@sumosign/mcp

SumoSignの署名APIをstdio経由でAIエージェント（Claude、ChatGPT、Copilot、およびMCP互換クライアント）に公開するMCPサーバーです。

APIキーは署名者ではなくエージェントを認証します。このキーが署名を完了することは決してありません。署名は常に、人間の受信者がメールで受け取る一回限りのリンクを通じて行われ、その際に同意が取得され、追記専用の監査証跡が記録されます。

インストールと実行

インストール手順は不要です。npx で直接実行できます：

SUMOSIGN_API_KEY=ss_live_... npx @sumosign/mcp

設定

クライアント設定例

{
  "mcpServers": {
    "sumosign": {
      "command": "npx",
      "args": ["-y", "@sumosign/mcp"],
      "env": { "SUMOSIGN_API_KEY": "ss_live_..." }
    }
  }
}

Related MCP server: SignaTrust MCP Server

ツール

このサーバーは16個のツールを登録します：

ドキュメント

• upload_document — ローカルのPDFをアップロードし、エンベロープの作成に使用するドキュメントIDを返します。

• analyze_document — アップロード済みPDFを分析して、フィールド配置の提案を行います（テキスト抽出のみ、OCRは行いません）。

テンプレート

• create_template — {{signature_1}} のようなテキストアンカーを使用して、PDFから再利用可能なテンプレートを作成します。

• list_templates — 組織の再利用可能なテンプレートの一覧を表示します。

• seed_starter_templates — サンプルテンプレートをシードします（テスト用エンベロープ、シンプルなNDA、1ページの契約書）。

エンベロープ — 作成

• create_envelope — アップロード済みドキュメント（インラインフィールド）またはテンプレートから下書きエンベロープを作成します。

• create_envelope_from_template — テンプレートから下書きエンベロープを作成します。フィールドは継承されます。

エンベロープ — 検証と送信

• preview_envelope — 配置プレビュー（各フィールドが破線のラベル付きボックスとして描画される）をローカルパスにダウンロードします。メールは送信されず、エンベロープも消費されません。送信前に人間と配置を確認するために使用します。

• send_envelope — 下書きエンベロープを送信します。署名できるのは人間だけであり、このツールは署名を完了できません。

エンベロープ — 追跡

• send_reminder — 未署名の受信者に署名メールを再送信します。24時間のクールダウンがあり、送信量とスパムの上限が適用されます。署名を完了することはできません。

• get_envelope — 受信者ごとの進捗を含むエンベロープのステータスを取得します。

• list_envelopes — 組織の最近のエンベロープの一覧を表示します。

• void_envelope — 完了前にエンベロープを無効化します。未使用の署名リンクを失効させます（監査ログに記録されます）。

• get_audit_trail — 実施者情報付きの追記専用監査証跡を取得します。

ダウンロード

• download_signed_pdf — 完了したエンベロープのフラット化された署名済みPDFをローカルパスにダウンロードします。

• download_certificate — 完了証明書（Certificate of Completion）をローカルパスにダウンロードします。

セキュリティ

• ローカルファイルシステムへのアクセス。 upload_document は指定されたローカルPDFパスを読み取り、preview_envelope、download_signed_pdf、download_certificate は指定されたローカルパスにファイルを書き込みます。したがって、このサーバーはホストプロセスがアクセスできる任意のファイルを読み書きできます。最小権限で実行し、共有する意図のあるパスのみを指定してください。

• 信頼できないドキュメントコンテンツ / プロンプトインジェクション。 analyze_document はPDFからテキストを抽出してエージェントに返します。ドキュメントの内容は信頼できない入力であり、プロンプトインジェクションの試みが含まれる可能性があります。抽出されたテキストは命令ではなくデータとして扱い、send_envelope を実行する前に人間をプロセスに介在させてください。

• 最小権限のAPIキー。 SumoSignポータルからエージェントごとにスコープ付きキーを発行し、そのエージェントが必要とするスコープのみを付与してください。利用可能なスコープ：documents:create、documents:read、documents:send、documents:download、templates:read、templates:write、signers:manage、webhooks:write、audit_logs:read、branding:write、voice:trigger。キーは保存時にハッシュ化され、失効させることができます。また、人間に代わって署名を完了することは決してできません。

概要

SumoSignはCipher Projectsによって開発されています。

ライセンス

MIT