fortyTimer MCP サーバー（読み取り専用）

fortyTimer インストールの読み取り専用 API を MCP クライアント（Claude Desktop、Claude Code など）向けのツールとして公開する、薄い MCP サーバーです。このサーバー自体にはビジネスロジックは一切含まれておらず、認可・可視範囲の制御・データ最小化は、ユーザーが接続する fortyTimer インストール側でのみ強制されます。

要件

1. ライセンスに api_readonly（"fortyTimer API"） モジュールが含まれる fortyTimer インストール。

2. fortyTimer の プロフィール → セキュリティ → API トークン で作成した 個人用 API トークン。トークンは一度だけ表示されます。トークンは所有者アカウントの可視範囲を継承し（管理者：全ユーザー、スーパーバイザー：自身の承認グループ、従業員：本人のみ）、何も変更することはできません（GET のみ、read 権限）。

3. Node.js ≥ 18（Claude Desktop 拡張機能としてインストールすると自動的に同梱されます）。

インストール（Claude Desktop 拡張機能）

パッケージ化された fortytimer-<version>.mcpb ファイルをダブルクリック、または Claude Desktop → 設定 → 拡張機能 からインストールします。インストール中に次の 2 つの値の入力を求められます：

トークンはオペレーティングシステムのキーチェーンに保存され、平文では保存されません。

手動設定（任意の MCP クライアント）

{
    "mcpServers": {
        "fortytimer": {
            "command": "node",
            "args": ["/path/to/fortytimer-mcp/dist/index.js"],
            "env": {
                "FORTYTIMER_URL": "https://42.fortytimer.de",
                "FORTYTIMER_TOKEN": "<token>"
            }
        }
    }
}

ソースからのビルド

npm install
npm run build

Claude Desktop 拡張機能としてのパッケージ化：

npm prune --omit=dev
npx @anthropic-ai/mcpb pack . fortytimer-<version>.mcpb
npm install

ツール

すべてのツールは読み取り専用（readOnlyHint）です。期間はサーバー側で 366 日に制限され、リストは 1 ページ 50 件でページングされます（page パラメータ）。期間は正確な整数の分数と、事前にフォーマットされた時:分の文字列の両方で返されます。傷病休暇申請の自由記述フィールドは、データ保護上の理由から API では一切返されません。

クライアントなしでのテスト

npx @modelcontextprotocol/inspector node dist/index.js

（Inspector UI の「環境変数」で環境変数 FORTYTIMER_URL / FORTYTIMER_TOKEN を設定してください。）

プライバシーポリシー

完全なプライバシーポリシー：https://fortytimer.de/privacy-policy.md

概要：

• この MCP サーバーはいかなるデータも保存しません。データベース、キャッシュ、ログファイル、分析機能は一切保持しません。

• すべてのデータは、ユーザー自身のコンピュータと、ユーザーが設定した fortyTimer インストールの間でのみやり取りされます。第三者のサービスは一切関与せず、拡張機能の作者にデータが送信されることもありません。

• API トークンはユーザーが提供し、MCP クライアント（Claude Desktop はオペレーティングシステムのキーチェーンに保存）が保持し、設定された fortyTimer URL に対する Bearer ヘッダーとしてのみ使用されます。

• どの個人データが表示されるかは、接続先の fortyTimer インストールが完全に決定します。トークンは所有者アカウントの可視範囲を継承し、fortyTimer はすべての API レスポンスで特別カテゴリのデータ（傷病休暇申請の自由記述）を抑制します。

• データの保持期間は、接続先の fortyTimer インストール（その運営者がデータ管理者）によって管理されます。拡張機能は何も保持しません。

• 連絡先：info@fortytwo-consulting.de / https://fortytimer.de

セキュリティ

• トークンは各ユーザーのローカルクライアント設定に属するものです。決してコミットしたり共有したりしないでください。

• トークンの失効：fortyTimer → プロフィール → セキュリティ → API トークン → 削除（即時有効）。トークンの作成と削除は、fortyTimer の監査ログにセキュリティイベントとして記録されます。

• API レート制限：毎分 60 リクエスト。

ライセンス

MIT – LICENSE を参照してください。