Mimecast

Mimecast MCP Server

用于 Mimecast 邮件安全的模型上下文协议（MCP）服务。支持 AI 助手跟踪邮件、调查威胁、管理邮件队列，以及访问威胁情报数据。

这是一个 模型上下文协议（MCP） 服务，可将 Claude（或任何兼容 MCP 的 AI）连接到你的 Mimecast 环境。

属于 MSP Claude Plugins 生态系统——这是一个不断扩展的 MSP 技术栈 AI 集成套件。由 MSP 为 MSP 构建。

安装

npm install @wyre-ai/mimecast-mcp

配置

复制 .env.example，并设置以下变量。

变量	必需	描述
MIMECAST_CLIENT_ID	用于 stdio 和 AUTH_MODE=env	Mimecast API 2.0 客户端 ID
MIMECAST_CLIENT_SECRET	用于 stdio 和 AUTH_MODE=env	Mimecast API 2.0 客户端密钥
MIMECAST_REGION	否	租户网格标签：us（默认）、eu、de、au、za、ca、offshore 或 je。API 2.0 客户端凭据请求均使用 https://api.services.mimecast.com。区域主机（如 eu-api.mimecast.com）仅支持 API 1.0，不接受此服务的 OAuth 流程。
MCP_TRANSPORT	否	stdio（默认）或 http
AUTH_MODE	否	gateway（Docker 镜像和 Compose 默认值）或 env。Gateway 模式要求每个 /mcp 请求都包含 X-Mimecast-Client-ID 和 X-Mimecast-Client-Secret，且不会回退到 MIMECAST_*。只有在 S2S 身份验证成功后，env 才会使用这些变量。
CONDUIT_S2S_SECRET	HTTP 必需	服务到服务密钥。该值为空时，HTTP 服务会记录错误并以非零状态退出。未设置此变量时，Compose 不会启动。切勿提交真实值。
MCP_ALLOW_INSECURE_DEV	否	仅用于本地开发，设置为 1 可在没有 CONDUIT_S2S_SECRET 的情况下启动 HTTP。进程会记录警告，且不强制要求 X-Gateway-S2S。只有在 MCP_HTTP_HOST 为环回地址（127.0.0.1、localhost 或 ::1）时才允许启动。
MCP_HTTP_HOST	否	MCP_TRANSPORT=http 时的绑定地址。默认为 127.0.0.1。容器镜像设置为 0.0.0.0。
MCP_HTTP_PORT	否	HTTP 端口。默认为 8080。

/health 和 /healthz 无需身份验证，也不会读取凭据。stdio 传输不使用 CONDUIT_S2S_SECRET。

HTTP 身份验证

设置 MCP_TRANSPORT=http 和 CONDUIT_S2S_SECRET 后，每个 /mcp 请求都必须包含 X-Gateway-S2S（t=<unix seconds>,v1=<hex hmac-sha256 of t=...>）。缺少或无效的标头会返回 401。

在 AUTH_MODE=gateway 模式下，/mcp 还要求提供 X-Mimecast-Client-ID 和 X-Mimecast-Client-Secret（X-Mimecast-Region 可选）。这些标头是该请求唯一的凭据来源。

用法

与 Claude Desktop 一起运行

将以下内容添加到 Claude Desktop 的 claude_desktop_config.json：

{
  "mcpServers": {
    "mimecast-mcp": {
      "command": "npx",
      "args": ["@wyre-ai/mimecast-mcp"],
      "env": {
        "MIMECAST_CLIENT_ID": "your-mimecast-client-id",
        "MIMECAST_CLIENT_SECRET": "your-mimecast-client-secret",
        "MIMECAST_REGION": "us"
      }
    }
  }
}

与 Claude Code（CLI）一起运行

claude mcp add mimecast-mcp \
  -e MIMECAST_CLIENT_ID=your-value \
  -e MIMECAST_CLIENT_SECRET=your-value \
  -e MIMECAST_REGION=your-value \
  -- npx -y @wyre-ai/mimecast-mcp

Docker

镜像在容器内监听 0.0.0.0（MCP_HTTP_HOST），并默认使用 AUTH_MODE=gateway。将端口发布到环回地址，并传入 S2S 密钥。在 gateway 模式下，Mimecast 凭据会通过每个请求的标头传入，不会从环境变量中读取。

docker build -t mimecast-mcp .
docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -p 127.0.0.1:8080:8080 \
  mimecast-mcp

