Websupport

websupport-mcp

Websupport REST API v1 + v2 をラップする MCP サーバー（TypeScript、ESM、stdio）です。DNS、FTP、ホスティング、データベース、メールボックス、VPS、請求書を、HMAC-SHA1 署名認証付きの MCP ツールとして公開します。

ステータス：初期段階です。 50 個のツールすべてが実装・公開されていますが、大半は API に到達するところまでしか検証されていません。ルート、署名、エラー処理は検証済みですが、レスポンスの形式はほとんど確認できていません。ツールを利用する前にdocs/verification-matrix.mdを読み、進捗についてはIMPLEMENTATION_PLAN.mdを確認してください。

リスクレベル

ツールは 3 つのレベルに分けて登録され、レベルによって登録が制御されます。読み取り専用のデプロイでは、書き込みツールはtools/listに一切表示されないため、クライアントのコンテキストを消費せず、操作手段も提供しません。

レベル	オプトイン	呼び出しごとの追加ゲート	現在の数
read	常に有効	—	30 個のツール
write	WEBSUPPORT_ALLOW_WRITE=1	—	13 個のツール
destructive	WEBSUPPORT_ALLOW_DESTRUCTIVE=1	confirm: true 引数	7 個のツール

状態を低コストで再作成できない形で破壊するツールをdestructiveとしています。単に書き込みを行うからという理由ではありません。VPS の通常の再起動はwriteですが、強制電源サイクルは進行中の書き込みを破損させる可能性があるため、destructiveです。スナップショットの取得はwriteですが、復元はそれ以降のすべての変更を破棄するため、destructiveです。

2 つのオプトインは独立しています。WEBSUPPORT_ALLOW_DESTRUCTIVE=1だけでは書き込みツールは有効にならず、その逆も同様です。

安全性を担保するのは MCP のエリシテーションではなく、confirm: true引数です。プロトコルのネゴシエーションで、エリシテーションに対応するリビジョンよりもかなり古いバージョンが選ばれる可能性があります。このサーバーの SDK が現在対応しているのは2025-11-25までです。古いクライアントで無効になるゲートは、ゲートとは言えません。

インストール

Node >= 22が必要です。事前にインストールするものはありません。初回実行時にnpxがパッケージを取得します。

MCP クライアントの設定に以下を追加してください。

{
  "mcpServers": {
    "websupport": {
      "command": "npx",
      "args": ["-y", "websupport-mcp"],
      "env": {
        "WEBSUPPORT_API_KEY": "…",
        "WEBSUPPORT_API_SECRET": "…"
      }
    }
  }
}

これにより、読み取り専用ツール 30 個を利用できます。この設定ではアカウントに変更を加えることはできません。

変更を許可するには、必要なオプトインのみを追加してください。上記のリスクレベルを参照してください。

"env": {
  "WEBSUPPORT_API_KEY": "…",
  "WEBSUPPORT_API_SECRET": "…",
  "WEBSUPPORT_ALLOW_WRITE": "1",
  "WEBSUPPORT_ALLOW_DESTRUCTIVE": "1"
}

組み合わせごとの設定例はexamples/mcp-config/にあります。バージョンを固定するには、websupport-mcpの代わりに[email protected]を指定してください。

接続できたら、クライアントにws_auth_checkを実行するよう指示してください。認証情報が有効な場合は{"verified": true}が返されます。キーの誤りと、それ以外の問題を切り分ける最も簡単な方法です。

Docker

npxではなくコンテナを実行するホストや、レジストリのビルド用サンドボックス向けに、Dockerfileが含まれています。

docker build -t websupport-mcp .
docker run -i --rm -e WEBSUPPORT_API_KEY -e WEBSUPPORT_API_SECRET websupport-mcp

-iは必須です。トランスポートはstdioです。イメージには認証情報が組み込まれていないため、実行ごとに渡してください。

ローカルチェックアウトから実行

開発時や、未リリースの変更を実行する場合：

npm install
npm run build

その後、commandをnodeに、argsをビルド済みのエントリーポイント（<checkout>/dist/index.js）に設定し、npxの代わりに指定してください。

認証情報

WebAdmin（Security → API keys）でStandard API アクセスペアを生成してください。DynDNS 専用ペアは /nic/update の認証にのみ使用でき、ほかの用途には使えません。

