Inntektsportalen MCP

En MCP-server som gir en AI-klient (Claude, ChatGPT o.l.) scope-styrt tilgang til din egen data i Inntektsportalen.

Autentisering skjer via OAuth 2.0 (PKCE): du logger inn (Vipps/e-post) og godkjenner hvilke seksjoner appen får. Du kan når som helst trekke tilbake tilgangen i Inntektsportalen under Profil → Tilkoblinger.

Sikkerheten håndheves av Inntektsportalen-backend (default-deny + scopes). MCP-en kan aldri gjøre noe du ikke selv kan, og aldri endre 2FA/passord, åpne/lukke budsjettperioder eller bruke Assistenten/Simuler.

Serveren finnes i to varianter — begge bruker samme verktøy- og regelstruktur (src/tools.js):

1) Remote — «lim inn URL» (anbefalt)

Ingen installasjon. I klienten din legger du til en custom connector / MCP-server med URL-en:

https://mcp.inntektsportalen.no

Claude (web/desktop): Innstillinger → Connectors → Add custom connector → lim inn URL-en → Connect. Et nettleservindu åpnes der du logger inn og godkjenner hvilke seksjoner Claude får. Ferdig.

ChatGPT: Settings → Connectors (eller «Add MCP server» i den aktuelle flaten) → lim inn URL-en → følg innloggingen.

Klienten gjør resten automatisk: den oppdager (via /.well-known/oauth-protected-resource) at Inntektsportalen er autorisasjonsserver, registrerer seg, og kjører OAuth/PKCE.

Hoste din egen remote-server

npm start kjører remote-serveren (src/remote.js). Den er statsløs/uten datalagring — kun en protokoll-bro mot REST-API-et.

Deployes typisk på Railway (railway.json følger med). Healthcheck: /health.

Related MCP server: Agent Identity MCP Server

2) Lokal — stdio (Claude Desktop)

npm install

Legg til i MCP-konfigurasjonen (f.eks. Claude Desktop claude_desktop_config.json):

{
  "mcpServers": {
    "inntektsportalen": {
      "command": "node",
      "args": ["/full/sti/til/inntektsportalen-mcp/src/index.js"],
      "env": {
        "INNTEKTSPORTALEN_API_URL": "https://api.inntektsportalen.no"
      }
    }
  }
}

Første gang et verktøy brukes, åpnes nettleseren for innlogging + samtykke. Tokens caches i ~/.inntektsportalen-mcp/ (filrettigheter 600) og fornyes automatisk.

Scopes (tilgang)

Verktøy (utvalg)

get_overview, get_profile/update_profile, list_budget_months/get_budget/ update_budget, get_income/add_income/update_income/delete_income, get_salary_history/update_salary_history, get_feriepenger/update_feriepenger, get_fixed_costs/add_fixed_cost/update_fixed_cost/delete_fixed_cost, get_savings/add_savings/update_savings, get_loans/add_loan/update_loan/ delete_loan, get_inkasso/add_inkasso/update_inkasso, calculate_tax/ get_tax_rates, get_sifo/calculate_sifo.

*_write-verktøy tar et data-objekt som speiler feltene i appen; backend validerer alltid.

Personvern

• Remote-serveren lagrer ingen data og holder ingen tokens — den videresender kun klientens Bearer-token til Inntektsportalen-API-et for hver forespørsel.

• Lokal stdio lagrer kun OAuth-tokens lokalt (~/.inntektsportalen-mcp/, filrettigheter 600).

Ingen data sendes andre steder enn til Inntektsportalen-API-et du har godkjent. Trekk tilbake tilgang når som helst i Inntektsportalen → Profil → Tilkoblinger.

Filstruktur

src/
  tools.js    — verktøy-/regel-katalog (ÉN kilde til sannhet, delt)
  api.js      — autentisert REST-klient (token injiseres)
  scopes.js   — felles scope-liste
  remote.js   — remote HTTP-server (Streamable HTTP + OAuth-discovery)
  index.js    — lokal stdio-server
  oauth.js    — lokal OAuth/PKCE-innlogging (kun stdio)