Wallapop MCP Server

Hybrider, inoffizieller MCP-Server für den Wallapop-Marktplatz, entwickelt in TypeScript.

• HTTP-Primär: Reverse-Engineering-Aufrufe an die privaten api.wallapop.com v3-Endpunkte

• SSR-Fallback: __NEXT_DATA__-Scraping von es.wallapop.com-Seiten (Artikeldetails, Verkäuferprofile)

• Playwright-Fallback: Off-Screen-Headless-Browser als letzte Option (Wallapops CDN blockiert Headless-Chrome)

• Authentifizierung: Optional E-Mail/Passwort oder Browser-Cookie-Import für Favoriten, gespeicherte Suchen, Chat und Angebote (Token-Aktualisierung + Sitzungspersistenz)

Inoffiziell und nicht verbunden. Verwendet Wallapops undokumentierte API, die sich jederzeit ändern oder Datenverkehr blockieren kann – Nutzung auf eigenes Risiko, halten Sie das Anfragevolumen niedrig und respektieren Sie die Nutzungsbedingungen.

Tools

Related MCP server: Bazos-MCP

Schnellstart

git clone <this-repo>
cd WallpopMCP
npm install
npm run build
cp .env.example .env   # fill in your keys (see Configuration)
npm run smoke          # live sanity check against the API

Mit einem MCP-Client verbinden

# Claude Code (stdio)
claude mcp add wallapop -- node /absolute/path/to/WallpopMCP/dist/index.js

# Inspector (browse tools interactively)
npm run inspector

Konfiguration (.env, siehe .env.example)

Hinweis: WALLAPOP_EMAIL/WALLAPOP_PASSWORD können bei Konten mit MFA oder Keycloak-Flows fehlschlagen – in diesem Fall exportieren Sie Cookies aus einem angemeldeten Browser in WALLAPOP_COOKIES_FILE (ein JSON-Array von Cookie-Objekten) und der Server verwendet sie direkt.

So funktioniert es

Suche (zweistufiger API-Ablauf)

1. GET /api/v3/search/components → search_id

2. GET /api/v3/search/section (40 Artikel/Seite) → meta.next_page JWT; der Server packt search_id + Cursor in ein undurchsichtiges nextPage-Token, sodass Clients es einfach zurückschicken.

Chat & Angebote

• Nachrichten werden über den Echtzeitkanal (PubNub) gesendet und landen auch in der Inbox-API (/bff/messaging/inbox) – beide Ende-zu-Ende verifiziert.

• Angebote werden über POST /api/v3/delivery/buyer/offers mit einer clientgenerierten Angebots-ID erstellt; Verkäufer erhalten sie in der Konversation.

Authentifizierung

• Versucht POST /api/v3/access/login → speichert Zugriffs-/Aktualisierungstokens + Cookies in der Sitzungsdatei, aktualisiert über POST /api/v3/access/refresh, wenn das JWT kurz vor Ablauf steht.

• Fällt auf einen automatisierten Browser-Login zurück; MFA-Herausforderungen werden erkannt und als Fehler angezeigt (manuell abschließen, dann Cookies in WALLAPOP_COOKIES_FILE exportieren).

Fallback-Kette

1. API-Anfrage mit browserähnlichen Headern, UA-Rotation, exponentiellem Backoff bei 429 und X-Signature-Wiederholung bei 403

2. SSR-HTML-Scraping (es.wallapop.com/item/..., /user/...) – reichhaltigere Daten für Verkäufer (Bewertungen, Zähler)

3. Off-Screen-Headless-Chrome über Playwright (erfasst api.wallapop.com XHR-Antworten) – Wallapops CDN blockiert Headless-Modus, daher niemals WALLAPOP_BROWSER=chromium ohne manuelle Browser-Downloads verwenden; auto bevorzugt installiertes Chrome/Edge

Hinweise und bekannte Einschränkungen

• Die Preisfilterung (minPrice/maxPrice) und Radiusfilterung (distance_in_km) von search_products sind API-seitige Parameter.

• favorite_listing/unfavorite_listing verwenden Best-Effort-Endpunktkandidaten – mit Ihrem Konto verifizieren; Endpunkte ändern sich.

• Der Artikelzustand (condition) ist nur zuverlässig über get_listing verfügbar (Suchergebnisse lassen ihn normalerweise aus).

• Einige Verkäufer deaktivieren Angebote – make_offer zeigt in diesem Fall einen 409-Fehler an.