TenthMatrix WSL Vault
Steel de server. Niet de secrets.
Open source, self-hosted secretsbeheer op basis van AES-256-GCM envelope-encryptie en een sleutelhiërarchie per tenant — een gestolen schijf, databasedump of gecompromitteerde host laat aanvallers alleen ciphertext over die ze niet kunnen openen.
Wat is WSLVault?
WSLVault is een Vault-compatibel secretsplatform voor operators die encrypted-at-rest multi-tenancy willen zonder plaintext op schijf. Bedien het via de steel/brass-webconsole, CLI, Go/Python/Rust/TypeScript-SDK's of MCP — met Helm/GitOps-deploy op Kubernetes.
Watch the overview
Introductie van 20 minuten — steel de server, niet de secrets
Bekijk op YouTube
Bekijk op YouTube: Introductie van 20 minuten — steel de server, niet de secrets
Waarom het beveiligingsmodel ertoe doet
Echte multi-tenancy
Team A kan Team B niet ontsleutelen — cryptografische weigering, geen applicatiefoutje.
Envelope-encryptie
DEK → tenant-KEK → root-KEK (KMS / HSM / Shamir). Secrets worden verzegeld voordat ze de schijf raken.
De engines die u nodig hebt
Geversioneerde KV, transit-encryptie, PKI, dynamische leases, identiteitspolicies en MFA.
HA en audit
Active/active multi-region-replicatie en een manipulatiebestendig, hash-chained audittrail.
Alles wat een secret nodig heeft, achter één API
Geversioneerde KV-secrets
Vault-compatibele KV v2: geversioneerde reads/writes, check-and-set, soft-delete en destroy — elke waarde verzegeld vóór opslag.
Transit-engine
Versleutel, ontsleutel, onderteken en verifieer zonder dat plaintext-sleutels de vault verlaten. Roteer sleutels terwijl oude ciphertext leesbaar blijft.
PKI en certificaten
Private CA, rollen en kortlevende certificaten. Private CA-sleutels zijn envelope-encrypted en worden nooit onversleuteld opgeslagen.
Dynamische leases
Credentials zijn leases: echt uitgegeven, opgesomd, verlengd en ingetrokken. Intrekken stopt toegang direct.
Identiteit en MFA
TOTP-tweefactor, herstelcodes, fijnmazige policies op API-keys en JWT's — plus SCIM, LDAP, OIDC, mTLS en workload-authenticatie.
Geen plaintext at rest
Een databasedump levert ciphertext op, verpakt onder sleutels die de database nooit ziet. De schijf stelen ≠ de secrets stelen.
Cloud-native en scriptbaar
Rol uit met de Helm-chart en Kubernetes-operator, stuur aan via GitOps, scrape met Prometheus en benader WSLVault vanuit de taal van uw keuze — of vanuit een AI-agent via de ingebouwde MCP-server.
Zet uw eigen vault op
Clone de repo, installeer de Helm-chart en unseal. TenthMatrix helpt operators WSLVault te draaien met dezelfde edge- en promotiediscipline als WSL Proxy en Ring Promoter.