MCP Cloudflare CrunchTools

Un servidor MCP (Model Context Protocol) seguro para la gestión de DNS de Cloudflare, reglas de transformación, reglas de página y caché.

Resumen

Este servidor MCP está diseñado para ser:

• Seguro por defecto - Modelado de amenazas integral, validación de entrada y protección de tokens

• Sin servicios de terceros - Se ejecuta localmente mediante stdio, tu token de API nunca sale de tu máquina

• Multiplataforma - Funciona en Linux, macOS y Windows

• Actualizado automáticamente - GitHub Actions monitorea CVEs y actualiza dependencias

• Contenerizado - Disponible en quay.io/crunchtools/mcp-cloudflare construido sobre la imagen base Hummingbird Python

Related MCP server: Cloudflare API MCP

Convención de Nombres

¿Por qué Hummingbird?

La imagen del contenedor está construida sobre la imagen base Hummingbird Python de Project Hummingbird, que proporciona:

• Exposición mínima a CVE - Las imágenes Hummingbird se construyen con un conjunto mínimo de paquetes, reduciendo drásticamente la superficie de ataque en comparación con imágenes de propósito general

• Actualizaciones periódicas - Los parches de seguridad se aplican rápidamente, manteniendo bajos los recuentos de CVE

• Optimizado para Python - Entorno Python preconfigurado con el gestor de paquetes uv para compilaciones rápidas y reproducibles

• Listo para producción - Diseñado para cargas de trabajo de producción con manejo adecuado de señales y valores predeterminados de usuario no root

Esto significa que tu servidor MCP se ejecuta en un entorno reforzado con menos vulnerabilidades que las imágenes típicas de contenedores Python

Características

Gestión de Zonas (2 herramientas)

• list_zones - Lista todas las zonas accesibles por tu token de API

• get_zone - Obtiene detalles de la zona por ID o nombre de dominio

Registros DNS (5 herramientas)

• list_dns_records - Lista registros DNS con filtrado

• get_dns_record - Obtiene un solo registro DNS

• create_dns_record - Crea registros A, AAAA, CNAME, MX, TXT, NS, SRV, CAA

• update_dns_record - Actualiza registros existentes

• delete_dns_record - Elimina registros

Reglas de Transformación (6 herramientas)

• list_request_header_rules / set_request_header_rules - Modifica cabeceras de solicitud

• list_response_header_rules / set_response_header_rules - Modifica cabeceras de respuesta

• list_url_rewrite_rules / set_url_rewrite_rules - Reescribe rutas/consultas de URL

Reglas de Página (4 herramientas)

• list_page_rules - Lista todas las reglas de página

• create_page_rule - Crea redirecciones, configuraciones de caché, modos SSL

• update_page_rule - Modifica reglas existentes

• delete_page_rule - Elimina reglas

Gestión de Caché (1 herramienta)

• purge_cache - Purga por URL, etiqueta, host, prefijo o todo

Instalación

Con uvx (Recomendado)

uvx mcp-cloudflare-crunchtools

Con pip

pip install mcp-cloudflare-crunchtools

Con Contenedor

podman run -e CLOUDFLARE_API_TOKEN=your_token \
    quay.io/crunchtools/mcp-cloudflare

Configuración

Creación de un Token de API de Cloudflare

1. Navega a Tokens de API

   • Ve a https://dash.cloudflare.com/profile/api-tokens

   • Haz clic en "Crear Token"

   • Haz clic en "Comenzar" junto a "Crear Token Personalizado"

2. Configura el Nombre del Token

   • Introduce: mcp-cloudflare-crunchtools

3. Configura los Permisos

   La sección de Permisos tiene tres menús desplegables por fila:

   • Primer menú desplegable: Tipo de recurso (Account o Zone)

   • Segundo menú desplegable: Categoría de permiso específica

   • Tercer menú desplegable: Nivel de acceso (Read o Edit)

