HARBEZ WB Feedbacks — Conector MCP

Las reseñas y preguntas de Wildberries llegan directamente al chat de Claude — para ti y los empleados, desde cualquier dispositivo de la organización. Los tokens de Seller API solo están en el entorno del servidor: no están ni en la correspondencia, ni en los portátiles, ni en los archivos del proyecto.

Claude (проект «Коммерческий отдел»)
        │  HTTPS, streamable HTTP, персональный Bearer-ключ
        ▼
   Caddy (TLS, Let's Encrypt)
        │
   MCP-сервер (Docker, слушает только внутри сети compose)
        │  токены WB из .env
        ▼
   feedbacks-api.wildberries.ru

Qué hace

Las solicitudes a WB están limitadas (throttling), los textos de las reseñas se recortan a 600 caracteres, wb_feedbacks_stats devuelve solo agregados — para no quemar el contexto.

Related MCP server: wildberries-finances-mcp-server

Despliegue en VPS

Se necesitan: VPS con Ubuntu/Debian, subdominio con registro A hacia él, root al inicio.

# 1. На ВПС под root — пользователи, фаервол, Docker, клон репозитория
git clone git@github.com:Albertharbez/mcp-wb.git /srv/wb-mcp
bash /srv/wb-mcp/deploy/setup-vps.sh albert <логин-сотрудника>

# 2. Заполнить /srv/wb-mcp/.env (шаблон — .env.example)
#    MCP_DOMAIN, WB_TOKEN_*, MCP_CLIENT_KEYS

# 3. Поднять
cd /srv/wb-mcp && docker compose up -d --build
curl https://<MCP_DOMAIN>/healthz     # -> {"ok":true}

La actualización del código después — deploy/update.sh: hace git pull, recompila, levanta y verifica /healthz, y en caso de fallo muestra los logs.

Los tokens de WB se crean en cada cuenta de vendedor: Configuración → Acceso a API → categoría «Preguntas y reseñas». Una cuenta — un token.

Trabajo de dos en el mismo VPS

• Un usuario SSH separado para cada uno, acceso solo por clave, contraseñas y login root desactivados. No hay cuenta compartida — de lo contrario no se ve quién hizo qué.

• Ambos en los grupos wb (directorio del proyecto /srv/wb-mcp, setgid — los archivos nuevos heredan el grupo) y docker (levantar y ver el servicio).

• .env — 640 root:wb: lo leen ambos, no hay extraños en el servidor.

• El código se edita mediante git, no en vivo en el servidor: git pull en deploy/update.sh.

• MCP_CLIENT_KEYS personal por persona, no compartido. En los logs se ve quién accedió; despido — eliminar la línea y reiniciar, sin rotar los tokens de WB.

Conexión a Claude

Claude → Settings → Connectors → Add custom connector: URL https://<MCP_DOMAIN>/mcp, encabezado Authorization: Bearer <clave personal>. Lo conecta el propietario de la organización — así el conector está disponible para el departamento desde cualquier dispositivo. En el plan corporativo, los conectores personalizados pueden requerir habilitarse primero en la configuración de la organización.

Seguridad

• Los tokens solo en el entorno del servidor. No llegan a git (.gitignore), no aparecen en las respuestas de las herramientas, en toString de la cuenta están reemplazados por un marcador.

• Autenticación fail-closed: MCP_CLIENT_KEYS vacío — el servidor no arranca. Modo abierto solo con MCP_ALLOW_NO_AUTH=true explícito y solo para localhost.

• Hacia afuera están abiertas tres rutas: POST /mcp, GET /healthz (sin detalles), GET /status (detalles, detrás de la clave). El resto — 404 a nivel de Caddy.

• El propio servidor no publica puerto hacia afuera: la única entrada es a través de Caddy.

• La publicación de respuestas es la única operación irreversible: destructiveHint, confirm=true y el interruptor WB_ALLOW_WRITES en el servidor.

• Un token que ya se ha enviado en la correspondencia se considera comprometido. Revocarlo.

Qué se corrigió durante el despliegue

Probado y no probado

• La sintaxis y la lógica de los cambios revisadas; tsc --noEmit y la ejecución no se realizaron — en la máquina donde se trabajó no hay Node. La primera ejecución de compilación — en el VPS (docker compose up -d --build), allí mismo tsc funcionará dentro de la imagen.

• Las solicitudes a WB con tokens reales no se probaron. Después de llenar .env, probar con wb_feedbacks_unanswered_count — la llamada más barata.

• Verificar la composición de campos y límites antes de producción: https://dev.wildberries.ru (sección «Reseñas y preguntas»).