Wallapop MCP Server

Гибридный, неофициальный MCP-сервер для маркетплейса Wallapop, написанный на TypeScript.

• Основной HTTP-канал: реверс-инжиниринг вызовов к приватным v3-эндпоинтам api.wallapop.com

• SSR-запасной вариант: скрейпинг __NEXT_DATA__ со страниц es.wallapop.com (детали объявлений, профили продавцов)

• Запасной вариант на Playwright: невидимый браузер с окном как крайняя мера (CDN Wallapop блокирует headless Chrome)

• Аутентификация: опционально email/пароль или импорт cookie из браузера для избранного, сохранённых поисков, чата и предложений (обновление токена + сохранение сессии)

Неофициальный и не аффилированный. Использует недокументированное API Wallapop, которое может измениться или заблокировать трафик в любой момент — используйте на свой страх и риск, держите низкий объём запросов и соблюдайте их Условия предоставления услуг.

Инструменты

Related MCP server: Bazos-MCP

Быстрый старт

git clone <this-repo>
cd WallpopMCP
npm install
npm run build
cp .env.example .env   # fill in your keys (see Configuration)
npm run smoke          # live sanity check against the API

Подключение к MCP-клиенту

# Claude Code (stdio)
claude mcp add wallapop -- node /absolute/path/to/WallpopMCP/dist/index.js

# Inspector (browse tools interactively)
npm run inspector

Конфигурация (.env, см. .env.example)

Примечание: WALLAPOP_EMAIL/WALLAPOP_PASSWORD могут не сработать для аккаунтов с MFA или Keycloak-потоками — в этом случае экспортируйте cookie из авторизованного браузера в WALLAPOP_COOKIES_FILE (JSON-массив объектов cookie), и сервер будет использовать их напрямую.

Как это работает

Поиск (двухэтапный API-поток)

1. GET /api/v3/search/components → search_id

2. GET /api/v3/search/section (40 товаров/страница) → meta.next_page JWT; сервер упаковывает search_id + курсор в непрозрачный токен nextPage, чтобы клиенты просто передавали его обратно.

Чат и предложения

• Сообщения отправляются через канал реального времени (PubNub) и также попадают в API входящих (/bff/messaging/inbox) — оба пути проверены end-to-end.

• Предложения создаются через POST /api/v3/delivery/buyer/offers с сгенерированным клиентом id предложения; продавцы получают их в беседе.

Аутентификация

• Пытается выполнить POST /api/v3/access/login → сохраняет access/refresh токены + cookie в файл сессии, обновляет через POST /api/v3/access/refresh, когда JWT скоро истечёт.

• Запасной вариант — автоматический вход через браузер; вызовы MFA обнаруживаются и выводятся как ошибка (завершите их вручную, затем экспортируйте cookie в WALLAPOP_COOKIES_FILE).

Цепочка запасных вариантов

1. API-запрос с заголовками как у браузера, ротацией UA, экспоненциальной задержкой при 429 и повтором с X-Signature при 403

2. Скрейпинг SSR HTML (es.wallapop.com/item/..., /user/...) — более богатые данные для продавцов (рейтинги, счётчики)

3. Невидимый Chrome с окном через Playwright (перехватывает XHR-ответы api.wallapop.com) — CDN Wallapop блокирует headless-режим, поэтому никогда не используйте WALLAPOP_BROWSER=chromium без ручной загрузки браузеров; auto предпочитает установленные Chrome/Edge

Примечания и известные ограничения

• Фильтрация по цене (minPrice/maxPrice) и по радиусу (distance_in_km) в search_products — параметры на стороне API.

• favorite_listing/unfavorite_listing используют кандидатов эндпоинтов по принципу best-effort — проверьте на своём аккаунте; эндпоинты меняются.

• Состояние товара (condition) надёжно доступно только через get_listing (результаты поиска обычно его опускают).

• Некоторые продавцы отключают предложения — в этом случае make_offer возвращает ошибку 409.