tubemind-secure-mcp

tubemind-secure-mcp

Claude を活用した YouTube インテリジェンス。設計段階からセキュリティを重視。
YouTube のリサーチ、分析、ベンチマーク、コンテンツ戦略に対応する 18 個のツールを備えた Model Context Protocol サーバー。

📦 18 個のツール · 🔐 OAuth2 + AES-256-GCM · 🛡️ OWASP Top 10 · 🤖 Claude Desktop 対応

---

🎯 tubemind-secure-mcp を選ぶ理由

生の OAuth トークンを渡すことなく、Claude を YouTube の成長戦略エキスパートに変えます。

• ⚡ Claude Desktop とすぐに連携 — 設定ブロックを 1 つ追加するだけで、本番環境で使える 18 個のツールを利用できます。
• 🔐 デフォルトでセキュア — 保存時のトークン暗号化（AES-256-GCM）、SSRF ガード、レート制限、監査ログ、Zod による入力検証を備えています。OWASP Top 10 にエンドツーエンドで対応しています。
• 📊 スクレイピングではなく実データ — 公式の YouTube Data API v3 と YouTube Analytics API を使用します。ブランド アカウントにも対応しています。
• 🧠 生の API を超える機能 — CTR、視聴維持率、キーワード難易度、コンテンツのギャップ、フックの切り口、N 日間のコンテンツカレンダーに対応するヒューリスティクスを内蔵しています。
• 🪶 軽量 — 実行時依存関係は 3 つ（@modelcontextprotocol/sdk、googleapis、zod）です。Node ≥ 20。

---

✨ 概要

tubemind-secure-mcp は、Claude Desktop（およびあらゆる MCP クライアント）に YouTube での作業に使える 本番環境向けの 18 個のツールを提供する Model Context Protocol（MCP）サーバーです。

• 🔍 検索と SEO — トレンドトピック、キーワード統計、タグの提案
• 📺 動画とチャンネル — 動画の一覧表示、メタデータの読み取り・更新、タグの取得
• 📊 分析 — YouTube Analytics API によるチャンネル分析（視聴回数、総再生時間、視聴維持率）
• 🏆 ベンチマーク — 競合他社と自分のチャンネルを比較
• 🧠 ヒューリスティクス — キーワード難易度、タイトルのパターン、コンテンツのギャップ、フックの切り口、CTR の可能性、視聴維持率のシグナル、コンテンツカレンダー
• 🕵️ 競合調査 — 競合の動画を発見

設計段階からセキュリティを重視して構築されています。OAuth2（ブランド アカウント対応）、保存時の AES-256-GCM によるトークン暗号化、SSRF ガード、レート制限、監査ログ、Zod による入力検証を備え、OWASP Top 10 に対応しています。

---

📦 インストール

# Global install
npm install -g tubemind-secure-mcp

# Or run on demand
npx tubemind-secure-mcp

Node.js ≥ 20 が必要です。

---

🔐 OAuth のセットアップ（一度だけ）

YouTube API の利用には OAuth2 トークンが必要です。このパッケージには、手順に沿って設定を進められる認証サーバーが含まれています。

1) Google Cloud で OAuth 認証情報を作成する

1. Google Cloud Console → API とサービス → 認証情報 に移動します
2. YouTube Data API v3 と YouTube Analytics API を有効にします
3. OAuth 2.0 クライアント ID を作成し、ウェブ アプリケーションを選択します
4. 承認済みのリダイレクト URI：http://localhost:4000/oauth/callback
5. クライアント ID と クライアント シークレットをコピーします

2) 環境を設定する

.env.example を .env にコピーし、次の値を設定します。

YOUTUBE_CLIENT_ID=your-client-id.apps.googleusercontent.com
YOUTUBE_CLIENT_SECRET=your-client-secret
YOUTUBE_REDIRECT_URI=http://localhost:4000/oauth/callback

# Generate with: openssl rand -hex 32
TOKEN_ENCRYPTION_KEY=your-64-char-hex-key

RATE_LIMIT_PER_MINUTE=60
REQUEST_TIMEOUT_MS=10000
AUDIT_LOG_PATH=./logs/audit.log
NODE_ENV=production

3) OAuth フローを実行する

pnpm auth
# or: npx tsx --env-file=.env src/auth-server.ts

http://localhost:4000 を開き、チャンネルを所有する Google アカウントでサインインし（ブランド アカウントにも対応）、アクセスを承認します。暗号化されたトークンは ./tokens/youtube.token.json に保存されます。

