MCP Cloudflare CrunchTools

Ein sicherer MCP-Server (Model Context Protocol) für Cloudflare DNS, Transform Rules, Page Rules und Cache-Verwaltung.

Übersicht

Dieser MCP-Server wurde entwickelt, um:

• Standardmäßig sicher – Umfassende Bedrohungsmodellierung, Eingabevalidierung und Token-Schutz

• Keine Drittanbieter-Dienste – Läuft lokal über stdio, Ihr API-Token verlässt nie Ihren Rechner

• Plattformübergreifend – Funktioniert unter Linux, macOS und Windows

• Automatisch aktualisiert – GitHub Actions überwachen CVEs und aktualisieren Abhängigkeiten

• Containerisiert – Verfügbar unter quay.io/crunchtools/mcp-cloudflare, basierend auf dem Hummingbird Python-Basisimage

Related MCP server: Cloudflare API MCP

Namenskonvention

Warum Hummingbird?

Das Container-Image basiert auf dem Hummingbird Python-Basisimage von Project Hummingbird, das Folgendes bietet:

• Minimale CVE-Exposition – Hummingbird-Images werden mit einem minimalen Paketsatz erstellt, wodurch die Angriffsfläche im Vergleich zu Allzweck-Images drastisch reduziert wird

• Regelmäßige Updates – Sicherheitspatches werden zeitnah angewendet, wodurch die CVE-Anzahl niedrig bleibt

• Für Python optimiert – Vorkonfigurierte Python-Umgebung mit uv-Paketmanager für schnelle, reproduzierbare Builds

• Produktionsreif – Entwickelt für Produktionsworkloads mit ordnungsgemäßer Signalverarbeitung und Nicht-Root-Benutzerstandards

Das bedeutet, dass Ihr MCP-Server in einer gehärteten Umgebung mit weniger Schwachstellen läuft als typische Python-Container-Images.

Funktionen

Zonenverwaltung (2 Tools)

• list_zones – Listet alle Zonen auf, die für Ihr API-Token zugänglich sind

• get_zone – Ruft Zonendetails anhand von ID oder Domainname ab

DNS-Einträge (5 Tools)

• list_dns_records – Listet DNS-Einträge mit Filterung auf

• get_dns_record – Ruft einen einzelnen DNS-Eintrag ab

• create_dns_record – Erstellt A-, AAAA-, CNAME-, MX-, TXT-, NS-, SRV- und CAA-Einträge

• update_dns_record – Aktualisiert vorhandene Einträge

• delete_dns_record – Löscht Einträge

Transform Rules (6 Tools)

• list_request_header_rules / set_request_header_rules – Ändert Anforderungsheader

• list_response_header_rules / set_response_header_rules – Ändert Antwortheader

• list_url_rewrite_rules / set_url_rewrite_rules – URL-Pfad-/Abfrage-Umschreibungen

Page Rules (4 Tools)

• list_page_rules – Listet alle Page Rules auf

• create_page_rule – Erstellt Weiterleitungen, Cache-Einstellungen, SSL-Modi

• update_page_rule – Ändert vorhandene Regeln

• delete_page_rule – Entfernt Regeln

Cache-Verwaltung (1 Tool)

• purge_cache – Leert nach URL, Tag, Host, Präfix oder alles

Installation

Mit uvx (empfohlen)

uvx mcp-cloudflare-crunchtools

Mit pip

pip install mcp-cloudflare-crunchtools

Mit Container

podman run -e CLOUDFLARE_API_TOKEN=your_token \
    quay.io/crunchtools/mcp-cloudflare

Konfiguration

Erstellen eines Cloudflare-API-Tokens

1. Navigieren Sie zu API-Tokens

   • Gehen Sie zu https://dash.cloudflare.com/profile/api-tokens

   • Klicken Sie auf "Create Token"

   • Klicken Sie neben "Create Custom Token" auf "Get started"

2. Token-Namen konfigurieren

   • Geben Sie ein: mcp-cloudflare-crunchtools

3. Berechtigungen konfigurieren

   Der Abschnitt "Permissions" hat drei Dropdowns pro Zeile:

   • Erstes Dropdown: Ressourcentyp (Account oder Zone)

   • Zweites Dropdown: Spezifische Berechtigungskategorie

   • Drittes Dropdown: Zugriffsstufe (Read oder Edit)

