websupport-mcp

Un servidor MCP (TypeScript, ESM, stdio) que envuelve la API REST de Websupport v1 + v2 — DNS, FTP, alojamiento, bases de datos, buzones, VPS y facturas — expuesta como herramientas MCP con autenticación firmada HMAC-SHA1.

Estado: en desarrollo. Las 50 herramientas están implementadas y el servidor funciona. Lo que queda es verificación contra una cuenta que posea recursos reales, empaquetado y publicación. Consulte IMPLEMENTATION_PLAN.md para ver el progreso.

Niveles de riesgo

Las herramientas se registran en tres niveles, y el nivel controla el registro — un despliegue de solo lectura nunca ve una herramienta de escritura en tools/list, por lo que no cuesta contexto de cliente y no ofrece ninguna opción.

Una herramienta es destructive cuando destruye un estado que no se puede recrear fácilmente — no solo porque escribe. Un reinicio elegante de VPS es write; un ciclo de apagado forzado es destructive, porque puede corromper escrituras en curso. Tomar una instantánea es write; restaurarla es destructive, porque descarta todo lo posterior.

Las dos activaciones son independientes: WEBSUPPORT_ALLOW_DESTRUCTIVE=1 por sí solo no desbloquea las herramientas de escritura, y viceversa.

El argumento confirm: true, no la elicitación de MCP, es el límite de seguridad. La negociación del protocolo puede establecerse muy por debajo de la revisión que admite la elicitación — el SDK de este servidor actualmente llega como máximo a 2025-11-25 — y una barrera que desaparece con un cliente más antiguo no es una barrera.

Related MCP server: cpanel-mcp

Instalación

Aún no publicado. Para ejecutarlo desde una copia local:

npm install
npm run build

Luego apunte un cliente MCP a él:

Requiere Node >= 22.

{
  "mcpServers": {
    "websupport": {
      "command": "node",
      "args": ["/absolute/path/to/websupport-mcp/dist/index.js"],
      "env": {
        "WEBSUPPORT_API_KEY": "…",
        "WEBSUPPORT_API_SECRET": "…"
      }
    }
  }
}

Credenciales

Genere un par de acceso a la API Estándar en WebAdmin (Seguridad → Claves de API). Un par solo DynDNS autentica contra /nic/update y nada más.

Copie .env.example para el desarrollo local. .env está en gitignore.

Mercados

Websupport es una marca regional de team.blue/Loopia, por lo que el host de la API selecciona el mercado. La misma aplicación sirve a cada host — GET /v2/docs/openapi.json es idéntico byte a byte en todos ellos — por lo que cambiar de mercado es configuración, nunca un cambio de código.

Un host no reconocido advierte a stderr y se usa de todos modos, por lo que un mercado recién añadido funciona sin esperar a una versión.

Documentación

Alcance

Los endpoints de creación de pedidos y de pago de facturas/pedidos están deliberadamente fuera del alcance y se verifica su ausencia mediante pruebas. El CRUD de registros DNS v1 y el CRUD de cuentas FTP v1 están obsoletos en el proveedor y no se exponen — las herramientas v2 cubren ambos.

Desarrollo

npm test              # offline suite
npm run test:network  # live, unauthenticated probes (market hosts + OpenAPI drift)
npm run typecheck
npm run lint
npm run build

Las suites de red están separadas deliberadamente: una caída de Websupport no debe hacer fallar la compilación.

Cadena de herramientas

Node >= 22, para ejecutar o compilar. Node 20 llegó al final de su vida útil el 2026-04-30 y no está soportado. CI cubre las dos líneas LTS activas, 22 y 24, y compila y prueba el paquete en cada una.

Compilar también requiere npm >= 11: npm 10 no puede resolver el árbol de dependencias del empaquetador y falla con un mensaje poco útil Cannot read properties of null (reading 'edgesOut'). Si le ocurre, actualice npm en lugar de depurar el repositorio.

Seguridad

Las credenciales que este servidor posee otorgan control total de una cuenta de Websupport — no existe un par de API de solo lectura. SECURITY.md cubre cómo se manejan, qué herramientas devuelven datos sensibles y cómo informar de una vulnerabilidad de forma privada.

Contribuciones

Consulte CONTRIBUTING.md. Tenga en cuenta dos límites impuestos por pruebas en lugar de revisión: no hay endpoints de pedidos o pagos, y cada herramienta destructiva debe declarar confirm: true.

Licencia

MIT — consulte LICENSE.