websupport-mcp

Ein MCP-Server (TypeScript, ESM, stdio), der die Websupport REST-API v1 + v2 kapselt – DNS, FTP, Hosting, Datenbanken, Mailboxen, VPS und Rechnungen – bereitgestellt als MCP-Tools mit signierter HMAC-SHA1-Authentifizierung.

Status: in Entwicklung. Alle 50 Tools sind implementiert und der Server läuft. Was noch fehlt, ist die Verifizierung gegen ein Konto, das echte Ressourcen besitzt, das Verpacken und die Veröffentlichung. Siehe IMPLEMENTATION_PLAN.md für den Fortschritt.

Risikostufen

Tools werden in drei Stufen registriert, und die Stufe steuert die Registrierung – eine schreibgeschützte Bereitstellung sieht ein Schreib-Tool in tools/list überhaupt nicht, kostet also keinen Client-Kontext und bietet keine Möglichkeit.

Ein Tool ist destructive, wenn es Zustand zerstört, den Sie nicht ohne Weiteres neu erstellen können – nicht nur, weil es schreibt. Ein sanfter VPS-Neustart ist write; ein harter Stromzyklus ist destructive, weil er laufende Schreibvorgänge beschädigen kann. Ein Snapshot erstellen ist write; einen wiederherstellen ist destructive, weil alles danach verworfen wird.

Die beiden Opt-ins sind unabhängig: WEBSUPPORT_ALLOW_DESTRUCTIVE=1 allein entsperrt nicht die Schreib-Tools und umgekehrt.

Das Argument confirm: true, nicht die MCP-Elicitation, ist die Sicherheitsgrenze. Die Protokollverhandlung kann weit unter der Revision bleiben, die Elicitation unterstützt – das SDK dieses Servers endet derzeit bei 2025-11-25 – und eine Sperre, die bei einem älteren Client verschwindet, ist keine Sperre.

Related MCP server: cpanel-mcp

Installation

Noch nicht veröffentlicht. So führen Sie es aus einem lokalen Checkout aus:

npm install
npm run build

Dann richten Sie einen MCP-Client darauf aus:

Erfordert Node >= 22.

{
  "mcpServers": {
    "websupport": {
      "command": "node",
      "args": ["/absolute/path/to/websupport-mcp/dist/index.js"],
      "env": {
        "WEBSUPPORT_API_KEY": "…",
        "WEBSUPPORT_API_SECRET": "…"
      }
    }
  }
}

Anmeldedaten

Generieren Sie ein Standard-API-Zugriffspaar in WebAdmin (Sicherheit → API-Schlüssel). Ein Nur-DynDNS-Paar authentifiziert sich gegen /nic/update und sonst nichts.

Kopieren Sie .env.example für die lokale Entwicklung. .env ist in .gitignore ausgenommen.

Märkte

Websupport ist eine regionale Marke von team.blue/Loopia, daher wählt der API-Host den Markt. Dieselbe Anwendung bedient jeden Host – GET /v2/docs/openapi.json ist über alle hinweg byte-identisch – daher ist der Wechsel des Marktes eine Konfiguration, niemals eine Codeänderung.

Ein nicht erkannter Host warnt auf stderr und wird trotzdem verwendet, sodass ein neu hinzugefügter Markt funktioniert, ohne auf eine Veröffentlichung zu warten.

Dokumentation

Umfang

Endpunkte für Bestellerstellung und Rechnungs-/Bestellzahlung sind bewusst nicht im Umfang enthalten und werden durch Tests als abwesend bestätigt. v1-DNS-Record-CRUD und v1-FTP-Konto-CRUD sind upstream veraltet und werden nicht bereitgestellt – die v2-Tools decken beide ab.

Entwicklung

Netzwerk-Suiten sind bewusst getrennt: Ein Websupport-Ausfall darf den Build nicht zum Scheitern bringen.

npm test              # offline suite
npm run test:network  # live, unauthenticated probes (market hosts + OpenAPI drift)
npm run typecheck
npm run lint
npm run build

Toolchain

Node >= 22, zum Ausführen oder Bauen. Node 20 hat am 2026-04-30 das Ende seiner Lebensdauer erreicht und wird nicht unterstützt. CI deckt die beiden aktiven LTS-Linien 22 und 24 ab und baut und führt auf jeder Smoke-Tests für das Bundle durch.

Zum Bauen wird außerdem npm >= 11 benötigt: npm 10 kann den Abhängigkeitsbaum des Bundlers nicht auflösen und schlägt mit einer wenig hilfreichen Meldung Cannot read properties of null (reading 'edgesOut') fehl. Wenn Sie darauf stoßen, aktualisieren Sie npm, anstatt das Repository zu debuggen.

Sicherheit

Die Anmeldedaten, die dieser Server speichert, gewähren volle Kontrolle über ein Websupport-Konto – es gibt kein schreibgeschütztes API-Paar. SECURITY.md behandelt, wie sie gehandhabt werden, welche Tools sensible Daten zurückgeben und wie man eine Schwachstelle privat meldet.

Mitwirken

Siehe CONTRIBUTING.md. Beachten Sie zwei Grenzen, die durch Tests statt durch Überprüfung durchgesetzt werden: keine Bestell- oder Zahlungsendpunkte, und jedes destruktive Tool muss confirm: true deklarieren.

Lizenz

MIT – siehe LICENSE.