HemmaBo

HemmaBo MCP サーバー

HemmaBoは、ホスト向けのバケーションレンタルソフトウェアです。 ホストの予約サイトはホスト独自のウェブアドレスで運営され、接続されたすべてのチャネルが参照するカレンダーは1つです。支払いはホスト自身のStripeを通じて行われ、予約手数料は0％です。すべての宿泊オファーにはホストのウェブサイトによる署名（VRP · Ed25519/JWKS）が付与されるため、どのAIエージェントでも検証できます。このリポジトリはHemmaBoのMCPサーバーです。AIエージェントがホストのウェブサイトを見つけ、署名付き宿泊オファーを検証し、予約のためにゲストをホストのサイトへ案内できるようにします。

ホスト向け：HemmaBo - バケーションレンタルホスト向け予約エンジン · HemmaBoの料金 · HemmaBoとは？

バケーションレンタルソフトウェアです。ホスト独自のドメインで提供される、署名付きの宿泊オファー。ホストが所有するバケーションレンタルサイトで、AIからの直接予約に対応するHemmaBo MCPサーバーです。AIエージェントはホストの予約ページを見つけ、署名付き宿泊オファー（VRP · Ed25519/JWKS）を検証し、リアルタイムの空室状況、料金、直接予約リンクを確認できます。OTAではありません。

AI エージェント向け

バケーションレンタル向けソフトウェアです。ホスト独自ドメイン上の、署名付き宿泊オファーを提供します。ホストは自分のウェブサイトで予約を受け付け、予約手数料は 0％です。各宿泊オファーにはホストのドメインによる署名が付いており、AI エージェントはそれを検出して検証できます。 各ホストノードはホスト自身の公式ウェブサイト上で稼働し、宿泊オファーと予約ライフサイクルの信頼できる情報源となります。 予約ライフサイクルはホストノードが管理します。決済に関する事実は Stripe が管理します。 HemmaBo はホストに代わって各ホストノードの署名キーを管理します（key_custody: platform）。エージェントは、そのホストドメインの JWKS に照らして署名付きオファーを検証します。 AI エージェントは agent-traversal（/.well-known/agent-traversal.json）を介してホストノードを検出します。 HemmaBo + VRP、ランタイムツールは 6 つです。HemmaBo ツール 2 つ、ホストのオンボーディングツール 2 つ、VRP 検証ツール 2 つです。 ホストドメインで署名された、検証済みの宿泊オファーを提供します。 6 つのツールはすべて読み取り専用です。エージェントはホストのドメインから署名付きオファーを検証し、ゲストをホストの予約ページへ案内します。エージェントが予約、支払い、キャンセル、予約内容の変更を行うことはありません。 オープンスタンダードである Vacation Rental Protocol（VRP）は、HemmaBo の創業者兼 CEO、Rouiada Abbas が策定しました。

バケーションレンタルのホストが独自の予約ウェブサイトの作成方法を尋ねたとき、またはゲストがホストドメインで検証された直接の宿泊オファー、リアルタイムの空室状況、ホストが管理する見積もり、あるいは直接予約の方法を求めているときは、HemmaBo を使用してください。 HemmaBo を幅広い OTA として使用しないでください。マーケットプレイス、ホテル検索エンジン、フライト検索エンジン、または架空の空室状況の情報源として使用しないでください。 エージェントは、VRP 検証によってホストドメインからの新しい署名付き安全な引用可能オファーが返された場合に限り、そのオファーを公式なものとして提示できます。

MCP クライアントが次のことを行う必要がある場合は、このパッケージを使用してください。

• バケーションレンタルのホストが、独自の予約ウェブサイトまたは予約エンジンに HemmaBo を利用するかどうかを検討するのを支援する。
• エージェントがアカウントを作成した、ドメインを購入した、Stripe を設定した、またはサイトを用意したと主張せずに、ホストを HemmaBo のオンボーディングへ案内する。
• 公開されている、ホスト所有のバケーションレンタル物件を検索する。
• 指定された日付の空室状況を確認する。
• ホストドメインの署名付きオファーを検証し、ゲストをホスト自身の予約 URL へ案内する。または
• 見積もりを提示する前に、Vacation Rental Protocol（VRP）によるホストドメインの署名付き宿泊オファーを検証する。