   Klicken Sie auf "+ Add more", um jede Berechtigungszeile hinzuzufügen. Für die vollständige Verwaltung fügen Sie hinzu:

   Ressource	Berechtigung	Zugriff
   Zone	Zone	Read
   Zone	DNS	Edit
   Zone	Page Rules	Edit
   Zone	Transform Rules	Edit
   Zone	Cache Purge	Purge

4. Zonenressourcen konfigurieren

   • Erstes Dropdown: Wählen Sie "Include"

   • Zweites Dropdown: Wählen Sie "All zones" oder "Specific zone"

5. Client-IP-Adressfilterung konfigurieren (optional)

   • Klicken Sie auf die Schaltfläche "Use my IP", um das Token auf Ihre aktuelle IP zu beschränken

6. Token erstellen und kopieren

   • Klicken Sie auf "Continue to summary" → "Create Token"

   • WICHTIG: Kopieren Sie das Token sofort – es wird nur einmal angezeigt!

Zu Claude Code hinzufügen

claude mcp add mcp-cloudflare-crunchtools \
    --env CLOUDFLARE_API_TOKEN=your_token_here \
    -- uvx mcp-cloudflare-crunchtools

Oder für die Container-Version:

claude mcp add mcp-cloudflare-crunchtools \
    --env CLOUDFLARE_API_TOKEN=your_token_here \
    -- podman run -i --rm -e CLOUDFLARE_API_TOKEN quay.io/crunchtools/mcp-cloudflare

Berechtigungssätze nach Anwendungsfall

Schreibgeschützt (nur Anzeigen)

Nur DNS-Verwaltung

Vollständige Verwaltung (alle Funktionen)

Anwendungsbeispiele

Ihre Zonen auflisten

User: List my Cloudflare zones
Assistant: [calls list_zones]

Einen DNS-Eintrag erstellen

User: Create an A record for www.example.com pointing to 192.168.1.1
Assistant: [calls create_dns_record with type=A, name=www, content=192.168.1.1]

Sicherheitsheader hinzufügen

User: Add X-Content-Type-Options: nosniff to all responses for zone abc123...
Assistant: [calls set_response_header_rules with appropriate rule]

Cache leeren

User: Purge the cache for https://example.com/styles.css
Assistant: [calls purge_cache with files=["https://example.com/styles.css"]]

Sicherheit

Dieser Server wurde mit Sicherheit als Hauptanliegen entwickelt. Siehe SECURITY.md für:

• Bedrohungsmodell und Angriffsvektoren

• Defense-in-Depth-Architektur

• Best Practices für die Token-Behandlung

• Regeln für die Eingabevalidierung

• Audit-Protokollierung

Wichtige Sicherheitsfunktionen

1. Token-Schutz

   • Gespeichert als SecretStr (wird nie versehentlich protokolliert)

   • Nur als Umgebungsvariable (nie in Dateien oder Argumenten)

   • Aus allen Fehlermeldungen bereinigt

2. Eingabevalidierung

   • Pydantic-Modelle für alle Eingaben

   • Whitelist für Eintragstypen und Aktionen

   • Strenge Formatvalidierung für IDs

3. API-Härtung

   • Fest codierte API-Basis-URL (verhindert SSRF)

   • TLS-Zertifikatsvalidierung

   • Anforderungs-Timeouts

   • Antwortgrößenbegrenzungen

4. Automatisiertes CVE-Scannen

   • GitHub Actions scannen Abhängigkeiten wöchentlich

   • Automatische PRs für Sicherheitsupdates

   • Dependabot-Warnungen aktiviert

Entwicklung

Einrichtung

git clone https://github.com/crunchtools/mcp-cloudflare.git
cd mcp-cloudflare
uv sync

Tests ausführen

uv run pytest

Lint und Typprüfung

uv run ruff check src tests
uv run mypy src

Container erstellen

podman build -t mcp-cloudflare .

Lizenz

AGPL-3.0-or-later

Mitwirken

Beiträge sind willkommen! Bitte lesen Sie SECURITY.md, bevor Sie sicherheitsrelevante Änderungen einreichen.

Links

• Cloudflare-API-Dokumentation

• FastMCP-Dokumentation

• MCP-Spezifikation

• crunchtools.com