tasqr-mcp (Node)

Tasqr-MCP-Server – Aufgabenstatusverwaltung für KI-Agenten.

Läuft als lokaler stdio-Prozess, der Ihren API-Schlüssel aus ~/.config/tasqr/credentials liest und Tool-Aufrufe an den Tasqr-Lambda-MCP-Server weiterleitet. Ihre MCP-Client-Konfiguration enthält keine Geheimnisse – der API-Schlüssel befindet sich nur in der Credentials-Datei (auf Mac/Linux mit 0600 geschrieben; unter Windows verlässt er sich auf die ACLs Ihres Profilverzeichnisses).

Installation

Erfordert Node 22 oder neuer.

npx tasqr-mcp        # run once without installing
# or
npm install -g tasqr-mcp

Related MCP server: pith

MCP-Client-Konfiguration

{
  "mcpServers": {
    "tasqr": {
      "command": "npx",
      "args": ["tasqr-mcp"]
    }
  }
}

Anmeldedaten

Erster Start – keine Einrichtung nötig. Führen Sie den Proxy einmal in einem Terminal aus:

npx tasqr-mcp

Ohne API-Schlüssel auf der Festplatte startet es den GitHub-Device-Flow-Signup: Es öffnet Ihren Browser zu GitHub, kopiert den Gerätecode in Ihre Zwischenablage zum Einfügen und fragt (falls Ihr Konto mehr als einen Arbeitsbereich hat), welchen Sie verwenden möchten. Anschließend schreibt es die Credentials-Datei für Sie. Sie benötigen die manuellen Schritte unten nur, wenn Sie sie lieber selbst erstellen möchten.

Ihr MCP-Client sieht niemals ein Geheimnis – er startet einfach npx tasqr-mcp, und der Schlüssel wird gelesen aus:

~/.config/tasqr/credentials   (Mac/Linux)
%APPDATA%\tasqr\credentials   (Windows)

[default]
api_key = tasqr_abc123...

Auf Mac/Linux wird die Datei mit 0600 geschrieben (nur Besitzer lesen/schreiben); unter Windows erbt sie die ACLs Ihres Profilverzeichnisses. Melden Sie sich unter tasqr.ai an, wenn Sie einen Schlüssel lieber über das Web erhalten möchten.

Da die Anmeldung interaktiv ist, läuft sie nur, wenn stdin ein TTY ist. Ein MCP-Client, der den Proxy headless ohne Schlüssel startet, wird beendet und teilt Ihnen mit, dass Sie zuerst npx tasqr-mcp in einem Terminal ausführen sollen.

Protokollierung

Die Protokollierung ist standardmäßig deaktiviert – es wird nichts auf die Festplatte geschrieben, es sei denn, Sie aktivieren sie. Wenn aktiviert, führt der Proxy ein append-only JSON-Lines-Ereignisprotokoll, das nur Metadaten aufzeichnet: Toolnamen und Feldnamen, niemals Aufgabeninhalte, niemals Schlüsselmaterial.

Aktivieren Sie es in der Credentials-Datei:

[default]
api_key   = tasqr_abc123...
log_level = info                        # off (default) | info | debug
log_path  = ~/.config/tasqr/tasqr-mcp.log

Es gibt keine Rotation oder Größenbegrenzung, daher ist debug für die Fehlersuche gedacht, nicht zum Dauerbetrieb.

Umgebungsvariablen

Umgebungsvariablen gewinnen über der Credentials-Datei, die über den Standardeinstellungen gewinnt.

Clientseitige Verschlüsselung (BYOK)

Verschlüsseln Sie Aufgabenfelder (Titel, Beschreibung, Metadaten, Ausgabe, Notiz) lokal, bevor sie die Tasqr-Server erreichen. Erfordert einen AWS-KMS-Schlüssel, den Sie kontrollieren.

Das AWS SDK ist bereits enthalten. @aws-sdk/client-kms und @aws-sdk/credential-providers werden als optionale Abhängigkeiten mitgeliefert, die npm standardmäßig installiert – ein normales npx tasqr-mcp oder npm install -g tasqr-mcp hat alles, was BYOK benötigt. Nur eine Installation mit --omit=optional enthält sie nicht; installieren Sie ohne dieses Flag neu, um BYOK zu verwenden.

Fügen Sie Ihrer Credentials-Datei hinzu:

[default]
api_key      = tasqr_abc123...
kms_key_id   = arn:aws:kms:us-east-1:123456789012:key/your-key-id
aws_profile  = default

Ihre Tasqr-Organisation muss für clientseitiges BYOK registriert sein. Beim Start fragt der Proxy den Server, welchen Modus Ihre Organisation verwendet. Wenn die Organisation serververwaltet ist, weigert er sich zu starten, anstatt zu verschlüsseln – der Server würde sonst Ihren Chiffretext ein zweites Mal verschlüsseln, sodass die Daten für das Dashboard, die REST-API und jeden anderen Agenten unlesbar wären und nicht wiederherstellbar, wenn Sie Ihren KMS-Schlüssel verlieren. Die Fehlermeldung teilt Ihnen mit, welches Profil Sie beheben müssen.

Sobald registriert, ruft der Proxy einen Datenverschlüsselungsschlüssel (DEK) ab oder generiert ihn, umhüllt ihn mit KMS und speichert den umhüllten Schlüssel in der Tasqr-API. Spätere Ausführungen entpacken den zwischengespeicherten DEK mit einem einzigen KMS-Aufruf. Die gesamte AES-256-GCM-Verschlüsselung erfolgt im Speicher – der Klartext-DEK verlässt den Prozess nie.

Jeder Chiffretext ist zusätzlich an seinen Kontext gebunden: Die GCM-Assoziierten Daten binden jeden verschlüsselten Wert an Ihre Organisation, ihre Aufgabe und das Feld, für das er geschrieben wurde. Ein Blob, der in einen anderen Slot verschoben wird – ein anderes Feld, eine andere Aufgabe oder Organisation – schlägt bei der Entschlüsselung sofort fehl, anstatt an der falschen Stelle zu entschlüsseln. Um dies zu ermöglichen, erzeugt der Proxy die ID jeder neuen Aufgabe selbst und sendet sie mit dem Erstellungsaufruf.

Siehe den Leitfaden zur clientseitigen Verschlüsselung für die vollständige Einrichtungsanleitung.

Lokale Entwicklung

npm install
npm test
node bin/tasqr-mcp.js --version