変数	必須	デフォルト	備考
WEBSUPPORT_API_KEY	はい	—	ペアの識別子です。
WEBSUPPORT_API_SECRET	はい	—	ペアのシークレットです。HMAC-SHA1 署名に使用されます。ログに記録されず、エラーで返されることもありません。
WEBSUPPORT_API_BASE_URL	いいえ	https://rest.websupport.sk	マーケットの選択については以下を参照してください。
WEBSUPPORT_ACCEPT_LANGUAGE	いいえ	en_us	en_us、sk、cs_cz、hu のいずれかです。
WEBSUPPORT_ALLOW_WRITE	いいえ	off	書き込みツールを登録するには、1 に設定します。
WEBSUPPORT_ALLOW_DESTRUCTIVE	いいえ	off	破壊的なツールを登録するには、1 に設定します。

ローカル開発では .env.example をコピーしてください。.env は gitignore 対象です。

認証情報がなくてもサーバーは停止しません。起動してツールを登録し、認証なしで tools/list に応答します。これは、レジストリのビルド用サンドボックス、MCP Inspector、クライアント設定のプローブが、キーを持つユーザーがいない状態で行う処理です。その後、最初のツール呼び出しで、値が設定されていない変数名を示すメッセージとともに失敗します。

マーケット

Websupport は地域ごとに展開する team.blue/Loopia ブランドのため、API ホストによってマーケットが選択されます。同じアプリケーションがすべてのホストに対応しており、GET /v2/docs/openapi.json の内容はどのホストでもバイト単位で同一です。そのため、マーケットの切り替えはコード変更ではなく設定で行います。

マーケット	WEBSUPPORT_API_BASE_URL
スロバキア（デフォルト）	https://rest.websupport.sk
チェコ	https://rest.websupport.cz
ハンガリー	https://rest.websupport.hu
スウェーデン	https://rest.websupport.se

認識されないホストは標準エラー出力に警告を出したうえで、そのまま使用されます。そのため、新たに追加されたマーケットもリリースを待たずに利用できます。

ドキュメント

ドキュメント	内容
docs/tools.md	すべてのツールのティア、メソッドとパス、確認要件です。レジストリから生成されるため、手動編集はしません。
docs/verification-matrix.md	各ツールについて実際に検証済みの内容と、未検証の内容です。本番環境でツールを信頼して使う前にお読みください。
docs/system-architecture.md	リクエストの経路、署名の仕様と直感に反する3つのルール、ティアモデルの仕組みです。
docs/codebase-summary.md	モジュールの構成図です。各要素の配置場所と、その理由を説明します。
examples/mcp-config/	各ティアの組み合わせに対応した、編集してすぐ使えるクライアント設定です。

対象範囲

注文の作成と、請求書／注文の支払いエンドポイントは意図的に対象外としており、テストで存在しないことを確認しています。v1 の DNS レコード CRUD と v1 の FTP アカウント CRUD は上流で非推奨となっているため公開していません。どちらも v2 ツールで対応しています。

開発

npm test              # offline suite
npm run test:network  # live, unauthenticated probes (market hosts + OpenAPI drift)
npm run typecheck
npm run lint
npm run build

ネットワークスイートは意図的に分離されています。Websupport に障害が発生しても、ビルドが失敗することはありません。

ツールチェーン

実行またはビルドには Node >= 22 が必要です。Node 20 は 2026-04-30 にサポート終了となり、サポート対象外です。CI では、現在有効な2つの LTS 系列である 22 と 24 を対象とし、それぞれでバンドルのビルドとスモークテストを実行します。

ビルドには npm >= 11 も必要です。npm 10 ではバンドラーの依存関係ツリーを解決できず、わかりにくい Cannot read properties of null (reading 'edgesOut') エラーが発生します。このエラーが発生した場合は、リポジトリのデバッグではなく npm をアップグレードしてください。

セキュリティ

このサーバーが保持する認証情報を使うと、Websupport アカウントを完全に制御できます。読み取り専用の API ペアはありません。SECURITY.md では、認証情報の取り扱い方法、機密データを返すツール、脆弱性を非公開で報告する方法について説明しています。

コントリビューション

CONTRIBUTING.md を参照してください。レビューではなくテストによって強制される境界が2つあります。注文または支払いのエンドポイントを含めないこと、そしてすべての破壊的なツールで confirm: true を宣言することです。

ライセンス

MIT — LICENSE を参照してください。