---

🤖 Claude Desktop で使用する

claude_desktop_config.json に追加します：

macOS： ~/Library/Application Support/Claude/claude_desktop_config.json Windows： %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "tubemind": {
      "command": "npx",
      "args": ["-y", "tubemind-secure-mcp"],
      "env": {
        "YOUTUBE_CLIENT_ID": "your-client-id.apps.googleusercontent.com",
        "YOUTUBE_CLIENT_SECRET": "your-client-secret",
        "YOUTUBE_REDIRECT_URI": "http://localhost:4000/oauth/callback",
        "TOKEN_ENCRYPTION_KEY": "your-64-char-hex-key",
        "RATE_LIMIT_PER_MINUTE": "60",
        "REQUEST_TIMEOUT_MS": "10000",
        "AUDIT_LOG_PATH": "./logs/audit.log",
        "NODE_ENV": "production"
      }
    }
  }
}

Claude Desktop を再起動します。18 個のツールが自動的に表示されます。

---

🛠️ ツール

カテゴリー	ツール	説明
検索	search_trending_topics	地域／カテゴリー別にトレンドのトピックを見つけます
	get_keyword_stats	キーワードの検索ボリュームの指標を取得します
	suggest_tags	シードからタグを提案します
動画	get_video_tags	動画のタグを読み取ります
	update_video_metadata	タイトル／説明／タグを更新します（書き込みスコープ）
	list_channel_videos	チャンネルのアップロード動画をページ分割して一覧表示します
分析	get_channel_analytics	視聴回数、総再生時間、視聴維持率（Analytics API）
	score_best_publish_window	投稿に最適な曜日／時間帯のヒートマップ
ベンチマーク	benchmark_channel	チャンネルを同業他社と比較します
ヒューリスティック	estimate_keyword_difficulty	難易度スコア（0～100）
	analyze_title_patterns	上位動画に共通するパターンを分析します
	detect_content_gaps	競合他社が扱っていて、自分が扱っていないトピックを検出します
ヒューリスティック＋	estimate_ctr_potential	タイトル／サムネイルの指標からCTRを推定します
	suggest_hook_angles	トピックに対するフックの切り口を提案します
	find_trending_keywords	注目度が高まっているキーワードを見つけます
	analyze_retention_signals	視聴維持率に影響する要因を分析します
	generate_content_calendar	N日間のコンテンツ計画を生成します
競合他社	get_competitor_videos	競合チャンネルの上位動画を取得します

すべての入力は Zod で検証されます。すべてのエラーは安全なメッセージを返します（スタックトレースが表示されるのは NODE_ENV=development の場合のみです）。

---

🔒 セキュリティ

tubemind-secure-mcp はデフォルトでセキュリティを重視して構築されています。OWASP Top 10 に対応付けたセキュリティ対策の全容については、SECURITY.md をご覧ください。

制御	実装
A01 — アクセス制御の不備	最小権限の OAuth2 スコープ、呼び出しごとの監査ログ
A02 — 暗号化の失敗	保存中のトークンには AES-256-GCM を使用し、シークレットは環境変数のみで管理
A03 — インジェクション	すべてのツール入力に Zod スキーマを適用
A04 — 安全でない設計	レート制限、リクエストタイムアウト、SSRF ガード（ホストの許可リスト）
A05 — セキュリティ設定の不備	.env.example テンプレート、情報漏えいにつながるデフォルト値なし
A07 — 認証の失敗	OAuth2 PKCE 方式のフロー、暗号化されたトークン保存
A08 — ソフトウェア／データの整合性	依存関係のバージョン固定、CI での pnpm audit、dependabot
A09 — ログ記録の失敗	すべてのツール呼び出しの監査ログ（タイムスタンプ、ツール、成功 여부）
A10 — SSRF	外部への呼び出しを googleapis.com 系に制限

脆弱性を発見しましたか？ [email protected] にメールしてください — 72 時間以内に対応します。

---

🧰 ローカル開発

pnpm install
pnpm dev          # tsx watch on src/index.ts
pnpm build        # tsc → dist/
pnpm typecheck
pnpm test
pnpm audit:security

---

📜 ライセンス

MIT © Wanderson Leandro de Oliveira / Dewtech