tasqr-mcp (Python)

Servidor MCP de Tasqr: gestión del estado de tareas para agentes de IA.

Se ejecuta como un proceso local stdio que lee tu clave de API de ~/.config/tasqr/credentials y envía las llamadas de herramientas al servidor MCP de Tasqr Lambda. La configuración de tu cliente MCP no contiene secretos: la clave de API solo vive en el archivo de credenciales (escrito con permisos 0600 en Mac/Linux; en Windows depende de los ACL de tu directorio de perfil).

Instalación

Requiere Python 3.11 o superior.

uvx tasqr-mcp        # run once without installing
# or
pip install tasqr-mcp

Related MCP server: keyvault

Configuración del cliente MCP

{
  "mcpServers": {
    "tasqr": {
      "command": "uvx",
      "args": ["tasqr-mcp"]
    }
  }
}

Credenciales

Primer uso: no se necesita configuración. Ejecuta el proxy una vez en una terminal:

uvx tasqr-mcp

Sin una clave de API en el disco, inicia el registro mediante el flujo de dispositivo de GitHub: abre tu navegador en GitHub, copia el código de dispositivo al portapapeles para que lo pegues y (si tu cuenta tiene más de un espacio de trabajo) pregunta cuál usar. Luego escribe el archivo de credenciales por ti. Solo necesitas los pasos manuales de abajo si prefieres crearlo tú mismo.

Tu cliente MCP nunca ve un secreto: simplemente lanza uvx tasqr-mcp, y la clave se lee de:

~/.config/tasqr/credentials   (Mac/Linux)
%APPDATA%\tasqr\credentials   (Windows)

[default]
api_key = tasqr_abc123...

En Mac/Linux el archivo se escribe con permisos 0600 (solo lectura/escritura del propietario); en Windows hereda los ACL de tu directorio de perfil. Regístrate en tasqr.ai si prefieres obtener una clave desde la web.

Como el registro es interactivo, solo se ejecuta cuando stdin es una TTY. Un cliente MCP que lance el proxy sin cabeza y sin clave saldrá y te dirá que ejecutes uvx tasqr-mcp en una terminal primero.

Registro (logging)

El registro está desactivado por defecto: no se escribe nada en el disco a menos que lo actives. Cuando está habilitado, el proxy mantiene un registro de eventos en formato JSON-lines de solo añadido que guarda solo metadatos: nombres de herramientas y nombres de campos, nunca contenido de tareas, nunca material de claves.

Actívalo en el archivo de credenciales:

[default]
api_key   = tasqr_abc123...
log_level = info                        # off (default) | info | debug
log_path  = ~/.config/tasqr/tasqr-mcp.log

No hay rotación ni límite de tamaño, así que debug es para solucionar problemas, no para dejarlo activo.

Variables de entorno

Las variables de entorno tienen prioridad sobre el archivo de credenciales, que a su vez tiene prioridad sobre los valores predeterminados.

Cifrado del lado del cliente (BYOK)

Cifra los campos de las tareas (título, descripción, metadatos, salida, nota) localmente antes de que lleguen a los servidores de Tasqr. Requiere una clave de AWS KMS que tú controles.

Añade kms_key_id a tu archivo de credenciales para activarlo: no hay nada más que instalar:

[default]
api_key      = tasqr_abc123...
kms_key_id   = arn:aws:kms:us-east-1:123456789012:key/your-key-id
aws_profile  = default

Tu organización de Tasqr debe estar inscrita en BYOK del lado del cliente. Al iniciar, el proxy pregunta al servidor qué modo usa tu organización. Si la organización está gestionada por el servidor, se niega a iniciar en lugar de cifrar; de lo contrario, el servidor cifraría tu texto cifrado una segunda vez, dejando los datos ilegibles para el panel de control, la API REST y cualquier otro agente, e irrecuperables si perdieras tu clave de KMS. El error te indica qué perfil corregir.

Una vez inscrito, el proxy obtiene o genera una clave de cifrado de datos (DEK), la envuelve con KMS y almacena la clave envuelta en la API de Tasqr. En ejecuciones posteriores, desenvuelve la DEK almacenada en caché con una sola llamada a KMS. Todo el cifrado AES-256-GCM ocurre en memoria: la DEK en texto plano nunca sale del proceso.

Además, cada texto cifrado está vinculado a su contexto: los datos asociados de GCM atan cada valor cifrado a tu organización, su tarea y el campo para el que se escribió. Un blob movido a cualquier otra ranura (un campo, tarea u organización diferente) falla al descifrarse por completo en lugar de descifrarse en el lugar equivocado. Para que esto sea posible, el proxy genera el id de cada nueva tarea por sí mismo y lo envía con la llamada de creación.

Consulta la guía de cifrado del lado del cliente para ver el tutorial completo de configuración.

Desarrollo local

pip install -e ".[dev]"
pytest
tasqr-mcp --version