ApiVault Remote MCP Server

Безопасное, зашифрованное управление API-ключами для ИИ-агентов кодирования.
Официальный удаленный сервер Model Context Protocol (MCP) для ApiVault.

Быстрый старт • Справочник инструментов • Архитектура • OAuth 2.1 и области видимости • Коды ошибок и устранение неполадок • Самостоятельное размещение и разработка

Обзор

ApiVault Remote MCP Server позволяет ИИ-ассистентам (таким как Cursor, Claude Desktop, Windsurf и Claude Code) безопасно и с возможностью аудита взаимодействовать с вашими зашифрованными секретами в ApiVault.

Вместо того чтобы вставлять сырые API-ключи в подсказки чата или коммитить файлы .env в git, ИИ-агенты могут:

1. Искать и просматривать доступные учетные данные, используя маскированные превью (например, sk_live_••••1234).

2. Запрашивать сырые значения секретов только при выполнении кода через ограниченные разрешения.

3. Автоматически сохранять вновь сгенерированные API-ключи непосредственно в ваше хранилище.

4. Поддерживать Zero-Knowledge пользовательские парольные фразы, расшифровываемые в памяти на лету.

Быстрый старт

1. Cursor

Откройте настройки Cursor (Cmd/Ctrl + Shift + J) → MCP → Добавить новый MCP сервер или добавьте в ваш ~/.cursor/mcp.json:

{
  "mcpServers": {
    "apivault": {
      "url": "https://apivault-mcp.vercel.app/mcp"
    }
  }
}

2. Claude Desktop

Добавьте в файл конфигурации Claude Desktop:

• macOS: ~/Library/Application Support/Claude/claude_desktop_config.json

• Windows: %APPDATA%\Claude\claude_desktop_config.json

• Linux: ~/.config/Claude/claude_desktop_config.json

{
  "mcpServers": {
    "apivault": {
      "url": "https://apivault-mcp.vercel.app/mcp"
    }
  }
}

3. Windsurf

Добавьте в ~/.codeium/windsurf/mcp_config.json:

{
  "mcpServers": {
    "apivault": {
      "url": "https://apivault-mcp.vercel.app/mcp"
    }
  }
}

4. Claude Code (CLI)

Запустите в вашем терминале:

claude mcp add apivault https://apivault-mcp.vercel.app/mcp

5. VS Code (Cline / Roo Code / Continue)

В настройках MCP JSON вашего расширения:

{
  "mcpServers": {
    "apivault": {
      "url": "https://apivault-mcp.vercel.app/mcp",
      "transport": "http"
    }
  }
}

Первое подключение: Когда ваш агент инициализируется впервые, в браузере открывается вкладка на главный сайт ApiVault (https://api-vault-opal.vercel.app) для аутентификации вашей учетной записи и одобрения запрошенных областей видимости.

Справочник инструментов

Сервер предоставляет 6 инструментов, соответствующих Model Context Protocol:

1. list_keys

Список сохраненных API-ключей с маскированными значениями (например, sk_live_••••1234). Предотвращает загрязнение подсказок, позволяя агенту обнаруживать доступные сервисы.

• Требуемая область видимости: keys:read

• Параметры:

  • environment (строка, опционально): Фильтр по окружению (например, Production, Staging, Development).

  • service (строка, опционально): Фильтр по имени сервиса (например, Stripe, OpenAI, Resend).

• Пример подсказки агенту:

  "Какие учетные данные Stripe у нас есть в Production?"

2. get_key

Получить метаданные и маскированное превью для конкретного учетного данного по ID.

• Требуемая область видимости: keys:read

• Параметры:

  • id (строка, обязательный): Уникальный ID ключа.

• Пример подсказки агенту:

  "Проверь метаданные и дату последнего обновления для ключа 'cm123abc'."

3. reveal_key

Расшифровать и вернуть сырое, немаскированное значение API-ключа.

• Требуемая область видимости: keys:reveal

• Параметры:

  • id (строка, обязательный): ID ключа для расшифровки.

  • vault_key (строка, опционально): Пользовательская парольная фраза хранилища (требуется, только если в учетной записи включен Custom Encryption Mode).

• Пример подсказки агенту:

  "Мне нужен сырой API-ключ OpenAI, чтобы запустить интеграционные тесты бэкенда."

4. add_key

Безопасно зашифровать и сохранить новый API-ключ в хранилище.

• Требуемая область видимости: keys:write

• Параметры:

  • name (строка, обязательный): Идентификатор ключа (например, STRIPE_SECRET_KEY, RESEND_API_KEY).

  • key (строка, обязательный): Сырое секретное значение для шифрования.