未设置 CONDUIT_S2S_SECRET 时，Compose 会拒绝启动；它默认将 AUTH_MODE 设为 gateway，并发布 127.0.0.1:8080:8080：

CONDUIT_S2S_SECRET=your-s2s-secret docker compose up

单租户 HTTP（AUTH_MODE=env）仍要求提供 S2S 密钥，然后使用 MIMECAST_CLIENT_ID 和 MIMECAST_CLIENT_SECRET：

docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -e AUTH_MODE=env \
  -e MIMECAST_CLIENT_ID=your-value \
  -e MIMECAST_CLIENT_SECRET=your-value \
  -e MIMECAST_REGION=us \
  -p 127.0.0.1:8080:8080 \
  mimecast-mcp

不使用密钥的本地 HTTP 仅限开发环境。它会绑定到环回地址（除非 MCP_HTTP_HOST 为 localhost 或 ::1，否则使用 127.0.0.1），并记录警告。若 MCP_HTTP_HOST 不是环回地址，启动时会退出：

MCP_TRANSPORT=http MCP_ALLOW_INSECURE_DEV=1 npm run start:http

API 应用权限

在 Mimecast 管理控制台（Services → API and Platform Integrations）中创建一个 API 2.0 应用，并为其分配自定义管理员角色。该应用的客户端 ID 和客户端密钥分别对应 MIMECAST_CLIENT_ID 和 MIMECAST_CLIENT_SECRET。不接受 API 1.0 应用（使用 HMAC 签名的应用 ID、应用密钥、访问密钥和密钥）。

仅授予各工具调用所需的权限。mimecast_get_queue_status 或 mimecast_get_threat_incidents 返回权限错误，表示角色缺少下表中的权限。审计日志或 TTP 日志返回空列表，表示调用已获授权，但指定时间范围内没有匹配项。

工具	应用角色所需权限
mimecast_find_message、mimecast_get_message_info	Gateway | Tracking | Read
mimecast_hold_message、mimecast_release_message	Account | Monitoring | Held | Edit
mimecast_get_queue_status	Account | Dashboard | Read
mimecast_get_threat_incidents	Services | Threat Remediation | Read
mimecast_get_ttp_logs（type=url）	Monitoring | URL Protection | Read
mimecast_get_ttp_logs（type=attachment）	Monitoring | Attachment Protection | Read
mimecast_get_ttp_logs（type=impersonation）	Monitoring | Impersonation Protection | Read
mimecast_get_audit_events	Account | Logs | Read

mimecast_get_audit_events 还需要开始和结束时间。如果调用方未提供，服务将查询最近 7 天的数据。Mimecast 仅保留 60 天的审计历史记录；类别筛选器必须使用 account_logs 或 policy_logs 等代码（省略 categories 可搜索所有日志）。Basic Administrator 角色包含 Mimecast 自身集成指南中提到的读取权限；Threat Remediation 和 Held Edit 是单独的权限，必须显式添加。

可用领域

邮件

邮件跟踪与调查

队列

电子邮件队列管理

威胁

威胁情报与检测数据

交互式邮件卡片（MCP Apps）

在 MCP Apps 宿主（Claude Desktop/web）中，mimecast_get_message_info 会呈现为交互式只读卡片，显示投递状态、发件人/收件人、垃圾邮件评分和拒收详情；在其他宿主中，纯 JSON 行为保持不变。卡片默认采用中性样式，可通过注入 window.__BRAND__ 或使用 MCP_BRAND_* 环境变量（MCP_BRAND_NAME、MCP_BRAND_LOGO_URL、MCP_BRAND_PRIMARY_COLOR、MCP_BRAND_ACCENT_COLOR、MCP_BRAND_BG、MCP_BRAND_TEXT）进行品牌化，无需重新构建。

开发

# Clone the repository
git clone https://github.com/WYRE-AI/mimecast-mcp.git
cd mimecast-mcp

# Install dependencies
npm install

# Build
npm run build

# Run tests
npm test

贡献

欢迎贡献！如果存在 CONTRIBUTING.md，请参阅该文件；也可以提交 issue 讨论更改。

许可证

本项目基于 Apache License, Version 2.0 许可。详情请参阅 LICENSE。