🔐 mcp-keyguard

Ihr KI-Agent sollte niemals Ihre API-Schlüssel sehen. Jetzt wird er das auch nicht mehr.

mcp-keyguard ist ein lokaler MCP-Server, der als sicherer Proxy zwischen Ihrem KI-Agenten (Claude, Cursor, Windsurf...) und jeder externen API fungiert.

Anstatt Ihre OpenAI-, Stripe- oder GitHub-Schlüssel in den Chat-Kontext einzufügen, speichern Sie diese verschlüsselt auf Ihrem Rechner. Der Agent ruft mcp-keyguard auf, welcher den echten Schlüssel serverseitig einfügt und das Ergebnis zurückgibt.

Der Schlüssel verlässt niemals Ihren Rechner. Der Agent sieht ihn niemals.

Warum das wichtig ist

Im Jahr 2025 legte eine Sicherheitslücke in einer populären MCP-Hosting-Plattform Tausende von API-Schlüsseln von über 3.000 Servern offen. Die Ursache? Schlüssel wurden durch Infrastrukturen geleitet, die der Benutzer nicht kontrollierte.

mcp-keyguard ist das Gegenteil: vollständig lokal, keine externen Abhängigkeiten, Ihre Schlüssel sind im Ruhezustand mit AES-128 verschlüsselt.

Related MCP server: aarifmms/keyblind

Funktionsweise

Your prompt → Claude → mcp-keyguard → [injects real key] → External API
                           ↑
                    Key never leaves here

Installation

Voraussetzungen: Python 3.10+

pip install mcp httpx cryptography
git clone https://github.com/ggc180820/mcp-keyguard.git
cd mcp-keyguard

Fügen Sie dies zu Ihrer claude_desktop_config.json hinzu:

{
  "mcpServers": {
    "mcp-keyguard": {
      "command": "python",
      "args": ["/path/to/mcp-keyguard/main.py"]
    }
  }
}

Starten Sie Claude Desktop neu. Fertig.

Verwendung

1. Einen Schlüssel speichern (dies tun Sie einmal pro Schlüssel)

"Use add_key to store my OpenAI key with alias 'openai',
header_name 'Authorization', header_prefix 'Bearer '"

2. Authentifizierte Anfragen stellen (Claude erledigt dies automatisch)

"Use make_request with alias 'openai' to call
https://api.openai.com/v1/models"

3. Überprüfen, was gespeichert ist

"Use list_keys"
→ Zeigt Aliase und Header. Niemals die echten Werte.

Tools

Sicherheitsmodell

• Schlüssel werden mit Fernet (AES-128-CBC + HMAC-SHA256) verschlüsselt

• Der Verschlüsselungsschlüssel befindet sich nur auf Ihrem Rechner in vault.key

• Alle HTTP-Anfragen werden lokal mit einem 30-Sekunden-Timeout durchgeführt

• Committen Sie niemals vault.key oder vault.json in Git (bereits in .gitignore enthalten)

mcp-keyguard Pro

Benötigen Sie mehr Kontrolle? Pro fügt hinzu:

👉 Get Pro — 5€/Monat

Lizenz

MIT — für immer kostenlos für den persönlichen Gebrauch.