APM é um gerenciador de senhas CLI rápido e de conhecimento zero, escrito em Go e Rust. Ele armazena **mais de 25 tipos de segredos estruturados** em um único cofre criptografado — de senhas e códigos TOTP a chaves SSH, registros médicos, fotos e arquivos binários. Dois binários são distribuídos a partir deste repositório: `pm` para uso pessoal e `pm-team` para cofres organizacionais compartilhados.

---

Por que APM?

• Rápido e fácil de aprender — sem memorizar comandos ou flags. O APM solicita tudo o que precisa. Flags de CLI também estão disponíveis para usuários avançados que desejam máxima velocidade.
• Conhecimento zero — sua senha mestra nunca é armazenada. Três chaves separadas de 32 bytes são derivadas usando Argon2id. Ninguém além de você pode descriptografar seu cofre.
• Criptografia dupla — escolha entre AES-256-GCM ou XChaCha20-Poly1305. Integridade em camada dupla via HMAC-SHA256 sobre a autenticação AEAD.
• Portátil — um arquivo de cofre, um binário. Leve seu cofre para qualquer lugar.
• Nuvem opcional — sincronize com Google Drive, GitHub ou Dropbox. Totalmente opcional; nenhuma conta é necessária para usar o APM.
• Pronto para IA — servidor MCP nativo com tokens com escopo para que Claude, Cursor ou qualquer agente compatível com MCP possa acessar seu cofre com segurança.
• Pronto para equipes — RBAC completo, departamentos, fluxos de aprovação e cofres compartilhados no pm-team.

---

Início Rápido

go build -o pm .
pm setup       # initialize vault and choose security profile
pm unlock      # start a session
pm add         # add a secret (interactive)
pm get github  # fuzzy search and retrieve
pm lock        # end session

Edição de equipe:

cd team
go build -o pm-team .

Tipos de Segredos

O APM suporta 25 tipos de segredos estruturados com campos validados e lógica de exibição específica por tipo:

#	Tipo	#	Tipo
1	Senha	14	Registro Docker
2	TOTP	15	Segredo de CI/CD
3	Documento de Identidade Governamental	16	Nota Segura
4	Registro Médico	17	Códigos de Recuperação
5	Informações de Viagem	18	Certificado
6	Contato	19	Bancário
7	Wi-Fi	20	Documento
8	Chave de API	21	Licença de Software
9	Token	22	Contrato Legal
10	Chave SSH	23	Foto
11	Configuração SSH	24	Áudio
12	Credenciais de Nuvem	25	Vídeo
13	Kubernetes

---

Recursos

Segurança

• Derivação de chave Argon2id de conhecimento zero — a senha mestra nunca é armazenada
• Cifras AEAD duplas: AES-256-GCM e XChaCha20-Poly1305
• Verificação de integridade em dupla camada HMAC-SHA256
• Quatro perfis de segurança ajustáveis: standard, hardened, paranoid, legacy
• Watchtower (pm watchtower): uma pontuação de segurança de 0 a 100 com senhas fracas, reutilizadas, antigas, vazadas (opt-in, k-anônimo) e expostas, itens expirando, autenticação de dois fatores e passkeys ausentes, chaves de risco e verificações de configuração, além de pontuações de confiança por item e uma revisão de atividades
• Senhas incorretas adicionam uma espera crescente (nunca um bloqueio permanente), compartilhada entre a CLI, o aplicativo e a extensão
• Registro de auditoria à prova de adulteração armazenado fora do cofre

Cofre

• Arquivo de cofre criptografado único — portátil entre qualquer dispositivo
• Espaços para compartimentação lógica (como pastas)
• Busca difusa com navegador interativo e navegação por teclado
• Inspetor de metadados: data de criação, último acesso, contagem de acessos, pontuação de confiança

TOTP

• Temporizadores de contagem regressiva ao vivo em uma lista interativa
• Ordenação personalizada persistente
• Cópia direta: pm totp github
• Integração com daemon de preenchimento automático para injeção automática de códigos 2FA

Sincronização em Nuvem

• Google Drive (OAuth2 PKCE), GitHub (PAT), Dropbox (OAuth2 PKCE)
• Criptografia de ponta a ponta — os provedores nunca veem o texto simples
• .apmignore para filtrar entradas por provedor
• Resolução de conflitos: sobrescrever, manter local ou cancelar
• Sincronização automática em segundo plano

Sessões

• Desbloqueio/bloqueio explícito com expiração configurável e tempo limite de inatividade
• Sessões efêmeras delegadas para automação e acesso de agentes de IA

Servidor MCP

• Servidor nativo do Model Context Protocol
• Tokens de permissão com escopo: read, secrets, write, admin
• Operações de escrita aguardam sua aprovação no aplicativo desktop; assistentes não podem aprovar suas próprias alterações
• Funciona com Claude Desktop, Cursor, Windsurf e qualquer cliente MCP

Recuperação

Fator	Comando
OTP por E-mail	pm auth email
Chave de Recuperação	pm auth recover
Compartilhamentos de Quórum (Shamir)	pm auth quorum-setup
Passkey WebAuthn	pm auth passkey register
Códigos de Recuperação de Uso Único	pm auth codes generate

Importação / Exportação

Formato	Importação	Exportação
JSON	pm import json	pm export json
CSV	pm import csv	pm export csv
TXT	pm import txt	pm export txt

Mecanismo de Políticas

name: corporate-standard
password_policy:
  min_length: 14
  require_uppercase: true
  require_numbers: true
  require_symbols: true
rotation_policy:
  rotate_every_days: 90
  notify_before_days: 14

pm policy load ./policies/

Team Edition (pm-team)

• RBAC com múltiplos papéis
• Departamentos com domínios de encriptação isolados
• Fluxos de aprovação para entradas sensíveis
• Cofres partilhados para partilha de credenciais entre vários utilizadores

---

Extensão de browser

A extensão de browser do APM preenche inícios de sessão, oferece códigos de utilização única nos sites a que pertencem, guarda novos inícios de sessão e cria e utiliza passkeys. Nunca vê a sua palavra-passe mestra nem a chave privada de uma passkey. Comunica com uma pequena bridge que o APM disponibiliza na sua própria máquina em 127.0.0.1:41417 (defina APM_BRIDGE_PORT para usar outra porta).

Três formas de aceder ao cofre

• Com a aplicação de desktop: a bridge é executada enquanto a aplicação estiver aberta. Os pedidos de emparelhamento e os desbloqueios do browser aparecem na aplicação.
• Apenas com a CLI, ligada (recomendado): execute pm extension link uma vez. Regista o pm como anfitrião de mensagens nativas em cada browser Chromium (Chrome, Edge, Brave, Arc, Vivaldi, Chromium) e, a partir daí, o browser inicia o pm por si próprio sempre que a aplicação estiver fechada.
• Apenas com a CLI, a partir de um terminal: execute pm extension serve e deixe-o aberto. Disponibiliza a mesma API que a aplicação de desktop disponibiliza e mostra cada pedido de desbloqueio, bloqueio e emparelhamento à medida que ocorre.