MCP-Integration

AllyProof betreibt einen gehosteten Model Context Protocol (MCP) Server, damit KI-Agenten wie Cursor, Claude Code und Claude Desktop Seiten scannen und mit Ihren Barrierefreiheitsdaten arbeiten können, ohne den Editor zu verlassen. Der Endpunkt ist https://allyproof.com/api/mcp (Streamable-HTTP-Transport).

Business umfasst API-Schlüssel, CLI, authentifizierte MCP-Tools und CI/CD-Integration. Organisationsinhaber und Admins können Schlüssel erstellen. Free enthält keine API-Schlüssel; das öffentliche MCP-Tool scan_url bleibt ohne Schlüssel verfügbar.

Was bedeutet MCP?

MCP verbindet Ihren KI-Assistenten mit AllyProof. Sie bitten den Assistenten, eine Seite zu prüfen oder Befunde abzurufen; er ruft ein AllyProof-Werkzeug auf und erhält strukturierte Ergebnisse. Die Scans laufen auf den Servern von AllyProof. Eine lokale AllyProof-CLI oder ein eigener MCP-Server ist nicht erforderlich.

Mit scan_url prüfen Sie eine einzelne öffentliche Seite. Die authentifizierten Werkzeuge arbeiten mit den Websites und gespeicherten Befunden Ihrer Organisation. MCP gibt AllyProof keinen Zugriff auf Ihren Editor und ändert Ihren Quellcode nicht automatisch; Codeänderungen führt Ihr Assistent in seiner eigenen Umgebung aus.

Was Ihr Agent tun kann

Die Werkzeugfläche erweitert sich, sobald Sie einen API-Schlüssel hinzufügen. Ohne Schlüssel steht das öffentliche Werkzeug scan_url jedem zur Verfügung; mit Schlüssel erhält Ihr Agent zusätzlich Werkzeuge, die auf Ihre eigene Organisation beschränkt sind.

Einen API-Schlüssel erstellen

Wählen Sie zuerst die gewünschte Organisation. Inhaber und Admins können unter Einstellungen → API-Schlüssel einen Schlüssel erstellen, wenn der effektive Tarif Business oder Enterprise ist - auch bei einer administrativen Freischaltung. Mitglieder und Gäste dürfen keine Schlüssel erstellen. Kopieren Sie den Schlüssel bei der Erstellung; er wird nur einmal angezeigt.

Der Schlüssel gilt für diese Organisation. Neue Schlüssel enthalten die unterstützten Berechtigungen: scan_site benötigt scan:trigger, list_violations benötigt violations:read. Widerrufene oder abgelaufene Schlüssel funktionieren nicht mehr. Speichern Sie Schlüssel nicht in Prompts, Screenshots oder versionierten Konfigurationsdateien. Bei zehn Schlüsseln widerrufen Sie zunächst einen ungenutzten.

Ihren Agenten verbinden

Claude Code (CLI)

claude mcp add --transport http allyproof https://allyproof.com/api/mcp \
  --header "x-api-key: ap_live_..."

Lassen Sie das --header-Flag für Nur-Scan-Zugriff (öffentlich) weg.

Cursor (Konfigurationsdatei)

Fügen Sie AllyProof in .cursor/mcp.json des Projekts oder in der globalen Cursor-MCP-Konfiguration hinzu. Ersetzen Sie den Platzhalter lokal. Eine Datei mit einem Schlüssel darf nicht in die Versionsverwaltung gelangen:

{
  "mcpServers": {
    "allyproof": {
      "url": "https://allyproof.com/api/mcp",
      "headers": { "x-api-key": "ap_live_..." }
    }
  }
}

Sie können diese Schnipsel, bereits mit Ihrem Schlüssel ausgefüllt, auch unter Einstellungen → Integrationen generieren.

Andere MCP-Clients

Verwenden Sie die Server-URL https://allyproof.com/api/mcp, den Transport Streamable HTTP und den Header x-api-key mit Ihrem Schlüssel. Für öffentlichen Zugriff lassen Sie den Header weg. Konfigurationsformate unterscheiden sich; das Cursor-JSON ist keine allgemeine Claude-Desktop-Konfiguration. Authentifizierter Zugriff erfordert Unterstützung für eigene HTTP-Header. Aktuelle Client-Anleitungen: Claude Code und Cursor.

Ausprobieren

Sobald verbunden, fragen Sie Ihren Agenten Dinge wie:

• "Scanne https://example.com/pricing auf Barrierefreiheitsprobleme."
• "Liste meine Websites auf und starte dann einen Scan der Marketing-Website."
• "Was sind meine offenen kritischen Verstöße und wie behebe ich sie?"

Grenzen & Umfang

Für einen gespeicherten Scan lassen Sie zuerst list_sites und dann scan_site mit der gewählten site_id ausführen. Die zurückgegebene scan_id bestätigt den Start des Hintergrundauftrags, nicht dessen Abschluss. Prüfen Sie den Fortschritt im Dashboard oder über die REST-API. Nach Abschluss liefert list_violations mit dem Website-Filter die Befunde. Ein eigenes MCP-Werkzeug für den Scan-Status gibt es derzeit nicht.

• scan_url ist ein Einzelseiten-Scan, ratenbegrenzt pro IP und 24 Stunden gecacht. Für einen vollständigen Website-Crawl nutzen Sie scan_site (mit Schlüssel) oder die REST-API.
• Nach einer Seitenänderung können authentifizierte Aufrufe mit fresh: true den Cache von scan_url umgehen. Prüfen Sie scanned_at und cached im Ergebnis. Auch ein frischer öffentlicher Scan aktualisiert keinen Website-Verlauf.
• Nur scan_site erscheint im Scan-Verlauf einer Website. scan_url scannt bereitwillig auch eine URL, die Ihnen nicht gehört, ist deshalb keiner Website zugeordnet, beeinflusst keinen Score und wird nicht als Scan gespeichert. Wenn Sie scan_url gegen Ihre eigene Website laufen lassen und sich wundern, warum sich im Dashboard nichts bewegt: genau das ist der Grund – hinterlegen Sie einen API-Schlüssel und nutzen Sie scan_site, dann taucht der Lauf mit der Quelle MCP im Verlauf auf.
• Kontobezogene Werkzeuge lesen und schreiben nur die Daten Ihrer Organisation, beschränkt durch den API-Schlüssel – genau wie die v1-REST-API und die CLI.
• Automatisiertes Scannen erkennt verbreitete WCAG-Fehlermuster; Konformität kann es nicht belegen, und ein Ergebnis ohne Befund ist kein Nachweis für Konformität. Konformität festzustellen erfordert zusätzlich eine manuelle Prüfung. Kein Werkzeug kann rechtliche Konformität garantieren.

Fehlerbehebung

Nächste Schritte

• Bevorzugen Sie Skripting? Siehe die CLI und REST-API.
• Sichern Sie Ihre Builds mit der CI/CD-Anleitung ab.

Öffentliche Einzelseiten-Ergebnisse und ihre Ergebnislinks laufen nach 24 Stunden ab. Für im Organisations-Dashboard gespeicherte Scans gilt die separate Nachweisaufbewahrung.