tasqr-mcp (Python)

Tasqr MCP сервер — управление состоянием задач для ИИ-агентов.

Работает как локальный процесс stdio, который читает ваш API-ключ из ~/.config/tasqr/credentials и проксирует вызовы инструментов на Tasqr Lambda MCP сервер. Конфигурация вашего MCP-клиента не содержит секретов — API-ключ хранится только в файле учетных данных (записывается с правами 0600 на Mac/Linux; на Windows он полагается на ACL вашего профильного каталога).

Установка

Требуется Python 3.11 или новее.

uvx tasqr-mcp        # run once without installing
# or
pip install tasqr-mcp

Related MCP server: keyvault

Конфигурация MCP-клиента

{
  "mcpServers": {
    "tasqr": {
      "command": "uvx",
      "args": ["tasqr-mcp"]
    }
  }
}

Учетные данные

Первый запуск — настройка не требуется. Запустите прокси один раз в терминале:

uvx tasqr-mcp

Если на диске нет API-ключа, он запускает регистрацию через GitHub device-flow: открывает ваш браузер на GitHub, копирует код устройства в буфер обмена для вставки и (если в вашей учетной записи более одного рабочего пространства) спрашивает, какое использовать. Затем он записывает файл учетных данных за вас. Ручные шаги ниже нужны только в том случае, если вы предпочитаете создать его самостоятельно.

Ваш MCP-клиент никогда не видит секрет — он просто запускает uvx tasqr-mcp, и ключ считывается из:

~/.config/tasqr/credentials   (Mac/Linux)
%APPDATA%\tasqr\credentials   (Windows)

[default]
api_key = tasqr_abc123...

На Mac/Linux файл записывается с правами 0600 (только чтение/запись владельца); на Windows он наследует ACL вашего профильного каталога. Зарегистрируйтесь на tasqr.ai, если предпочитаете получить ключ из веб-интерфейса.

Поскольку регистрация интерактивна, она запускается только когда stdin является TTY. MCP-клиент, запускающий прокси без ключа в фоновом режиме, завершится и сообщит вам, что сначала нужно выполнить uvx tasqr-mcp в терминале.

Логирование

Логирование по умолчанию выключено — ничего не записывается на диск, пока вы его не включите. Когда включено, прокси ведет журнал событий в формате JSON-lines, в который только добавляются записи, и который содержит только метаданные: имена инструментов и имена полей, никогда содержимое задач, никогда ключевой материал.

Включите его в файле учетных данных:

[default]
api_key   = tasqr_abc123...
log_level = info                        # off (default) | info | debug
log_path  = ~/.config/tasqr/tasqr-mcp.log

Нет ротации или ограничения размера, поэтому debug предназначен для устранения неполадок, а не для постоянного включения.

Переменные окружения

Переменные окружения имеют приоритет над файлом учетных данных, который, в свою очередь, имеет приоритет над значениями по умолчанию.

Шифрование на стороне клиента (BYOK)

Шифруйте поля задач (название, описание, метаданные, вывод, примечание) локально, прежде чем они попадут на серверы Tasqr. Требуется ключ AWS KMS, которым вы управляете.

Добавьте kms_key_id в файл учетных данных, чтобы включить его — больше ничего устанавливать не нужно:

[default]
api_key      = tasqr_abc123...
kms_key_id   = arn:aws:kms:us-east-1:123456789012:key/your-key-id
aws_profile  = default

Ваша организация Tasqr должна быть подключена к клиентскому BYOK. При запуске прокси спрашивает у сервера, какой режим использует ваша организация. Если организация управляется сервером, прокси отказывается запускаться, а не шифрует — в противном случае сервер зашифровал бы ваш шифротекст второй раз, сделав данные нечитаемыми для панели управления, REST API и любого другого агента, и невосстановимыми, если вы потеряете свой ключ KMS. Ошибка сообщает, какой профиль нужно исправить.

После подключения прокси получает или генерирует ключ шифрования данных (DEK), оборачивает его с помощью KMS и сохраняет обернутый ключ в API Tasqr. При последующих запусках кэшированный DEK разворачивается одним вызовом KMS. Все шифрование AES-256-GCM происходит в памяти — открытый DEK никогда не покидает процесс.

Каждый шифротекст дополнительно привязан к своему контексту: ассоциированные данные GCM связывают каждое зашифрованное значение с вашей организацией, ее задачей и полем, для которого оно было записано. Блоб, перемещенный в любое другое место — другое поле, задачу или организацию — полностью не проходит дешифрование, вместо того чтобы расшифроваться в неправильном месте. Чтобы это стало возможным, прокси сам создает идентификатор каждой новой задачи и отправляет его вместе с вызовом создания.

Полное руководство по настройке см. в руководстве по клиентскому шифрованию.

Локальная разработка

pip install -e ".[dev]"
pytest
tasqr-mcp --version