imap-mcp

Conecta cualquier buzón a tu segundo cerebro.

Un servidor MCP que lee el correo mediante IMAP — iCloud, Gmail, Outlook, Fastmail, correo universitario o de empresa, cualquier cosa que hable el protocolo — y lo convierte en notas markdown que puedes buscar, además de registros RawItem que el runtime de Mycelium ingiere directamente.

Con licencia MIT. Funciona en macOS, Linux y Windows.

Por qué IMAP

Todos los proveedores de correo hablan IMAP. Un solo conector los cubre todos, lo que importa cuando en una sala llena de gente cada uno trae un buzón distinto.

Cuando un proveedor ya tiene un conector OAuth adecuado, prefiérelo — google-workspace-mcp para Gmail, microsoft-365-mcp para Outlook. OAuth ofrece acceso restringido y revocable; una contraseña de aplicación IMAP no. Este servidor es para los buzones a los que esos dos no llegan: iCloud, que no publica ningún permiso OAuth para Mail, y cualquier proveedor más pequeño o autoalojado.

Related MCP server: imap-2-mcp

Proveedores compatibles

Pregúntale al propio servidor con imap_list_providers — devuelve el host de cada proveedor y la página exacta donde generas una contraseña.

Configuración

Consulta SETUP.md. Tres pasos, y la contraseña la generas tú mismo.

Herramientas

Ocho acciones, por debajo del umbral de ~15 a partir del cual una superficie de búsqueda y ejecución empieza a amortizarse, así que es una herramienta por acción.

Seguridad

Tu buzón nunca se modifica. Las sesiones se abren con EXAMINE (solo lectura) y cada recuperación usa BODY.PEEK[]. Un simple FETCH BODY[] activa la marca \Seen como efecto secundario, así que una sincronización "de solo lectura" marcaría silenciosamente tus correos no leídos como leídos. La única herramienta que escribe algo escribe notas en tu bóveda.

Tu contraseña nunca sale de tu máquina. Vive en el llavero del sistema operativo, nunca se escribe en un archivo de configuración, nunca se registra en logs y ninguna herramienta la devuelve. Los fallos de LOGIN de IMAP repiten el comando fallido — que contiene la contraseña —, así que los errores de autenticación se reemplazan por completo en lugar de pasarse tal cual.

El correo se trata como entrada no fiable. El cuerpo de cada mensaje se envuelve en una valla UNTRUSTED_EMAIL_BODY, y un cuerpo que falsifique el marcador de cierre para salirse de su propia valla queda neutralizado. El correo son datos para resumir, nunca instrucciones a seguir. Esto importa más de lo que parece: cualquiera puede enviarte un correo, así que un cuerpo sin valla es un desconocido escribiendo directamente en el contexto de tu asistente.

Nada se omite en silencio. Si el servidor cambia la numeración de un buzón (UIDVALIDITY cambió), el cursor de sincronización se descarta y la respuesta dice uidvalidity_reset: true; de lo contrario, un cursor obsoleto apuntaría a mensajes no relacionados y omitiría correo real para siempre. Los mensajes filtrados llevan la regla que los descartó, y imap_explain_filter explica cualquiera de ellos.

Cada escritura dice adónde fue. Los resultados llevan vault_root y root_source, así que un correo que aterriza en la carpeta equivocada se ve en la primera respuesta en lugar de descubrirse meses después.

Filtro

Los valores predeterminados inteligentes conservan lo que importa y descartan el ruido. Los nombres de carpeta varían según el proveedor y el idioma, así que provienen del perfil del proveedor en lugar de estar codificados de forma fija — Gmail anida bajo [Gmail]/, Outlook dice Junk Email, una cuenta en español dice Enviados.

El bloqueo explícito prevalece sobre el permiso explícito; ambos prevalecen sobre los valores predeterminados inteligentes. Desactiva los valores predeterminados por completo con apply_smart_filter=False.

Dos consumidores, un núcleo

imap_client.py es el único módulo que habla IMAP.

• Segundo cerebro — imap_sync_to_vault escribe External Inputs/<Provider>/<mailbox>/YYYY-MM-DD-<slug>.md

• Runtime de Mycelium — imap_export_for_runtime emite registros que coinciden campo por campo con el RawItem del runtime, así que el adaptador del lado del servidor envuelve esto en lugar de reimplementarlo

Pruebas

uv run pytest -q

65 pruebas, sin necesidad de red. Cada salvaguarda de seguridad (escape de vallas, contención de rutas, no fuga de credenciales) ha pasado pruebas de mutación: se quitó la salvaguarda, la prueba correspondiente confirmó que fallaba, se restauró la salvaguarda.

Aún no verificado: no se ha ejecutado ninguna prueba de humo contra un buzón real en ningún proveedor. Cada prueba usa fixtures sintéticos, lo que demuestra la lógica de análisis y filtrado, pero no que un servidor en vivo acepte estos comandos exactos.