gtasks-mcp

Google Tasks 用の Model Context Protocol サーバーです。Claude（または MCP 互換クライアント）からタスクの一覧表示、検索、作成、更新、削除、クリアができます。

zcaceres/gtasks-mcp（MIT）をベースに、Bun ではなく素の Node/TypeScript で再構築し、認証情報をリポジトリから完全に追い出し（下記の セキュリティ を参照）、完全なテストスイートを追加しました。

セットアップ

1. Google Cloud OAuth クライアントを作成する

1. Google Cloud Console にアクセスし、プロジェクトを作成（または既存のものを使用）します。

2. Google Tasks API を有効にします（API とサービス → ライブラリ）。

3. OAuth 同意画面 を構成します（個人利用では「外部」で問題ありません。テストユーザーは自分だけになります）。

4. 認証情報 → OAuth クライアント ID → アプリケーションの種類 デスクトップアプリ を作成します。

5. JSON ファイルをダウンロードします。

2. OAuth クライアントファイルをインストールする

mkdir -p ~/.gtasks-mcp
mv ~/Downloads/client_secret_*.json ~/.gtasks-mcp/oauth-keys.json

Windows の場合: %USERPROFILE%\.gtasks-mcp\oauth-keys.json。

3. ビルドと認証

npm install
npm run build
npm run auth

これにより、Google の同意フロー用のブラウザウィンドウが開きます。成功すると、~/.gtasks-mcp/ 内の oauth-keys.json の隣に credentials.json（リフレッシュトークン/アクセストークン）が書き込まれます。

4. Claude Code にサーバーを登録する

claude mcp add gtasks -- node /absolute/path/to/gtasks-mcp/dist/index.js

Related MCP server: google-task-mcp

公開ツール

セキュリティ

• 認証情報はこのリポジトリ内に置かれません。 oauth-keys.json（Google Cloud OAuth クライアント）と credentials.json（npm run auth で生成される個人用アクセストークン/リフレッシュトークン）は、どちらも ~/.gtasks-mcp/ に保存されます。これは OS のユーザー設定領域であり、プロジェクトディレクトリではありません。リポジトリ内に gitignore されたファイルは存在せず、誤って git add -f することもありません。シークレットはリポジトリの作業ツリーからは完全に到達できません。正確なパスは src/config.ts を参照してください。

• credentials.json は Google Tasks へのパスワードと同等です。 このファイルを手に入れた人は誰でもあなたのタスクを読み書きできます。それに応じて扱ってください（メールで送らない、チャットに貼らない、共有ストレージにバックアップしない）。

• 依存関係: @google-cloud/local-auth、googleapis、@modelcontextprotocol/sdk のみ — すべて公式（Google / Anthropic）です。テレメトリなし、サードパーティへのネットワーク呼び出しなし。すべてのリクエストは Google 自身の API に送信されます。

• 既知の許容された推移的脆弱性（npm audit、2026-08-25 確認）: esbuild/vite（開発専用ツール、ランタイムには含まれない）と uuid（gaxios/googleapis 経由、このサーバーの実際の使用では信頼できないバッファ入力パスはない）に中程度の深刻度の問題があります。どちらも上流で破壊的なメジャーバージョンアップが必要です。強制的に未テストのアップグレードを行うのではなく、次の定期的な依存関係監査で再確認してください。

開発

npm test        # vitest
npm run lint     # eslint (narrow scope — see eslint.config.js)
npm run typecheck
npm run build