HARBEZ WB Feedbacks — MCP-Konnektor

Bewertungen und Fragen von Wildberries kommen direkt in den Claude-Chat — für dich und Mitarbeiter, von jedem Gerät der Organisation aus. Die Seller-API-Tokens liegen nur in der Server-Umgebung: weder im Schriftverkehr, noch auf Laptops, noch in Projektdateien.

Claude (проект «Коммерческий отдел»)
        │  HTTPS, streamable HTTP, персональный Bearer-ключ
        ▼
   Caddy (TLS, Let's Encrypt)
        │
   MCP-сервер (Docker, слушает только внутри сети compose)
        │  токены WB из .env
        ▼
   feedbacks-api.wildberries.ru

Funktionen

Anfragen an WB werden gedrosselt, Bewertungstexte werden auf 600 Zeichen gekürzt, wb_feedbacks_stats liefert nur Aggregate — um den Kontext nicht zu verbrennen.

Related MCP server: marketplace-mcp

Bereitstellung auf einem VPS

Erforderlich: VPS mit Ubuntu/Debian, Subdomain mit A-Eintrag darauf, root zu Beginn.

# 1. На ВПС под root — пользователи, фаервол, Docker, клон репозитория
git clone git@github.com:Albertharbez/mcp-wb.git /srv/wb-mcp
bash /srv/wb-mcp/deploy/setup-vps.sh albert <логин-сотрудника>

# 2. Заполнить /srv/wb-mcp/.env (шаблон — .env.example)
#    MCP_DOMAIN, WB_TOKEN_*, MCP_CLIENT_KEYS

# 3. Поднять
cd /srv/wb-mcp && docker compose up -d --build
curl https://<MCP_DOMAIN>/healthz     # -> {"ok":true}

Die Code-Aktualisierung erfolgt später über deploy/update.sh: macht git pull, baut neu, startet und prüft /healthz, und zeigt bei einem Fehler die Logs.

WB-Tokens werden in jedem Seller-Konto erstellt: Einstellungen → API-Zugriff → Kategorie „Fragen und Bewertungen“. Ein Konto — ein Token.

Zwei Personen auf einem VPS

• Ein separater SSH-Benutzer pro Person, Zugang nur per Schlüssel, Passwörter und Root-Login deaktiviert. Es gibt kein gemeinsames Konto — sonst ist nicht sichtbar, wer was gemacht hat.

• Beide in den Gruppen wb (Projektverzeichnis /srv/wb-mcp, setgid — neue Dateien erben die Gruppe) und docker (Dienst starten und ansehen).

• .env — 640 root:wb: beide lesen, Außenstehende gibt es auf dem Server nicht.

• Code wird über git bearbeitet, nicht direkt auf dem Server: git pull in deploy/update.sh.

• Persönlicher MCP_CLIENT_KEYS pro Person, nicht gemeinsam. In den Logs ist sichtbar, wer zugegriffen hat; bei Kündigung — Zeile löschen und neu starten, ohne Rotation der WB-Tokens.

Verbindung zu Claude

Claude → Settings → Connectors → Add custom connector: URL https://<MCP_DOMAIN>/mcp, Header Authorization: Bearer <persönlicher Schlüssel>. Der Organisationsinhaber verbindet — dann ist der Konnektor für die Abteilung von jedem Gerät verfügbar. Im Unternehmens-Tarif müssen benutzerdefinierte Konnektoren möglicherweise zuerst in den Organisationseinstellungen freigegeben werden.

Sicherheit

• Tokens nur in der Server-Umgebung. Sie gelangen nicht in git (.gitignore), erscheinen nicht in Tool-Antworten, sind im toString des Kontos durch einen Platzhalter ersetzt.

• Authentifizierung fail-closed: leerer MCP_CLIENT_KEYS — der Server startet nicht. Offener Modus nur explizit über MCP_ALLOW_NO_AUTH=true und nur für localhost.

• Nach außen sind drei Pfade geöffnet: POST /mcp, GET /healthz (ohne Details), GET /status (Details, hinter dem Schlüssel). Alles andere — 404 auf Caddy-Ebene.

• Der Server selbst veröffentlicht keinen Port nach außen: einziger Eingang — über Caddy.

• Die Veröffentlichung von Antworten ist die einzige irreversible Operation: destructiveHint, confirm=true und der Schalter WB_ALLOW_WRITES auf dem Server.

• Ein Token, das bereits in den Schriftverkehr gesendet wurde, gilt als kompromittiert. Widerrufen.

Was bei der Bereitstellung behoben wurde

Geprüft und nicht geprüft

• Syntax und Logik der Änderungen sind durchgesehen; tsc --noEmit und der Start wurden nicht ausgeführt — auf der Maschine, auf der die Arbeit stattfand, gibt es kein Node. Der erste Build-Lauf erfolgt auf dem VPS (docker compose up -d --build), dort läuft tsc auch innerhalb des Images.

• Anfragen an WB mit echten Tokens wurden nicht getestet. Nach dem Ausfüllen der .env mit wb_feedbacks_unanswered_count prüfen — der günstigste Aufruf.

• Feldzusammensetzung und Limits vor der Produktion prüfen: https://dev.wildberries.ru (Abschnitt „Bewertungen und Fragen“).