🔐 mcp-keyguard

Tu agente de IA nunca debería ver tus claves API. Ahora no lo hará.

mcp-keyguard es un servidor MCP local que actúa como un proxy seguro entre tu agente de IA (Claude, Cursor, Windsurf...) y cualquier API externa.

En lugar de pegar tus claves de OpenAI, Stripe o GitHub en el contexto del chat, las almacenas cifradas en tu máquina. El agente llama a mcp-keyguard, el cual inyecta la clave real en el lado del servidor y devuelve el resultado.

La clave nunca sale de tu máquina. El agente nunca la ve.

Por qué es importante

En 2025, una vulnerabilidad en una plataforma de alojamiento MCP popular expuso miles de claves API de más de 3.000 servidores. ¿La causa raíz? Claves que pasaban a través de infraestructura que el usuario no controlaba.

mcp-keyguard es lo opuesto: totalmente local, sin dependencias externas, tus claves cifradas en reposo con AES-128.

Related MCP server: aarifmms/keyblind

Cómo funciona

Your prompt → Claude → mcp-keyguard → [injects real key] → External API
                           ↑
                    Key never leaves here

Instalación

Requisitos: Python 3.10+

pip install mcp httpx cryptography
git clone https://github.com/ggc180820/mcp-keyguard.git
cd mcp-keyguard

Añádelo a tu claude_desktop_config.json:

{
  "mcpServers": {
    "mcp-keyguard": {
      "command": "python",
      "args": ["/path/to/mcp-keyguard/main.py"]
    }
  }
}

Reinicia Claude Desktop. Listo.

Uso

1. Almacena una clave (haces esto una vez por clave)

"Usa add_key para almacenar mi clave de OpenAI con el alias 'openai', header_name 'Authorization', header_prefix 'Bearer '"

2. Realiza solicitudes autenticadas (Claude hace esto automáticamente)

"Usa make_request con el alias 'openai' para llamar a https://api.openai.com/v1/models"

3. Comprueba lo que está almacenado

"Usa list_keys" → Muestra alias y cabeceras. Nunca los valores reales.

Herramientas

Modelo de seguridad

• Las claves están cifradas con Fernet (AES-128-CBC + HMAC-SHA256)

• La clave de cifrado reside solo en vault.key en tu máquina

• Todas las solicitudes HTTP se realizan localmente con un tiempo de espera de 30s

• Nunca subas vault.key o vault.json a git (ya están en .gitignore)

mcp-keyguard Pro

¿Necesitas más control? Pro añade:

👉 Obtener Pro — 5€/mes

Licencia

MIT: gratis para siempre para uso personal.