@konsulto/mcp

MCP-Server, mit dem Claude Code (und jeder andere MCP-fähige Client) die Konsulto Cybersicherheits-Audit-Plattform über die CLI steuern kann:

• Lesen — Audits auflisten, an denen Sie beteiligt sind, Findings/Vorlagen durchsuchen, ein Finding lesen (einschließlich des als Markdown gerenderten Inhalts, damit die KI den Text analysieren kann), einen einzelnen Abschnitt lesen.

• Schreiben — Findings aus strukturierten Feldern erstellen (das Backend erstellt den Tiptap-Inhalt), skalare Werte aktualisieren, Abschnitte mittels Markdown anhängen/ersetzen, Statusänderungen in Massen mit einer Trockenlauf-Vorschau durchführen.

• Beweismittel — Dateien/Inline-Inhalte/Base64 hochladen, Beweismittel an der richtigen Stelle in den Inhalt eines Findings einfügen.

• Scope & Assets — Scope auflisten, Assets auflisten/erstellen, ein Asset abgleichen oder erstellen und mit einem Finding verknüpfen.

Agiert als der Benutzer mit dessen Rollenberechtigungen, abgesichert durch ein benutzerspezifisches MCP-Token. Drei Laufzeit-Sperren: Tenant-Feature-Flag aktiviert, Rolle besitzt mcp:use, Token nicht widerrufen/abgelaufen.

Schnelleinstieg

1. Ein MCP-Token in der Konsulto-Web-App erstellen

Anmelden → Profil → MCP-Tokens → Neues MCP-Token. Kopieren Sie den kon_mcp_…-Wert einmal — er wird danach nicht mehr angezeigt. (Der Tenant-Administrator muss die MCP-Integration zuvor unter Konto → API-Zugriff aktiviert haben.)

2. Das Token lokal speichern

mkdir -p ~/.konsulto && chmod 700 ~/.konsulto
cat > ~/.konsulto/credentials <<EOF
token: kon_mcp_REPLACE_WITH_YOUR_TOKEN
endpoint: https://api.konsulto.io
EOF
chmod 600 ~/.konsulto/credentials

Oder verwenden Sie die Umgebungsvariable KONSULTO_TOKEN, falls Sie keine Datei schreiben möchten.

3. Claude Code über den Server informieren

Fügen Sie dies zu ~/.claude/mcp.json hinzu:

{
  "mcpServers": {
    "konsulto": {
      "command": "npx",
      "args": ["-y", "@konsulto/mcp"]
    }
  }
}

Überprüfen Sie die Konfiguration:

npx @konsulto/mcp doctor

Sie sollten nur grüne Häkchen sehen.

Related MCP server: claude-sessions-mcp

Ordner-Pinning (optional, empfohlen)

Führen Sie npx @konsulto/mcp init in einem Engagement-Ordner aus, um ihn an ein Audit zu binden:

~/audits/acme-q2-pentest/
├── .konsulto.yml          ← pins this folder to one audit
├── recon/
└── notes.md

Wenn Claude Code in diesem Ordner (oder einem Unterordner) gestartet wird, bindet das MCP das Audit automatisch. Kein Nachdenken mehr über Audit-IDs erforderlich.

Die Datei kann mit Ihrem Team geteilt werden — sie enthält eine Audit-ID und einen optionalen Endpunkt, keine Geheimnisse.

Workflow-Muster

Tools

Jedes Tool hat das Präfix konsulto_*, damit es nicht mit anderen MCPs (Burp, nmap, prowler usw.), die Sie möglicherweise konfiguriert haben, kollidiert.

Identität & Kontext

Vorlagen

Findings — Lesen

Findings — Schreiben

Beweismittel

Scope & Assets

Hilfs-CLI

Das Paket enthält zwei Binärdateien:

• konsulto-mcp — der stdio MCP-Server. Claude Code startet diesen. Sie führen ihn nicht direkt aus.

• konsulto — interaktiver Helfer:

  • konsulto init — schreibt .konsulto.yml für den aktuellen Ordner

  • konsulto whoami — Token verifizieren, Identität + Berechtigungen + aktives Audit anzeigen

  • konsulto doctor — Plausibilitätsprüfung für Dateimodus der Zugangsdaten, Token-Gültigkeit, Netzwerkerreichbarkeit, MCP-Funktion aktiviert, Rolle besitzt mcp:use

Fehlerbehebung

konsulto doctor deckt jeden dieser Punkte explizit mit einer Ein-Zeilen-Lösung ab.

Sicherheitsmodell

• Drei Live-Sperren bei jeder API-Anfrage: Tenant-Feature-Flag aktiviert, Ihre Rolle besitzt mcp:use, Ihr Token ist nicht widerrufen/abgelaufen. Wenn eine davon wegfällt, wird der MCP-Verkehr sofort gestoppt — kein token-spezifischer Widerruf erforderlich.

• Token-Speicherung: ~/.konsulto/credentials (chmod 600) oder KONSULTO_TOKEN Umgebungsvariable. Niemals in ~/.claude/mcp.json.

• E-Mail bei erster Verwendung von neuer IP: Wenn Ihr Token von einer IP verwendet wird, von der es noch nie gesehen wurde, erhalten Sie eine E-Mail, damit ein Leak erkennbar ist. Die E-Mail enthält einen Link zum Widerrufs-Prozess.

• Standard-Ablaufzeit: 90 Tage. Maximal 365.

• Berechtigungen werden live gelesen: Änderungen an Ihrer Rolle werden innerhalb einer Anfrage wirksam — Sie müssen das Token nicht neu ausstellen.

Mehrere Engagements auf einem Rechner

Setzen Sie KONSULTO_PROFILE=acme, um ~/.konsulto/credentials.acme anstelle der Standarddatei zu lesen. Nützlich, wenn Sie auf dem Konsulto-Tenant eines Kunden arbeiten, während Sie denselben Laptop für den Tenant Ihrer eigenen Firma nutzen.

Lizenz

MIT — siehe LICENSE.