@vigie/mcp

Serveur MCP de Vigie, plateforme de surveillance de parcours e-commerce. Il donne à un assistant l'accès en lecture à un projet de surveillance — scénarios, campagnes, rapports, incidents, dérive des sélecteurs — et, avec une clé de niveau pilotage, de quoi lancer une campagne ou interrompre une exécution.

C'est un client : il ne sert à rien sans une instance de Vigie et une clé émise par elle.

Installation

{
  "mcpServers": {
    "vigie": {
      "command": "npx",
      "args": ["-y", "@vigie/mcp"],
      "env": {
        "VIGIE_URL": "https://votre-instance",
        "VIGIE_CLE": "<clé émise dans Paramètres → Clés MCP>"
      }
    }
  }
}

La clé n'est affichée qu'à sa création. Elle est révocable à tout moment depuis le même écran, et son usage y est compté jour par jour.

Ce qu'une clé ouvre, et ce qu'elle n'ouvre pas

Une clé vaut pour un seul projet. Une campagne d'un autre projet répond « introuvable », jamais « interdit » : dire « interdit » confirmerait son existence.

Aucun outil ne rend un secret — ni mot de passe d'environnement, ni identifiant de compte de test. Aucun ne supprime quoi que ce soit : effacer un rapport, résoudre un incident ou ouvrir un garde-fou de production ont, dans Vigie, des refus délibérés et des traces nominatives. Les rendre appelables par une clé posée dans un fichier de configuration reviendrait à les contourner.

Deux niveaux :

| Niveau | Ce qu'il permet | |---|---| | lecture | consulter, rien d'autre | | pilotage | consulter, lancer une campagne, interrompre une exécution |

Protections du client

Le serveur refuse de démarrer plutôt que d'exposer la clé :

• http:// vers un hôte distant est refusé. La clé voyage dans un en-tête ; en clair sur un réseau qu'on ne maîtrise pas, elle est lisible. http:// reste toléré sur 127.0.0.1 et localhost, où il n'y a pas de réseau à écouter.
• NODE_TLS_REJECT_UNAUTHORIZED=0 est refusé. Cette variable se pose souvent pour « faire passer » un proxy qui intercepte le TLS — c'est-à-dire exactement la situation où la clé se ferait lire.
• Une clé restée au gabarit (<votre clé>) ou trop courte est refusée avant le premier appel, plutôt que de produire un 401 dont on cherche la cause du mauvais côté.

Et à chaque appel :

• aucune redirection n'est suivie. fetch ne retire pas un en-tête personnalisé en suivant une redirection vers un autre hôte : la clé partirait au portail de filtrage qui répond 307. L'appel échoue à la place.
• 30 secondes de délai maximum, parce qu'un outil qui pend est pire qu'un outil qui échoue ; 2 Mo de réponse au maximum ; et la clé est retirée de tout message d'erreur avant qu'il ne soit rendu.

Outils

| Outil | Répond à | |---|---| | vigie_etat | Que se passe-t-il maintenant ? Qui écoute ? | | vigie_scenarios | Le catalogue | | vigie_expliquer_scenario | Que prouve ce scénario ? (formulation de Vigie, pas une reformulation) | | vigie_expliquer_campagne | Que joue-t-elle vraiment, et qu'écarte-t-elle — protégé ou cassé ? | | vigie_rapports | Les dernières exécutions | | vigie_expliquer_rapport | Pourquoi est-ce rouge ? | | vigie_expliquer_echec | À quelle étape, avec quelle capture ? | | vigie_incidents | Qu'est-ce qui est cassé maintenant ? | | vigie_statistiques | Par campagne, sur une fenêtre | | vigie_derive | Quels sélecteurs ne tiennent plus que par un repli ? | | vigie_couverture | Qu'est-ce que je surveille vraiment ? | | vigie_lancer_campagne | (pilotage) | | vigie_interrompre_execution | (pilotage) — n'alerte pas |

Node 20 ou plus.