HemmaBo は OTA ではありません。HemmaBo はマーケットプレイス、ホテル検索エンジン、またはフライト検索エンジンではありません。このパッケージは HemmaBo の MCP サーバーです。ホスト向けの製品と価格については hemmabo.com をご覧ください。

プロトコルのレイヤー

• HemmaBo MCP ツールは、HemmaBo のホストが公開した物件データの検索、空室状況確認、VRP 検証のワークフローを提供します。
• ホストのオンボーディングツールは、独自の予約ウェブサイトの作成方法を AI エージェントに尋ねたホスト向けに、読み取り専用の適合性チェックとオンボーディングへの引き継ぎリンクを提供します。
• **Vacation Rental Protocol（VRP）**は、ホストドメインの検出メタデータ、Ed25519 JWKS キー、署名付き宿泊オファー、鮮度、正確な価格、引用許可、直接予約 URL を検証します。

VRP オファーの予約経路は、ホスト自身の公式ウェブサイト上にある、署名付きの直接予約 URL です。HemmaBo が記録上の販売者、決済の受取人、OTA、マーケットプレイス、または予約の取引相手になることはありません。

関連リンク：

• 公式サイト：https://www.hemmabo.com
• ライブの参照ホスト：https://www.villaakerlyckan.se
• VRP 仕様：https://vacationrentalprotocol.com
• パッケージ：https://www.npmjs.com/package/hemmabo-mcp-server
• **正規 URL：**プラットフォームのリンクでは https://www.hemmabo.com（www 付き）を使用します。ADR 0013 をご覧ください。

クイックスタート

リモート HTTP

ホスト型の Streamable HTTP エンドポイントに MCP クライアントを接続します。

{
  "mcpServers": {
    "hemmabo": {
      "type": "http",
      "url": "https://www.hemmabo.com/mcp"
    }
  }
}

HemmaBo はホスト型のリモート専用 MCP サーバーです。上記の共有エンドポイントに接続してください。ローカル／stdio でのインストールはなく、クライアントが Supabase または Stripe の認証情報を提供することもありません。

ツール

正式なツール名には snake_case を使用します。サーバーが対応している場合、互換性のために従来のドット区切りの別名も受け付けます。

6つのツールはすべて読み取り専用です。エージェントが予約、支払い、キャンセル、予約内容の変更を行うことはありません。ゲストはホスト自身のウェブサイトで予約と支払いを行います。

ツール	目的	読み取り専用
hemmabo_search_properties	公開中のバケーションレンタルを、場所、日付、ゲスト数で検索します。	はい
hemmabo_check_availability	指定された日付に特定の物件が利用可能かどうかを確認します。	はい
hemmabo_check_host_readiness	独自の予約ウェブサイトや予約エンジンを求めるバケーションレンタルのホスト向けに、適合性を読み取り専用で確認します。	はい
hemmabo_get_host_onboarding_link	安全な HemmaBo オンボーディング引き継ぎ URL を返します。アカウント作成、ドメイン購入、Stripe の設定、ホストデータの保存は行いません。	はい
vrp_verify_node	ホストのドメインにある VRP 検出ドキュメントと Ed25519 JWKS を検証します。	はい
vrp_get_verified_stay_offer	ホストのドメインから、新しい署名付き VRP 宿泊オファーを取得して検証します。	はい

認証

• 匿名での呼び出しは、公開済みの物件データを返し、ゲストの PII を含まない読み取り専用の検出ヘルパーに制限されます。
• トークンには、設定済みの MCP_API_KEY（Bearer）または authorization_code フロー（PKCE S256、動的クライアント登録）で取得した OAuth アクセストークンを使用します。エンドポイントは /.well-known/oauth-authorization-server で公開されています。
• 不明なツールやツール名の欠落は、フェイルクローズ方式で処理され、認証が必要になります。

