@konsulto/mcp

Servidor MCP que permite a Claude Code (y a cualquier otro cliente compatible con MCP) gestionar la plataforma de auditoría de ciberseguridad Konsulto desde la CLI:

• Leer — listar auditorías en las que participas, buscar hallazgos/plantillas, leer un hallazgo (incluyendo el cuerpo renderizado como markdown para que el LLM pueda razonar sobre el texto), leer una sección específica.

• Escribir — redactar hallazgos a partir de campos estructurados (el backend construye el cuerpo Tiptap), actualizar escalares, añadir/reemplazar texto de secciones usando markdown, cambiar el estado de forma masiva con una vista previa de prueba (dry-run).

• Evidencia — subir archivos/contenido en línea/base64, insertar evidencia en el cuerpo de un hallazgo en la sección correcta.

• Alcance y activos — listar el alcance, listar/crear activos, buscar o crear un activo y vincularlo a un hallazgo.

Actúa como el usuario, con sus permisos de rol, protegido por un token MCP por usuario. Tres controles de tiempo de ejecución: bandera de función del inquilino habilitada, el rol tiene mcp:use, token no revocado/expirado.

Inicio rápido

1. Genera un token MCP en la aplicación web de Konsulto

Inicia sesión → Perfil → Tokens MCP → Nuevo token MCP. Copia el valor kon_mcp_… una vez; no se volverá a mostrar. (El administrador del inquilino debe haber habilitado la integración MCP primero en Cuenta → Acceso a API.)

2. Guarda el token localmente

mkdir -p ~/.konsulto && chmod 700 ~/.konsulto
cat > ~/.konsulto/credentials <<EOF
token: kon_mcp_REPLACE_WITH_YOUR_TOKEN
endpoint: https://api.konsulto.io
EOF
chmod 600 ~/.konsulto/credentials

O utiliza la variable de entorno KONSULTO_TOKEN si prefieres no escribir un archivo.

3. Informa a Claude Code sobre el servidor

Añádelo a ~/.claude/mcp.json:

{
  "mcpServers": {
    "konsulto": {
      "command": "npx",
      "args": ["-y", "@konsulto/mcp"]
    }
  }
}

Verifica la conexión:

npx @konsulto/mcp doctor

Deberías ver todas las marcas de verificación en verde.

Related MCP server: claude-sessions-mcp

Anclaje de carpetas (opcional, recomendado)

Ejecuta npx @konsulto/mcp init dentro de una carpeta de compromiso para anclarla a una auditoría:

~/audits/acme-q2-pentest/
├── .konsulto.yml          ← pins this folder to one audit
├── recon/
└── notes.md

Cuando Claude Code se inicia en esa carpeta (o en cualquier subcarpeta), el MCP ancla automáticamente la auditoría. Ya no tendrás que pensar en IDs de auditoría.

El archivo se puede compartir con tu equipo; contiene un ID de auditoría y un endpoint opcional, sin secretos.

Patrones de flujo de trabajo

Herramientas

Cada herramienta tiene el prefijo konsulto_* para que no colisione con otros MCPs (Burp, nmap, prowler, etc.) que puedas tener configurados.

Identidad y contexto

Plantillas

Hallazgos — lectura

Hallazgos — escritura

Evidencia

Alcance y activos

CLI de ayuda

El paquete incluye dos binarios:

• konsulto-mcp — el servidor MCP stdio. Claude Code lo inicia. No lo ejecutas directamente.

• konsulto — asistente interactivo:

  • konsulto init — escribe .konsulto.yml para la carpeta actual

  • konsulto whoami — verifica el token, muestra identidad + permisos + auditoría activa

  • konsulto doctor — verifica el modo del archivo de credenciales, validez del token, conectividad de red, función MCP habilitada, si el rol tiene mcp:use

Solución de problemas

konsulto doctor cubre cada uno de estos explícitamente con una solución de una línea.

Modelo de seguridad

• Tres controles en vivo en cada solicitud API: bandera de función del inquilino habilitada, tu rol tiene mcp:use, tu token no revocado/expirado. Si cualquiera de ellos cambia, el tráfico MCP se corta inmediatamente; no se requiere revocación por token.

• Almacenamiento de tokens: ~/.konsulto/credentials (chmod 600) o variable KONSULTO_TOKEN. Nunca en ~/.claude/mcp.json.

• Correo electrónico de primera vez desde nueva IP: cuando tu token se usa desde una IP no vista anteriormente, recibes un correo electrónico para que una filtración sea detectable. El correo incluye un enlace al flujo de revocación.

• Expiración por defecto: 90 días. Máximo 365.

• Los permisos se leen en vivo: cambiar tu rol se propaga en una solicitud; no necesitas volver a emitir el token.

Múltiples compromisos en una máquina

Establece KONSULTO_PROFILE=acme para leer ~/.konsulto/credentials.acme en lugar del predeterminado. Útil cuando trabajas como contratista en el inquilino Konsulto de un cliente desde la misma computadora que usas para el inquilino de tu empresa.

Licencia

MIT — ver LICENSE.