capy-cli

Capyは、オープンソースのAGPL-3.0ライセンスで提供されるシークレット管理CLIです。gitスタイルのプリミティブを使用して、アプリケーションの環境変数のバージョン管理、同期、デプロイ、アクセス失効を行います。人間の開発者とAIコーディングエージェントの両方を対象に設計されています。ゼロトラストアーキテクチャを採用し、シークレットはユーザーのマシン上でローカルに暗号化されてから、ホスト型サービスに同期されます。サービスには暗号文とチームメンバーシップの記録のみが保存され、平文、マスターキー、プロジェクトキーは一切保持されません。復号には2つの別々のキーシェアが必要です（1つはサービスが保持し、もう1つはユーザーのデバイスにローカルに保持）。そのため、ホスト型サービスが完全に侵害されても、シークレットの値が露出することはありません。インストールはnpm、Bun、Homebrewから可能で、Node.jsの最小バージョンは18です。コアワークフローは低摩擦で設計されています。ユーザーは`capy`を実行してシークレットを同期し、.envファイル内で直接値を編集するか（保存された値は`capy:{resourceId}:{ciphertext}`形式の識別可能なスニペットとして表示）、`capy edit`で起動するインタラクティブTUIを使用して編集し、`capy run -- <command>`で復号されたシークレットを環境変数としてプロセスに注入します。アプリケーション実行にカスタムSDK、バックグラウンドデーモン、ホスト型ダッシュボードは不要です。主な機能は以下の通りです。gitに連動したシークレットブランチ（Capyは独立したシークレットブランチを維持し、コミットされた`keep.lock`マニフェストを介して対応するgitブランチに固定。シークレットのバージョンがコードと一緒に移動します）。ブランチごとのアクセス制御（本番シークレットへのアクセスを承認されたチームメンバーに制限）。メール招待によるチーム管理（削除されたユーザーへのアクセスは即座に暗号学的に失効し、残りのメンバーへのカスケード型キーローテーションは不要）。Vercel、Cloudflare、Docker、Fly、Railway、Render、Heroku、GitHub Actions、AWS Lambdaなどのプラットフォーム向けのデプロイ設定サポート（生成されたデプロイトークンとシークレットブロブによるCIワークフロー対応）。オフライン機能（初回同期後はローカルキャッシュから`capy run`が動作し、ホスト型サービスが利用不能でも実行中のアプリケーションは影響を受けません）。既存プロジェクトの自動移行（平文の.envで初回実行すると、すべての値を暗号化し、暗号文をアップロードし、.envを暗号化スニペットで書き換え、元のファイルのバックアップを保存します）。CLIには、ステータスチェック、ローカル変更のプッシュ、ローカルキーのロック、外部プロバイダーからの資格情報のプル、管理対象資格情報のローテーション、ユーザープロファイル管理、セルフホスト型Capyインスタンスへの接続、AGENTS.md/CLAUDE.mdによるAIコーディングエージェント向け設定ガイダンス、アカウントリカバリ、組織管理のための完全なコマンドセットが含まれます。このプロジェクトは、サプライチェーン攻撃の表面を減らすため、ランタイム依存関係をわずか5パッケージ（commander、dotenv、inquirer、open、proper-lockfile）に抑えています。Dependabotは毎週の依存関係更新を適用するよう設定されています。このツールは個人と小規模チームには無料で、大規模組織向けの有料プランがあります。一般的なIDプロバイダーによるSSOをサポートし、GDPR準拠で、現在SOC 2監査を受けています。ホスト型サービスコンポーネントはクローズドで、ローンチ時点ではセルフホスティングは利用できません。