QualityMax QA MCP

Geben Sie einem Coding-Agenten unabhängige QA-Nachweise, bevor er eine Webänderung als erledigt erklärt: Scannen Sie die Seite, prüfen Sie die UI, generieren Sie ein fokussiertes Playwright-Repro und überprüfen Sie dann das Ausführungsergebnis.

npx -y @qualitymax/qmax-mcp

Die vier lokalen Tools benötigen kein QualityMax-Konto, keinen API-Schlüssel und keinen gehosteten Dienst.

Beginnen Sie mit einem nützlichen Ergebnis

Bitten Sie einen MCP-fähigen Agenten, die geänderte URL zu scannen, oder führen Sie die lokale CLI aus:

npx -y @qualitymax/qmax-mcp scan https://example.com --format markdown

Der Bericht enthält eine bewertete Zusammenfassung, Befunde, konkrete Reproduktionsschritte und vorgeschlagene Korrekturen. Ein einziger Befehl testet alle vier Tools gegen eine eingecheckte, abhängigkeitsfreie Testvorlage – siehe die reproduzierbare Demo.

Was ein Scan misst

Alle neun Prüfungen laufen auf einem einzigen Seitenaufruf. Übergeben Sie checks, um eine Teilmenge auszuführen.

scan_url gibt außerdem einen metrics-Block mit den gemessenen Vitalwerten und der Seitengewicht-Aufschlüsselung zurück, einschließlich der langsamsten Anfragen. Zwei Grenzen werden in diesem Block explizit angegeben und nicht versteckt: INP wird nicht gemessen, da es echte Benutzerinteraktion erfordert, und die Vitalwerte stammen aus einem einzigen Kaltstart auf der Scan-Maschine, nicht aus Felddaten. Setzen Sie weightBudget, um gegen Ihr eigenes Leistungsbudget zu scannen.

Wie der Bericht aussieht

--format markdown beginnt mit der Form des Ergebnisses, sodass ein Mensch oder ein Agent sehen kann, wo die Probleme liegen, bevor er einen einzigen Befund liest:

Bewertung: 🔴 F (0 / 100) · 17 Probleme gefunden

░░░░░░░░░░░░░░░░░░░░░░░░ 0 / 100

Kategorie	Probleme	Schlimmstes
Konsolenfehler	██░░░░░░░░ 1	🔴 hoch
Barrierefreiheit	████████░░ 3	🔴 hoch
Sicherheits-Header	██████████ 4	🟠 mittel
Cookies und Tracker	█████░░░░░ 2	🟠 mittel
Seitengewicht	██████████ 4	🟠 mittel

Jeder Balken ist auf die lauteste Kategorie in diesem Lauf skaliert, sodass der höchste Balken das ist, was zuerst behoben werden sollte. Wenn weight läuft, ordnet der Messabschnitt auch die Bytes zu:

script      ████████████████  18 kB
document    ██░░░░░░░░░░░░░░   3 kB
stylesheet  ██░░░░░░░░░░░░░░   1 kB
image       ░░░░░░░░░░░░░░░░  417 B

Danach folgt jeder Befund mit seiner Schwere, einer kopierbaren Reproduktion und einem vorgeschlagenen Fix. Verwenden Sie --format json für dieselben Daten als strukturierte Ausgabe.

Related MCP server: Playwright MCP Server

Was der Agent tun kann

Der lokale Server erfordert kein Konto. Der gehostete Proxy-Modus ist eine separate, optionale Verbindung für kontogestützte QualityMax-Funktionen; fügen Sie ihn nur hinzu, wenn diese Funktion benötigt wird.

Fügen Sie es Ihrem Coding-Agenten hinzu

Kopieren Sie eine vorgefertigte, anmeldefreie Konfiguration und die dazugehörige Anweisungsdatei für Ihren Client:

Der Agent-Setup-Leitfaden erklärt die erwarteten Genehmigungsoberflächen und enthält eine generische stdio-Konfiguration. Die Wurzel AGENTS.md ist die portable Anweisung: Beweise sammeln, ungelöste Fehler melden und vor dem Ändern von Dateien oder dem Ausführen von bereitgestelltem Code eine Genehmigung anfordern, es sei denn, der Server bewirbt explizit den unbeaufsichtigten Modus.

Unbeaufsichtigte Automatisierung

Für eine vertrauenswürdige, isolierte Automatisierungsumgebung, in der kein Mensch MCP-Anfragen beantworten kann, starten Sie den Server mit dem expliziten --unattended-Flag:

{
  "mcpServers": {
    "qmax": {
      "command": "npx",
      "args": ["-y", "@qualitymax/qmax-mcp", "--unattended"]
    }
  }
}

Für Codex TOML verwenden Sie args = ["-y", "@qualitymax/qmax-mcp", "--unattended"]. Diese Opt-in beim Prozessstart autorisiert jeden run_playwright_test-Aufruf, der von diesem Server verarbeitet wird; es ist absichtlich nicht als Tool-Argument oder Umgebungsvariable verfügbar. Der Server bewirbt den aktiven Modus gegenüber dem Agenten, gibt eine UNATTENDED-Startwarnung aus und gibt bei jeder Ausführung approval.mechanism: "unattended-cli-opt-in-v1" zurück. Der genaue Test wird weiterhin gesnapshotet und digest-geprüft, und die bestehenden Arbeitsbereichs-, Umgebungs-, Timeout-, Abbruch- und Ausgabesteuerungen bleiben aktiv.