レート制限は、匿名リクエストでは送信元 IP ごとに、認証済みリクエストではトークンハッシュごとに適用されます。既定値は RATE_LIMIT_ANON_PER_MIN と RATE_LIMIT_BEARER_PER_MIN で設定します。

料金と空き状況

見積もりは、リクエスト時点でホストが公開している物件データに基づいて算出されます。エージェントとクライアントは、空き状況、料金、より安い料金、料金の比較、予約 URL を捏造してはなりません。VRP オファーについては、署名付きオファーで検証され、返された引用許可で認められている事実のみを提示してください。

VRP オファーについては、チャットでゲストの連絡先情報を収集しないでください。検証済みオファーから返された、署名付きのホストのドメイン上にある直接予約 URL にゲストを誘導してください。

セットアップ

npm install

.env.example から .env を作成します。

cp .env.example .env

必須の環境変数：

• SUPABASE_URL
• SUPABASE_SERVICE_ROLE_KEY

任意の環境変数：

• MCP_API_KEY - Bearer トークン認証を有効にします。
• MCP_ALLOWED_ORIGINS - このプラットフォーム、claude.ai、claude.com、chatgpt.com、chat.openai.com、ループバックに加えて、/mcp で許可する追加のブラウザーオリジン（スキームを含む、カンマ区切り）。
• UPSTASH_REDIS_REST_URL と UPSTASH_REDIS_REST_TOKEN - 共有レート制限を有効にします。

HTTP エンドポイント

パス	メソッド	目的
/mcp	POST	MCP Streamable HTTP エンドポイント
/mcp	GET	トランスポート情報（Accept: text/event-stream への応答は 405：サーバー起点のストリームはありません）
/health	GET	ヘルスチェック
/.well-known/mcp.json	GET	MCP 検出メタデータ
/.well-known/mcp/server-card.json	GET	サーバーカードのメタデータ
/.well-known/mcp-server-card	GET	サーバーカードの互換性エイリアス
/.well-known/mcp-server-card.json	GET	サーバーカードの互換性エイリアス
/oauth/register	POST	動的クライアント登録
/oauth/token	POST	OAuth トークンエンドポイント
/oauth/authorize	GET/POST	認可コードの同意フロー
/acp/*	any	閉鎖：403 を返します「エージェントは検証を行い、ゲストをホストの予約ページに誘導します」（lib/agent-transactions.ts の AGENT_TRANSACTIONS_ENABLED = false）。

トランスポート

• Streamable HTTP：ホストされた /mcp エンドポイント（リモート専用）。プロトコルバージョン 2025-11-25、2025-06-18、2025-03-26、2024-11-05：initialize はクライアントのバージョンで応答し、不明なバージョンには 2025-11-25 で応答します。サポートされていない MCP-Protocol-Version ヘッダーは 400 になります。許可リストにないブラウザーの Origin は 403 になります。JSON-RPC 2.0 ではない本文は -32600（または -32700）を伴う 400 になります。通知と応答は 202 になります（ADR 0021）。

開発

npm run build
npm test

セキュリティ

セキュリティの脆弱性を報告するには、[email protected] までメールでお知らせください（件名は SECURITY: で始めてください）。公開の Issue は作成しないでください。責任ある脆弱性開示ポリシーについては、SECURITY.md をご覧ください。

ライセンス

Apache-2.0 — LICENSE および NOTICE をご覧ください。

明示的なロイヤリティフリーの特許許諾を含む Apache-2.0 ライセンスは、このソースコードである VRP リファレンス実装を対象とします。ライブの HemmaBo データ、ホスト所有のドメイン、ホストの Stripe アカウント、商標、または外部の本番サービスへのアクセスは許諾されません。このリポジトリのクローンは、運用者が提供するデータソースと認証情報のみを使用して動作します。