Wiki · Integrace
Správci hesel
Hermes má dva druhy tajemství a plete se to. Přihlášení do webů řeší trezor, API klíče trezor nebo .env.
.env,
nebo načítat z 1Password / Bitwardenu při každém startu. První je pohodlí, druhé je hygiena.1. Trezor přihlášení (vestavěný)
Když agent narazí na přihlašovací stránku, kterou nezná, zeptá se vás — v zakrytém poli. Heslo se uloží zašifrované na tomto počítači, svázané s konkrétní adresou, a do stránky se vloží přímo. Model ho nikdy nevidí; vidí jen výsledek „vyplněno 1 pole“.
| Kde to spravovat | Jak |
|---|---|
| Desktop | Nastavení → Passwords & Logins (přidat, odebrat, odemknout správce) |
| Terminál | hermes vault list, hermes vault add |
| Vypnutí detekovaného správce | hermes vault sources --disable bitwarden |
Dvoufázové ověření
| Typ 2FA | Co Hermes udělá |
|---|---|
Klíč pro autentikátor (setup key, otpauth://) | Kód spočítá sám a vloží — nikoho se neptá (u položky se ukáže odznak 2FA auto) |
| Kód na telefon nebo e-mailem | Zobrazí malý dotaz „Ověřovací kód pro …“, vy ho napíšete, agent ho vloží. Do chatu se kód nedostane |
| Passkey, hardwarový klíč, schválení v aplikaci | Nic k psaní — agent počká, až to dokončíte na svém zařízení |
Karty a adresy
Ukládají se stejně jako přihlášení a vyplňují se jen na stránce, ke které patří. Každé vyplnění karty se vás nejdřív zeptá (stejné potvrzení jako u nebezpečného příkazu); na pozadí (cron, webhooky) se karta vyplnit nedá vůbec. Adresy potvrzení nepotřebují.
2. Už používáte 1Password nebo Bitwarden?
Není co zapínat. Když je nainstalovaný a přihlášený op nebo bw, Hermes si ho
najde sám a jeho webová přihlášení půjdou vyplnit stejně jako ta místní. Při prvním použití si vyžádá
odemknutí hlavním heslem (zakryté pole, jednou za sezení, po 30 minutách nečinnosti znovu).
Agent hlavní heslo ani sezení nevidí — dostane jen potvrzení, že se pole vyplnilo.
3. API klíče z trezoru místo .env
Při každém startu (CLI, brána, cron) Hermes zavolá op read a hodnoty vloží do prostředí.
Otočení klíče je pak jedna změna v 1Password — všechny procesy si ji vezmou při dalším startu.
Když op chybí nebo je trezor zamčený, Hermes vypíše varování a jede s tím, co bylo v
.env; nikdy kvůli tomu nespadne.
| Volba | Kdy se hodí |
|---|---|
override_existing: true (výchozí) | Trezor je zdroj pravdy; .env má jen zálohu |
override_existing: false | Chcete mít poslední slovo v .env |
cache_ttl_seconds: 0 | Nic se neukládá na disk — nejbezpečnější, ale každý start volá op |
binary_path | Přesná cesta k op; PATH se pak neprohledává (ochrana proti podstrčenému programu) |
Bitwarden funguje stejně: BWS_ACCESS_TOKEN v .env a
bws secret list při startu. Pro servery se používá servisní (machine) účet —
nemá 2FA dotazy a umí jen číst.
4. Co si pohlídat
| Situace | Co s tím |
|---|---|
| Tajemství v gitu nebo v chatu | Patří do trezoru; pokud už uniklo, zneplatnit a vyměnit |
| Agent se ptá na heslo pořád dokola | Přihlášení nebylo uloženo („Don't save“), nebo se stránka přesměrovává na jinou doménu |
| Vyplnění karty se nedaří na pozadí | Je to záměr — potvrzení vyžaduje člověka |
| Po změně hesla ve správci agent pořád používá staré | Odemkněte znovu správce nebo restartujte relaci |