APM è un gestore di password CLI veloce e a conoscenza zero scritto in Go e Rust. Memorizza **oltre 25 tipi di segreti strutturati** in un unico vault crittografato — dalle password e codici TOTP alle chiavi SSH, cartelle cliniche, foto e file binari. Da questo repository vengono distribuiti due binari: `pm` per uso personale e `pm-team` per vault organizzativi condivisi.
Perché APM?
- Veloce e facile da imparare — nessun comando o flag da memorizzare. APM ti chiede tutto ciò di cui ha bisogno. Sono disponibili anche flag CLI per gli utenti esperti che desiderano la massima velocità.
- A conoscenza zero — la tua password principale non viene mai memorizzata. Tre chiavi separate da 32 byte vengono derivate usando Argon2id. Nessuno tranne te può decrittografare il tuo vault.
- Doppia crittografia — scegli AES-256-GCM o XChaCha20-Poly1305. Integrità a doppio livello tramite HMAC-SHA256 sopra l'autenticazione AEAD.
- Portatile — un file vault, un binario. Porta il tuo vault ovunque.
- Cloud opzionale — sincronizza con Google Drive, GitHub o Dropbox. Completamente facoltativo; nessun account richiesto per usare APM.
- Pronto per l'IA — server MCP nativo con token con ambito limitato, così Claude, Cursor o qualsiasi agente compatibile con MCP può accedere al tuo vault in modo sicuro.
- Pronto per i team — RBAC completo, reparti, flussi di approvazione e vault condivisi in
pm-team.
Avvio rapido
go build -o pm .
pm setup # initialize vault and choose security profile
pm unlock # start a session
pm add # add a secret (interactive)
pm get github # fuzzy search and retrieve
pm lock # end session
Edizione Team:
cd team
go build -o pm-team .
Tipi di segreto
APM supporta 25 tipi di segreto strutturati con campi validati e logica di visualizzazione specifica per tipo:
| # | Tipo | # | Tipo |
|---|
| 1 | Password | 14 | Docker Registry |
| 2 | TOTP | 15 | CI/CD Secret |
| 3 | Government ID | 16 | Secure Note |
| 4 | Medical Record | 17 | Recovery Codes |
| 5 | Travel Info | 18 | Certificate |
| 6 | Contact | 19 | Banking |
| 7 | Wi-Fi | 20 | Document |
| 8 | API Key | 21 | Software License |
| 9 | Token | 22 | Legal Contract |
| 10 | SSH Key | 23 | Photo |
| 11 | SSH Config | 24 | Audio |
| 12 | Cloud Credentials | 25 | Video |
| 13 | Kubernetes | | |
Funzionalità
Sicurezza
- Derivazione della chiave Argon2id a conoscenza zero — la password principale non viene mai memorizzata
- Doppio cifrario AEAD: AES-256-GCM e XChaCha20-Poly1305
- Controllo di integrità a doppio livello HMAC-SHA256
- Quattro profili di sicurezza configurabili:
standard, hardened, paranoid, legacy
- Watchtower (
pm watchtower): un punteggio di sicurezza da 0 a 100 con password deboli, riutilizzate, vecchie, compromesse (opt-in, k-anonimo) ed esposte, elementi in scadenza, autenticazione a due fattori e passkey mancanti, chiavi rischiose e controlli di configurazione, oltre a punteggi di affidabilità per singolo elemento e una revisione delle attività
- Le password errate aggiungono un'attesa crescente (mai un blocco permanente), condivisa tra CLI, app ed estensione
- Registro di controllo a prova di manomissione memorizzato all'esterno della cassaforte
Cassaforte
- Singolo file di cassaforte cifrato — portabile su qualsiasi dispositivo
- Spazi per la compartimentazione logica (come le cartelle)
- Ricerca fuzzy con browser interattivo e navigazione da tastiera
- Ispettore dei metadati: data di creazione, ultimo accesso, numero di accessi, punteggio di affidabilità
TOTP
- Timer di conto alla rovescia in tempo reale in un elenco interattivo
- Ordinamento personalizzato persistente
- Copia diretta:
pm totp github
- Integrazione con il demone di compilazione automatica per l'iniezione automatica dei codici 2FA
Sincronizzazione cloud
- Google Drive (OAuth2 PKCE), GitHub (PAT), Dropbox (OAuth2 PKCE)
- Cifratura end-to-end — i provider non vedono mai il testo in chiaro
.apmignore per filtrare le voci per provider- Risoluzione dei conflitti: sovrascrivere, mantenere locale o annullare
- Sincronizzazione automatica in background
Sessioni
- Blocco/sblocco esplicito con scadenza configurabile e timeout di inattività
- Sessioni effimere delegate per l'automazione e l'accesso degli agenti AI
Server MCP
- Server nativo Model Context Protocol
- Token di autorizzazione con ambito:
read, secrets, write, admin
- Le operazioni di scrittura attendono la tua approvazione nell'app desktop; gli assistenti non possono approvare le proprie modifiche
- Funziona con Claude Desktop, Cursor, Windsurf e qualsiasi client MCP
Recupero
| Fattore | Comando |
|---|
| Email OTP | pm auth email |
| Recovery Key | pm auth recover |
| Quorum Shares (Shamir) | pm auth quorum-setup |
| WebAuthn Passkey | pm auth passkey register |
| One-time Recovery Codes | pm auth codes generate |
Importazione / Esportazione
| Formato | Importazione | Esportazione |
|---|
| JSON | pm import json | pm export json |
| CSV | pm import csv | pm export csv |
| TXT | pm import txt | pm export txt |
Motore delle policy
name: corporate-standard
password_policy:
min_length: 14
require_uppercase: true
require_numbers: true
require_symbols: true
rotation_policy:
rotate_every_days: 90
notify_before_days: 14
pm policy load ./policies/
Team Edition (pm-team)
- RBAC con più ruoli
- Reparti con domini di crittografia isolati
- Flussi di approvazione per le voci sensibili
- Vault condivisi per la condivisione delle credenziali tra più utenti
Estensione per browser
L'estensione per browser di APM compila i login, offre codici monouso sui siti a cui appartengono, salva nuovi login e crea e utilizza passkey. Non vede mai la tua master password né la chiave privata di una passkey. Comunica con un piccolo bridge che APM espone sulla tua macchina all'indirizzo 127.0.0.1:41417 (imposta APM_BRIDGE_PORT per usare un'altra porta).
Tre modi per raggiungere il vault
- Con l'app desktop: il bridge è in esecuzione finché l'app è aperta. Le richieste di pairing e gli sblocchi dal browser compaiono nell'app.
- Solo con la CLI, collegata (consigliato): esegui
pm extension link una volta. Registra pm come host di messaggistica nativa con ciascun browser Chromium (Chrome, Edge, Brave, Arc, Vivaldi, Chromium) e da quel momento il browser avvia pm autonomamente ogni volta che l'app è chiusa.
- Solo con la CLI, da un terminale: esegui
pm extension serve e lascialo aperto. Espone la stessa API dell'app desktop e mostra ogni richiesta di sblocco, blocco e pairing nel momento in cui avviene.
