tasqr-mcp (Python)

Tasqr-MCP-Server – Aufgabenstatusverwaltung für KI-Agenten.

Läuft als lokaler stdio-Prozess, der Ihren API-Schlüssel aus ~/.config/tasqr/credentials liest und Tool-Aufrufe an den Tasqr-Lambda-MCP-Server weiterleitet. Ihre MCP-Client-Konfiguration enthält keine Geheimnisse – der API-Schlüssel befindet sich nur in der Credentials-Datei (auf Mac/Linux mit 0600 geschrieben; unter Windows basiert sie auf den ACLs Ihres Profilverzeichnisses).

Installation

Erfordert Python 3.11 oder neuer.

uvx tasqr-mcp        # run once without installing
# or
pip install tasqr-mcp

Related MCP server: keyvault

MCP-Client-Konfiguration

{
  "mcpServers": {
    "tasqr": {
      "command": "uvx",
      "args": ["tasqr-mcp"]
    }
  }
}

Anmeldedaten

Erster Start – keine Einrichtung erforderlich. Führen Sie den Proxy einmal in einem Terminal aus:

uvx tasqr-mcp

Ohne API-Schlüssel auf der Festplatte startet er den GitHub-Device-Flow-Signup: Er öffnet Ihren Browser auf GitHub, kopiert den Gerätecode in Ihre Zwischenablage zum Einfügen und fragt (falls Ihr Konto mehr als einen Arbeitsbereich hat), welchen Sie verwenden möchten. Anschließend schreibt er die Credentials-Datei für Sie. Die manuellen Schritte unten sind nur erforderlich, wenn Sie die Datei lieber selbst erstellen möchten.

Ihr MCP-Client sieht niemals ein Geheimnis – er startet einfach uvx tasqr-mcp, und der Schlüssel wird gelesen aus:

~/.config/tasqr/credentials   (Mac/Linux)
%APPDATA%\tasqr\credentials   (Windows)

[default]
api_key = tasqr_abc123...

Auf Mac/Linux wird die Datei mit 0600 geschrieben (nur Besitzer lesen/schreiben); unter Windows erbt sie die ACLs Ihres Profilverzeichnisses. Registrieren Sie sich unter tasqr.ai, wenn Sie den Schlüssel lieber über das Web abrufen möchten.

Da der Signup interaktiv ist, läuft er nur, wenn stdin ein TTY ist. Ein MCP-Client, der den Proxy headless ohne Schlüssel startet, beendet sich und fordert Sie auf, uvx tasqr-mcp zuerst in einem Terminal auszuführen.

Protokollierung

Die Protokollierung ist standardmäßig deaktiviert – es wird nichts auf die Festplatte geschrieben, es sei denn, Sie aktivieren sie. Wenn aktiviert, führt der Proxy ein append-only JSON-Lines-Ereignisprotokoll, das nur Metadaten aufzeichnet: Toolnamen und Feldnamen, niemals Aufgabeninhalte, niemals Schlüsselmaterial.

Aktivieren Sie es in der Credentials-Datei:

[default]
api_key   = tasqr_abc123...
log_level = info                        # off (default) | info | debug
log_path  = ~/.config/tasqr/tasqr-mcp.log

Es gibt keine Rotation oder Größenbegrenzung, daher ist debug für die Fehlersuche gedacht, nicht zum Dauerbetrieb.

Umgebungsvariablen

Umgebungsvariablen haben Vorrang vor der Credentials-Datei, die wiederum Vorrang vor den Standardwerten hat.

Clientseitige Verschlüsselung (BYOK)

Verschlüsseln Sie Aufgabenfelder (Titel, Beschreibung, Metadaten, Ausgabe, Notiz) lokal, bevor sie die Tasqr-Server erreichen. Erfordert einen AWS-KMS-Schlüssel, den Sie kontrollieren.

Fügen Sie kms_key_id zu Ihrer Credentials-Datei hinzu, um es zu aktivieren – sonst ist nichts weiter zu installieren:

[default]
api_key      = tasqr_abc123...
kms_key_id   = arn:aws:kms:us-east-1:123456789012:key/your-key-id
aws_profile  = default

Ihre Tasqr-Organisation muss für clientseitiges BYOK registriert sein. Beim Start fragt der Proxy den Server, welchen Modus Ihre Organisation verwendet. Wenn die Organisation serververwaltet ist, weigert er sich zu starten, anstatt zu verschlüsseln – der Server würde sonst Ihren Chiffretext ein zweites Mal verschlüsseln, sodass die Daten für das Dashboard, die REST-API und jeden anderen Agenten unlesbar wären und nicht wiederhergestellt werden könnten, falls Sie Ihren KMS-Schlüssel verlieren. Die Fehlermeldung teilt Ihnen mit, welches Profil Sie korrigieren müssen.

Nach der Registrierung ruft der Proxy einen Datenverschlüsselungsschlüssel (DEK) ab oder generiert ihn, umhüllt ihn mit KMS und speichert den umhüllten Schlüssel in der Tasqr-API. Spätere Ausführungen entpacken den zwischengespeicherten DEK mit einem einzigen KMS-Aufruf. Die gesamte AES-256-GCM-Verschlüsselung erfolgt im Speicher – der Klartext-DEK verlässt den Prozess nie.

Jeder Chiffretext ist zusätzlich an seinen Kontext gebunden: Die GCM-Assoziierten Daten binden jeden verschlüsselten Wert an Ihre Organisation, ihre Aufgabe und das Feld, für das er geschrieben wurde. Ein Blob, der in einen anderen Slot verschoben wird – ein anderes Feld, eine andere Aufgabe oder Organisation – schlägt bei der Entschlüsselung sofort fehl, anstatt an der falschen Stelle entschlüsselt zu werden. Um dies zu ermöglichen, erzeugt der Proxy die ID jeder neuen Aufgabe selbst und sendet sie mit dem Erstellungsaufruf.

Siehe die Anleitung zur clientseitigen Verschlüsselung für die vollständige Einrichtungsanleitung.

Lokale Entwicklung

pip install -e ".[dev]"
pytest
tasqr-mcp --version