  • service (строка, опционально): Имя сервиса (например, Stripe, OpenAI, AWS).

  • environment (строка, опционально): Целевое окружение (по умолчанию Production).

  • notes (строка, опционально): Документация разработчика или примечания по использованию.

  • vault_key (строка, опционально): Пользовательская парольная фраза хранилища, когда требуется.

• Пример подсказки агенту:

  "Сохрани этот только что сгенерированный ключ сервисной роли Supabase в нашем Production хранилище."

5. update_key

Обновить метаданные существующего ключа или повторно зашифровать его секретное значение.

• Требуемая область видимости: keys:write

• Параметры:

  • id (строка, обязательный): ID ключа для обновления.

  • name, service, environment, notes (строка, опционально): Обновления метаданных.

  • key (строка, опционально): Новое сырое секретное значение (инициирует повторное шифрование).

  • vault_key (строка, опционально): Пользовательская парольная фраза хранилища при обновлении секретного значения.

• Пример подсказки агенту:

  "Обнови примечания к API-ключу Resend на 'Ротирован 18 августа'."

6. delete_key

Навсегда удалить API-ключ из хранилища.

• Требуемая область видимости: keys:write

• Параметры:

  • id (строка, обязательный): ID ключа для удаления.

• Пример подсказки агенту:

  "Удали устаревшее учетное данное staging базы данных."

Архитектура

MCP сервер использует архитектуру Stateless Protocol Gateway, разделяя публичный транспортный уровень и базу данных с криптографическим хранилищем:

+----------------------------------------------------------+
|  AI Agent (Cursor / Claude Desktop / Windsurf)           |
+----------------------------+-----------------------------+
                             | Streamable HTTP (JSON-RPC)
                             v
+----------------------------------------------------------+
|  ApiVault MCP Server (apivault-mcp.vercel.app)           |
|  - RFC 9728 Protected Resource Metadata (PRM)           |
|  - Streamable HTTP Transport (/mcp)                      |
|  - Zero Database Credentials / Zero Stored Keys          |
+----------------------------+-----------------------------+
                             | Scoped HTTPS REST Gateway (Bearer Token)
                             v
+----------------------------------------------------------+
|  ApiVault Backend (api-vault-opal.vercel.app)            |
|  - OAuth 2.1 Authorization Server (DCR + PKCE S256)      |
|  - Browser Consent UI (/mcp/authorize)                   |
|  - Cryptographic Key Decryption & MySQL Vault            |
+----------------------------------------------------------+

Свойства безопасности:

1. Zero Database Passwords: Публичный сервис apivault-mcp не хранит учетные данные MySQL и мастер-ключи шифрования.

2. Stateless Forwarding: Запросы клиентов проверяются и пересылаются на ограниченный шлюз ApiVault (/api/mcp/v1/keys) с использованием стандартных OAuth Bearer токенов.

3. In-Memory Passphrases: Парольные фразы режима пользовательского шифрования (vault_key) используются только в памяти во время одноразового вывода и никогда не записываются на диск или в логи.

OAuth 2.1 и области видимости

MCP сервер реализует стандартный OAuth 2.1 с Dynamic Client Registration (RFC 7591) и PKCE S256 (RFC 7636):

Управление и отзыв подключений

Пользователи могут просматривать подключенных ИИ-агентов, проверять предоставленные области видимости и отзывать доступ в любое время в веб-панели управления: Панель управления ApiVault → Настройки → MCP Подключения

Коды ошибок и устранение неполадок

Самостоятельное размещение и разработка

Вы можете запустить свой собственный автономный MCP сервер или развернуть его в вашей частной облачной инфраструктуре:

Предварительные требования

• Node.js >= 20.12.0

• npm или pnpm

1. Клонирование и установка

git clone https://github.com/TLB-STATION/apivault-mcp.git
cd apivault-mcp
npm install

2. Настройка окружения

Создайте .env.local:

# ApiVault Backend URL
API_VAULT_URL=https://api-vault-opal.vercel.app

# Public URL of this MCP server
MCP_SERVER_URL=http://localhost:3001

3. Запуск сервера разработки

npm run dev
# Server running at http://localhost:3001

4. Запуск тестового набора

npm test

5. Сборка для продакшена

npm run build
npm start

Сообщество и экосистема

• Основная платформа: Веб-панель управления ApiVault

• CLI инструмент: apivault-cli (npm)

• Документация: Документация и руководства ApiVault

• Отчеты об ошибках и проблемы: GitHub Issues

Лицензия

Распространяется под MIT License. Смотрите LICENSE для получения дополнительной информации.

Copyright (c) 2026 Mohamed Eltelb • ApiVault