?
Добавьте сервер командой claude mcp add enigmagent-mcp -e VAULT_PASSWORD=<VAULT_PASSWORD> -- npx -y enigmagent-mcp. Второй вариант — с путём к сейфу: claude mcp add --env VAULT_PASSWORD=<VAULT_PASSWORD> --env VAULT_PATH=<VAULT_PATH> --transport stdio enigmagent-mcp -- npx -y enigmagent-mcp.
Что делает enigmagent-mcp?
Это локальный MCP-сервер с зашифрованным сейфом для секретов. Он хранит значения под ключом AES-256-GCM и по умолчанию отдаёт агенту только метаданные записей.
Может ли модель получить настоящий ключ?
Да, но только если оператор включит raw-resolution флагом --allow-raw-resolve или переменной ENIGMAGENT_ALLOW_RAW_RESOLVE=1. Тогда enigmagent_resolve вернёт значение при совпадении домена, и клиент сможет передать его модели.
