instaffo-mcp-server

Ein MCP-Server, der einem KI-Assistenten Zugriff auf Ihren eigenen Instaffo-Kandidatenaccount gibt, authentifiziert mit Ihrer eigenen Browser-Sitzung. Persönliches Job-Such-Tool. Läuft vollständig lokal.

Instaffo ist ein zweiseitiger Recruiting-Marktplatz (Kandidaten werden mit Unternehmen gematcht). Dieser Server stellt die Kandidatenseite bereit: Lesen Sie Ihr Profil und Stellenvorschläge, lesen Sie Unterhaltungen und führen Sie reversible Schreibaktionen von einem MCP-Client aus.

Funktionsweise

Instaffo hat keine öffentliche Kandidaten-API, daher authentifiziert sich der Server mit einer echten eingeloggten Sitzung. Seine Kandidaten-Web-App kommuniziert mit einer sauberen JSON-API unter app.instaffo.com/candidate/api/v1/*, die ausschließlich durch das Sitzungscookie authentifiziert wird (kein Bearer-Token). Der Server ist also ein schlanker, cookie-authentifizierter httpx-Client, kein Scraper. Ein Browser (über patchright) wird nur einmal verwendet, um die Sitzung beim Login zu erstellen.

MCP client ── stdio ──> instaffo-mcp-server ──cookie──> app.instaffo.com JSON API
                              │
                     storage-state.json  (cookies, written 0600, git-ignored)
                              ▲
                     instaffo-mcp --login  (one-time browser sign-in)

Related MCP server: Chrome MCP Server

Setup

uv sync
uv run patchright install chromium     # one-time, for login only
uv run instaffo-mcp --login            # opens a browser; sign in once
uv run instaffo-mcp --auth-status      # confirm the session is stored

Registrieren Sie es bei Ihrem MCP-Client (stdio):

{
  "command": "uv",
  "args": ["run", "--directory", "/path/to/instaffo-mcp-server", "instaffo-mcp"]
}

Werkzeuge

Leseoperationen (keine Nebenwirkungen):

Schreiboperationen (jedes Schreibwerkzeug erfordert confirm; ohne dieses wird kein Netzwerkaufruf getätigt und Sie erhalten die exakte Nutzlast zurück, die gesendet worden wäre):

Alle Endpunkte wurden beobachtet, nie erraten. Der Vertrag, aus dem sie erstellt wurden, ist docs/API.md, datiert und aus einer aufgezeichneten Aufnahme abgeleitet.

Warum jeder Schreibvorgang zurückliest

Diese API gibt ein bloßes {"success": true} für jede Schreiboperation zurück und validiert nur teilweise – ein PATCH mit fehlenden Pflichtfeldern oder mit falsch typisierten Werten gibt ebenfalls {"success": true} zurück. Die Antwort kann Ihnen daher nicht sagen, was gespeichert wurde. Jedes Schreibwerkzeug liest GET /profile erneut aus und meldet verified plus value_now; vertrauen Sie diesen, nicht der Antwort.

Zwei Fallstricke bei Feldern, die Sie kennen sollten, bevor Sie etwas aufrufen:

• instaffo_set_skills leitet topSkills serverseitig neu ab. Es gibt kein topSkills-Feld zum Senden und kein UI-Steuerelement dafür. Ein Speichern mit unverändertem Fähigkeiten-Satz hat trotzdem die Top Drei verschoben.

• Fähigkeiten sind auf 23 begrenzt (skills 20 + topSkills 3). Überschreitung gibt "maximum is 20 characters" zurück – die Nachricht sagt Zeichen, die Einheit sind Elemente.

Überwacht, absichtlich: Bewerben und Nachrichten

Zwei Aktionen sind absichtlich nicht als Feuer-und-Vergessen-Werkzeuge implementiert: Bewerben auf eine Stelle und Nachrichten an einen Recruiter.

Bewerben ist keine einzelne Anfrage. Es ist ein mehrstufiger Assistent, der dauerhafte Selbstdarstellungen in Ihr echtes Profil schreibt, bevor er absendet:

1. eine Selbsteinschätzung der Fähigkeiten (Jahresschieber pro erforderlicher Fähigkeit, z.B. 0-5), die über experience_durations/bulk_save automatisch in Ihrem Profil gespeichert wird,

2. Ihre Gehaltserwartung (aus Ihrem Profil vorausgefüllt),

3. eine Mehrfachauswahl zu „KI-Tools, die Sie nutzen“ und „KI-Fähigkeiten“,

4. eine endgültige Absendung, die die Bewerbung erstellt und einen Chat mit dem Recruiter öffnet.

Da es sich um echte, nach außen gerichtete Entscheidungen darüber handelt, wie Sie sich präsentieren, und der endgültige Absende-Endpunkt erst erscheint, wenn der gesamte Ablauf abgeschlossen ist, sind die Bewerbungs- und Nachrichtenwerkzeuge für eine überwachte Sitzung vorgesehen, in der der Kontoinhaber die Eingaben genehmigt. Sie sind nicht gegen einen erratenen Endpunkt gebaut. Die beobachteten Unterschritte und die Assistentenform sind hier festgehalten, damit diese Sitzung schnell verläuft.

Befehle

instaffo-mcp                 # run the MCP server (stdio)
instaffo-mcp --login         # headed manual login, persist the session
instaffo-mcp --capture       # record app API traffic to a JSONL (diagnostics)
instaffo-mcp --auth-status [--deep]

Sicherheit und Privatsphäre

• Sitzungsmaterial (profile/, storage-state.json, captures/, .env) befindet sich unter ~/.instaffo-mcp, wird mit Berechtigung 0600 geschrieben und ist in .gitignore aufgeführt. Es wird niemals committet.

• Schreibwerkzeuge sind bestätigungsgeschützt und berühren nur reversible Oberflächen.

• Dies ist ein persönliches, lokales Werkzeug für Ihren eigenen Account. Es speichert keine Daten anderer und kommuniziert nur mit Instaffo mit Ihrer eigenen Sitzung.

Vorherige Arbeiten

Die Sitzungserfassungs- und Browser-Muster sind im Geiste von stickerdaniel/linkedin-mcp-server (Apache-2.0) übernommen, das eine persönliche LinkedIn-Sitzung auf dieselbe Weise authentifiziert.