   Haz clic en "+ Añadir más" para añadir cada fila de permisos. Para una gestión completa, añade:

   Recurso	Permiso	Acceso
   Zone	Zone	Read
   Zone	DNS	Edit
   Zone	Page Rules	Edit
   Zone	Transform Rules	Edit
   Zone	Cache Purge	Purge

4. Configura los Recursos de Zona

   • Primer menú desplegable: Selecciona "Incluir"

   • Segundo menú desplegable: Selecciona "Todas las zonas" o "Zona específica"

5. Configura el Filtrado de Dirección IP del Cliente (Opcional)

   • Haz clic en el botón "Usar mi IP" para restringir el token a tu IP actual

6. Crea y Copia el Token

   • Haz clic en "Continuar al resumen" → "Crear Token"

   • IMPORTANTE: Copia el token inmediatamente - ¡solo se muestra una vez!

Añadir a Claude Code

claude mcp add mcp-cloudflare-crunchtools \
    --env CLOUDFLARE_API_TOKEN=your_token_here \
    -- uvx mcp-cloudflare-crunchtools

O para la versión de contenedor:

claude mcp add mcp-cloudflare-crunchtools \
    --env CLOUDFLARE_API_TOKEN=your_token_here \
    -- podman run -i --rm -e CLOUDFLARE_API_TOKEN quay.io/crunchtools/mcp-cloudflare

Conjuntos de Permisos por Caso de Uso

Solo Lectura (solo visualización)

Solo Gestión de DNS

Gestión Completa (todas las funciones)

Ejemplos de Uso

Lista tus Zonas

User: List my Cloudflare zones
Assistant: [calls list_zones]

Crea un Registro DNS

User: Create an A record for www.example.com pointing to 192.168.1.1
Assistant: [calls create_dns_record with type=A, name=www, content=192.168.1.1]

Añade Cabeceras de Seguridad

User: Add X-Content-Type-Options: nosniff to all responses for zone abc123...
Assistant: [calls set_response_header_rules with appropriate rule]

Purga la Caché

User: Purge the cache for https://example.com/styles.css
Assistant: [calls purge_cache with files=["https://example.com/styles.css"]]

Seguridad

Este servidor fue diseñado con la seguridad como preocupación principal. Consulta SECURITY.md para:

• Modelo de amenazas y vectores de ataque

• Arquitectura de defensa en profundidad

• Mejores prácticas de manejo de tokens

• Reglas de validación de entrada

• Registro de auditoría

Características Clave de Seguridad

1. Protección de Tokens

   • Almacenado como SecretStr (nunca se registra accidentalmente)

   • Solo variable de entorno (nunca en archivos o argumentos)

   • Saneado de todos los mensajes de error

2. Validación de Entrada

   • Modelos Pydantic para todas las entradas

   • Lista blanca para tipos de registros, acciones

   • Validación estricta de formato para IDs

3. Endurecimiento de API

   • URL base de API codificada (previene SSRF)

   • Validación de certificados TLS

   • Tiempos de espera de solicitudes

   • Límites de tamaño de respuesta

4. Escaneo Automatizado de CVE

   • GitHub Actions escanea dependencias semanalmente

   • PRs automáticos para actualizaciones de seguridad

   • Alertas de Dependabot habilitadas

Desarrollo

Configuración

git clone https://github.com/crunchtools/mcp-cloudflare.git
cd mcp-cloudflare
uv sync

Ejecutar Pruebas

uv run pytest

Lint y Verificación de Tipos

uv run ruff check src tests
uv run mypy src

Construir Contenedor

podman build -t mcp-cloudflare .

Licencia

AGPL-3.0-or-later

Contribuciones

¡Las contribuciones son bienvenidas! Por favor, lee SECURITY.md antes de enviar cambios relacionados con la seguridad.

Enlaces

• Documentación de la API de Cloudflare

• Documentación de FastMCP

• Especificación MCP

• crunchtools.com