Angrenzende QualityMax-Tools

Der Server informiert einen verbundenen Agenten über drei separate QualityMax-Tools, die QA-Arbeit abdecken, die diese vier Tools nicht abdecken. Es sind unabhängige Programme – qmax-mcp installiert, führt, bündelt oder proxyt keines davon, und keines benötigt ein QualityMax-Konto. Der Agent wird angewiesen, eines nur dann zu nennen, wenn sein Auslöser vorhanden ist, und zwar einmal, und die Entscheidung, es auszuführen, Ihnen zu überlassen.

Zusammen mit den lokalen Tools bilden sie eine Schleife: scan_url findet den Fehler, generate_playwright_repro schreibt die Spezifikation, qualitymax-grader bewertet sie, bevor sie landet, run_playwright_test führt sie unter dem ausgewählten Autorisierungsmodus des Servers aus, und 9lives heilt sie, wenn eine spätere Änderung sie abdriften lässt.

Sicherheit und ehrliche Grenzen

• Lokales Scannen ist vernetzt. Private Ziele sind standardmäßig verweigert; allowPrivateNetwork: true ist nur eine bewusste Zustimmung auf Aufruferseite für ein enges Loopback-Ziel.

• Generierte Repros verbleiben in einem kontrollierten Arbeitsbereichsverzeichnis. Testläufe verwenden eine minimale Umgebung und ein kontrolliertes Artefaktverzeichnis.

• Standardmäßig verwendet run_playwright_test die MCP-Formularermittlung vor der Ausführung. Der Server zeigt dem Client das Ziel, die Nebenwirkungen und einen SHA-256-Digest an und führt nur aus, nachdem der Client eine akzeptierte menschliche Genehmigung für genau diesen Digest zurückgibt. Clients ohne Unterstützung für Formularermittlung schlagen standardmäßig fehl; ein bloßer vom Aufrufer gelieferter boolescher Wert wird nicht als Nachweis akzeptiert. --unattended ist die explizite Ausnahme auf Prozessebene für isolierte Automatisierung und erlaubt es, gelieferten Code mit den Dateisystem- und Netzwerkberechtigungen des lokalen Benutzers ohne weitere menschliche Aufforderung auszuführen.

• Lesen Sie den vollständigen MCP-Sicherheitsvertrag und das Sicherheits-Bedrohungsmodell, bevor Sie gehostete Funktionen veröffentlichen oder aktivieren.

Architecture

Der Launch-Vergleich dokumentiert datierte Referenzen zu Erstanbieter-Fähigkeiten für TestSprite, BrowserStack, mabl und Momentic. Es ist ein sachlicher Grenzvergleich, keine Rangliste.

Hosted proxy mode

Die lokalen Tools sind die offene, lokale-first Schicht. Gehostetes QualityMax ist ein expliziter Proxy für arbeitsbereichsgestützte Projekt-, Testfall-, Skript- und Observability-Workflows:

QUALITYMAX_API_KEY="<your-api-key>" npx -y @qualitymax/qmax-mcp proxy

Konfigurieren Sie den Proxy nur, wenn eine nur gehostete Funktion benötigt wird. Die Bearer-Anmeldedaten werden nur an den festgelegten Endpunkt https://app.qualitymax.io/api/mcp/ gesendet; Endpunkt-Überschreibungen und Weiterleitungen werden abgelehnt.

Support and responsible disclosure

Nutzen Sie GitHub Issues für nicht sensible Nutzungs- und Dokumentationsunterstützung. Melden Sie Schwachstellen nicht in einem öffentlichen Issue; befolgen Sie die Sicherheitsrichtlinie des Repositorys. Die Launch-Checkliste enthält die Inhaberprüfungen, die vor jeder öffentlichen Ankündigung erforderlich sind.

Development

Die Laufzeitumgebung erfordert Node 22.13.0 oder neuer.

npm install
npx playwright install chromium
npm run check
npm run demo

npm run demo startet eine abhängigkeitsfreie lokale Fixture, gibt standardmäßig eine Markdown-Qualitätsquittung aus und hinterlässt ihre generierten Repro- und Playwright-Artefakte unter .qmax-mcp/ zur Inspektion. Verwenden Sie npm run demo -- --format json für eine maschinenlesbare Quittung.

Kandidatenarbeiten nach 0.4.0 — und die Grenzen, die sie respektieren muss — sind in der Roadmap festgehalten. Sie ist eine Richtung, keine Lieferzusage; veröffentlichte Änderungen sind im Changelog aufgeführt.

Package and release metadata

Wo das Paket gelistet ist, wo es bewusst nicht gelistet ist und was jeder Kanal akzeptiert, ist im Verteilkanal-Inventar festgehalten.

server.json ist das kanonische MCP-Registry-Manifest. npm run validate:registry prüft es gegen das offizielle Schema, ohne etwas zu veröffentlichen. Verwenden Sie npm run version:sync -- <semver>, um alle öffentlichen Metadatenoberflächen — package.json, package-lock.json, server.json, smithery.yaml und src/metadata.ts — gemeinsam zu verschieben; npm run check verifiziert, dass sie übereinstimmen, und schlägt bei Abweichungen fehl, und npm publish ist auf den herkunftsgesicherten Release-Workflow beschränkt. Der Release-Workflow und das Rollback-Verfahren sind im Release-Runbook dokumentiert.

License

MIT — Copyright (c) 2026 QualityMax.