tasqr-mcp (Node)

Servidor MCP de Tasqr: gestión del estado de tareas para agentes de IA.

Se ejecuta como un proceso local stdio que lee tu clave de API desde ~/.config/tasqr/credentials y envía las llamadas de herramientas al servidor MCP Lambda de Tasqr. La configuración de tu cliente MCP no contiene secretos: la clave de API vive únicamente en el archivo de credenciales (escrito con permisos 0600 en Mac/Linux; en Windows depende de los ACL del directorio de tu perfil).

Instalación

Requiere Node 22 o superior.

npx tasqr-mcp        # run once without installing
# or
npm install -g tasqr-mcp

Related MCP server: pith

Configuración del cliente MCP

{
  "mcpServers": {
    "tasqr": {
      "command": "npx",
      "args": ["tasqr-mcp"]
    }
  }
}

Credenciales

Primera ejecución: no se necesita configuración. Ejecuta el proxy una vez en una terminal:

npx tasqr-mcp

Sin una clave de API en el disco, inicia el flujo de registro de dispositivo de GitHub: abre tu navegador en GitHub, copia el código de dispositivo a tu portapapeles para que lo pegues y (si tu cuenta tiene más de un espacio de trabajo) pregunta cuál usar. Luego escribe el archivo de credenciales por ti. Solo necesitas los pasos manuales de abajo si prefieres crearlo tú mismo.

Tu cliente MCP nunca ve un secreto: simplemente lanza npx tasqr-mcp, y la clave se lee desde:

~/.config/tasqr/credentials   (Mac/Linux)
%APPDATA%\tasqr\credentials   (Windows)

[default]
api_key = tasqr_abc123...

En Mac/Linux el archivo se escribe con permisos 0600 (solo lectura/escritura para el propietario); en Windows hereda los ACL del directorio de tu perfil. Regístrate en tasqr.ai si prefieres obtener una clave desde la web.

Como el registro es interactivo, solo se ejecuta cuando stdin es una TTY. Un cliente MCP que lance el proxy sin cabeza y sin clave saldrá y te dirá que ejecutes npx tasqr-mcp en una terminal primero.

Registro de eventos

El registro está desactivado por defecto: no se escribe nada en el disco a menos que lo actives. Cuando está habilitado, el proxy mantiene un registro de eventos en líneas JSON de solo añadido que registra únicamente metadatos: nombres de herramientas y nombres de campos, nunca contenido de tareas, nunca material de claves.

Actívalo en el archivo de credenciales:

[default]
api_key   = tasqr_abc123...
log_level = info                        # off (default) | info | debug
log_path  = ~/.config/tasqr/tasqr-mcp.log

No hay rotación ni límite de tamaño, así que debug es para solucionar problemas, no para dejarlo activo.

Variables de entorno

Las variables de entorno tienen prioridad sobre el archivo de credenciales, que a su vez tiene prioridad sobre los valores predeterminados.

Cifrado del lado del cliente (BYOK)

Cifra los campos de las tareas (título, descripción, metadatos, salida, nota) localmente antes de que lleguen a los servidores de Tasqr. Requiere una clave de AWS KMS que tú controles.

El SDK de AWS ya está incluido. @aws-sdk/client-kms y @aws-sdk/credential-providers se incluyen como dependencias opcionales, que npm instala por defecto: un npx tasqr-mcp normal o npm install -g tasqr-mcp tiene todo lo que BYOK necesita. Solo una instalación hecha con --omit=optional carece de ellos; reinstala sin esa bandera para usar BYOK.

Añade a tu archivo de credenciales:

[default]
api_key      = tasqr_abc123...
kms_key_id   = arn:aws:kms:us-east-1:123456789012:key/your-key-id
aws_profile  = default

Tu organización de Tasqr debe estar inscrita en BYOK del lado del cliente. Al iniciar, el proxy pregunta al servidor qué modo usa tu organización. Si la organización está gestionada por el servidor, se niega a iniciar en lugar de cifrar; de lo contrario, el servidor cifraría tu texto cifrado una segunda vez, dejando los datos ilegibles para el panel, la API REST y cualquier otro agente, e irrecuperables si perdieras tu clave KMS. El error te indica qué perfil corregir.

Una vez inscrito, el proxy obtiene o genera una clave de cifrado de datos (DEK), la envuelve con KMS y almacena la clave envuelta en la API de Tasqr. En ejecuciones posteriores, desenvuelve la DEK en caché con una sola llamada a KMS. Todo el cifrado AES-256-GCM ocurre en memoria: la DEK en texto plano nunca sale del proceso.

Cada texto cifrado está además vinculado a su contexto: los datos asociados de GCM atan cada valor cifrado a tu organización, su tarea y el campo para el que fue escrito. Un blob movido a cualquier otra ranura (un campo, tarea u organización diferente) falla el descifrado por completo en lugar de descifrarse en el lugar equivocado. Para hacer esto posible, el proxy genera el id de cada nueva tarea por sí mismo y lo envía con la llamada de creación.

Consulta la guía de cifrado del lado del cliente para ver el tutorial completo de configuración.

Desarrollo local

npm install
npm test
node bin/tasqr-mcp.js --version