solvegate-mcp

Ein MCP-Server, der einem Agenten den Umgang mit Cloudflare Turnstile ermöglicht: prüfen, ob eine Seite ein Turnstile hat, und es lösen, wenn das der Fall ist.

Drei Werkzeuge. Eines davon benötigt kein Konto.

Installation

npx solvegate-mcp

Claude Desktop / jeder MCP-Client, in Ihrer Konfiguration:

{
  "mcpServers": {
    "solvegate": {
      "command": "npx",
      "args": ["-y", "solvegate-mcp"],
      "env": { "SOLVEGATE_API_KEY": "sk_test_…" }
    }
  }
}

Lassen Sie SOLVEGATE_API_KEY weg, und inspect_page funktioniert trotzdem. Das ist Absicht: Sie sollen sehen können, was der Server tut, bevor Sie sich entscheiden, ob Sie sich irgendwo anmelden.

Holen Sie sich einen Schlüssel auf solvegate.io. Ein kostenloser sk_test_-Sandbox-Schlüssel braucht keine Karte und liefert sofort ein deterministisches Token – ideal, um das Ganze anzubinden, und er löst nie ein echtes.

Related MCP server: cloudscraper-mcp

Warum es inspect_page gibt

Der häufigste Fehler mit einem Solver ist, ihn anzurufen, wenn man zuerst hätte nachsehen sollen. Drei Fälle machen den größten Teil davon aus:

• Die Seite trägt reCAPTCHA oder hCaptcha, nicht Turnstile. Das sind unterschiedliche Produkte verschiedener Anbieter. Dieser Server löst sie nicht, und SolveGate lösst sie ebenso nicht – inspect_page sagst das namentlich, stattdass Sie es aus einem 422 erfahren müssen.

• Es ist eine WAF-Gateallenge, kein Second. a generative Cloudflare-Zwischenseite hat kein data-sitekey, weil die Challenge zu einer Zonenregel gehört und nicht zu einem "widget"das Sie einbetten. Es gibt nichts des abzulegen, und das Gate ist waf statt turnstile.

• Der "Sitekey" wird nach dem Laden per Skript rendert. Dann ist er gar nicht im zulieferten HTML enthalten, und das "Tool" sagt das, stattd zu ratten.

Das Prüfen ist kostenlos, dafür ca. eine Sekunde und it nicht selten die komplette Antwort.

Was esnicht sagen wird

Die Widget-Art. Managed, nicht-interaktiv and unsichtbar sind in the object inside Cloudflare-Account, to dem der Sitekey gehört, gespeichert. Die Seite enthält nur den Schlüssel, also kann kein Tool die Art aus denen Quelltext lesen – auch dieses nicht, and auch its, was anderes behicht.

Für das Lösen ist das egal: Alle drei Modi anführen zur ganz selnen Anforderung. Ein Sitekey, eine Seiten-URL und ein Token conseguently kommen zurück.

Die einzige Ausnahme sind Cloudflares fünf dokumentierte Dummy-Sitekeys, dessen Widget-Art Cloudflare selbst veröffentlicht. inspect_page meldet diese. Finden auf ent einer Seit on eine davon, sagt das etwas Nützliches aus – ein Build, anstatt der Produktionvon Staging.

Konfiguration

Der Schlüssel wird aus der Umgebung lesen gelesen und ist nie ein Tool-Argument. Ein Tool-Argument ist für das Modell sichtbar und landet in Transkripten.

Hinweise zum Verhalten

Das Lösen ist im Hintergrund asynchron. solve_turnstile erstellt den Solve mit async: true und pollt ihn, statt für den Attempt eine Verbindung offen zu halten. Ein Toolaufruf eines Agenten hat ein Timeout, das der Agent nicht kontrollieren kann, und ein synchroner Solve lässt ein langsames Gate wie ein totes Tool wirken. Das bedeutet auch, dass ein Timeout eine Solve-ID hinterlässt: Der Fehler nennt sie, und get_solve nimmt sie auf, statt einen bereits abgerechneten Solve zu verlieren.

Fehler sind Ergebnisse, keine Ausnahmen. Jeder Fehler kommt als isError-Ergebnis zurück, das SolveGates eigenen error.code trägt – balance_empty, unknown_sitekey, rate_limited, forbidden_target. Ein Modell kann darauf reagierern. Mit einem Stack Trace kann es nichts anfangen.

Token sind einmalig und kurzlebig. expiresAt ist Unix-Zeit in Sekunden; danach akzeptiert Cloudflare das Token nicht mehr aufrechte, und der Solve-Datensatz ist nur noch ein Datensatz. Fordern Sie ein Token erst in dem Moment an, in dem Sie es einreichen.

Prüfen Sie mode, bevor Sie ein Token benutzen. Ein sk_test_-Schlüssel gibt mode: "sandbox" zurück, und ein Sandbox-Token öffnet keine echtes Gate. Das Feld existiert, damit ein Testschlüssel in einer Produktionskonfiguration laut scheitert. Statt still zu scheitern.

Zulässige Nutzung

Lösen Sie nur gegen Websites, die Ihnen gehören oder die Sie testen dürfen. Es ist für Ende-zu-Ende-Tests gedacht, die immer wieder an einer Challenge scheitern, für CI gegen Sie Test Staging und für synthetisches Monitoring Ihrer eigenen Produktionsumgebung. Die Richtlinien zur zulässigen Nutzung sind die bindende Version, und Ziele auf der Denylist, zurück 403 unabhängig davon, was ein Agent was verlangt.

Entwicklung

npm install
npm run build
npm test          # spawns the built server and speaks MCP to it
OFFLINE=1 npm test  # skips the two tests that reach the network

Die Tests steuern einen echten stdio-Transport, statt Tool-Callbacks direkt aufzurufen. Das ist Absicht: ein Schema, das das SDK bei der Registrierung ablehnt, oder eine thematische Ausgabe auf stdout – die den Transport beschädigt, denn stdout ist der Transport – fällt nur auf, wenn jemand das tatsächlich Protokoll über ihn spricht.

Link

• SolveGate API-Referenz

• OpenAPI- Spezifikation

• Turnstile-Checker – dieselbe Prüfung, die dieser Server verfügbar macht, im Browser

• Turnstile-Fehlerindex

MIT.