contratando-mcp

MCP-сервер, позволяющий ИИ-агенту (Hermes) управлять Contratando — полное чтение и запись платформы: вакансии, компании, кандидаты, отклики, кредиты, подписки, комиссии, пользователи и конфигурация.

Как это работает

Этот репозиторий не имеет доступа к базе данных. Это тонкий клиент: каждый инструмент, который вызывает агент, пересылается по HTTPS на POST {MCP_BRIDGE_URL}/api/mcp — защищённый маршрут внутри самого приложения Contratando (уже развёрнутого). Продакшн-база данных намеренно находится в приватном режиме — этот мост и есть способ управлять ею, не открывая её в интернет.

Hermes → contratando-mcp (stdio, local) → HTTPS + secreto → contratandord.com/api/mcp → Postgres (privada)

Реальная логика (какую мутацию выполняет каждый инструмент, валидация, аудит) живёт в репозитории Contratando (src/lib/mcp/registro.ts). Этот репозиторий только объявляет 46 инструментов (имя, описание, входная схема), чтобы агент знал, что можно запрашивать.

Если вы собираетесь использовать scraper_mensajes_pendientes + vacantes_importar_lote (поток scraper → черновик → модерация), см. PARSING.md — там описана точная структура, которую ожидает каждый элемент пакета.

Related MCP server: HeadHunter API MCP Server

Настройка

npm install
cp .env.example .env

Заполните .env:

• MCP_BRIDGE_URL — https://contratandord.com (или http://localhost:3200 для проверки на локальной среде).

• MCP_API_SECRET — то же значение, что и MCP_API_SECRET в .env Contratando. Если они не совпадают, мост отклоняет всё с кодом 401.

npm start

Подключение к агенту

Claude Desktop (claude_desktop_config.json):

{
  "mcpServers": {
    "contratando": {
      "command": "npx",
      "args": ["tsx", "C:\\ruta\\a\\contratando-mcp\\src\\server.ts"],
      "env": {
        "MCP_BRIDGE_URL": "https://contratandord.com",
        "MCP_API_SECRET": "..."
      }
    }
  }
}

Claude Code:

claude mcp add contratando -- npx tsx C:\ruta\a\contratando-mcp\src\server.ts

Для Hermes или другой MCP-среды выполнения: укажите ей npm start (или node --import tsx src/server.ts) в этом каталоге, с MCP_BRIDGE_URL/MCP_API_SECRET в окружении.

Чего он НЕ делает

• Не загружает файлы (логотип, квитанции, документы RNC).

• Не редактирует резюме кандидата по разделам (опыт/образование/языки по одному) — только самое необходимое для откликов и профиля компании.

• talento_ficha никогда не возвращает телефон/почту/удостоверение личности — настоящий поиск талантов требует проверяемого процесса разблокировки, который этот мост не воспроизводит.

• Не отправляет письма и не уведомляет Google при мутациях — только внутриприложенное уведомление. Сайт сам подхватывает изменения (кэш конфигурации до 30 секунд, обычный sitemap/сканирование для SEO).

Безопасность

• Секрет сравнивается на стороне сервера с помощью timingSafeEqual (без утечки по времени ответа).

• Ограничение частоты запросов: 30 вызовов / 5 минут на IP на мосту.

• Каждая мутация остаётся в журнале аудита Contratando с datos.via: "mcp" и приписывается суперадминистратору, заданному в SEED_ADMIN_EMAIL на стороне сервера.

• Если секрет утёк, смените его С ОБЕИХ СТОРОН: MCP_API_SECRET в .env Contratando (повторный деплой) и здесь.