Intégration MCP

AllyProof met à disposition un serveur Model Context Protocol (MCP) hébergé : des agents IA comme Cursor, Claude Code et Claude Desktop peuvent ainsi analyser des pages et exploiter vos données d'accessibilité sans quitter l'éditeur. Le point d'accès est https://allyproof.com/api/mcp (transport Streamable HTTP).

Business inclut les clés d'API, la CLI, les outils MCP authentifiés et l'intégration CI/CD. Les propriétaires et administrateurs de l'organisation peuvent créer des clés. Free n'inclut pas les clés d'API ; l'outil MCP public scan_url reste disponible sans clé.

À quoi sert MCP ?

MCP relie votre assistant IA à AllyProof. Vous lui demandez d'analyser une page ou de consulter des résultats ; il appelle un outil AllyProof et reçoit des données structurées. Les analyses s'exécutent sur les serveurs d'AllyProof. Vous n'avez pas besoin d'installer la CLI AllyProof ni d'héberger un serveur MCP local.

Utilisez scan_url pour vérifier une page publique. Les outils authentifiés travaillent sur les sites et résultats enregistrés de votre organisation. MCP ne donne pas accès à votre éditeur à AllyProof et ne modifie pas automatiquement votre code ; votre assistant réalise les modifications dans son propre environnement.

Ce que votre agent peut faire

L'éventail d'outils s'élargit dès que vous ajoutez une clé d'API. Sans clé, l'outil public scan_url est accessible à tous ; avec une clé, votre agent dispose en plus d'outils limités à votre propre organisation.

Obtenir une clé d'API

Sélectionnez d'abord l'organisation souhaitée. Un propriétaire ou administrateur peut créer une clé dans Réglages → Clés d'API si l'offre effective est Business ou Enterprise, y compris un accès accordé par un administrateur. Les membres et invités ne peuvent pas créer de clés. Copiez la clé à sa création : elle n'est affichée qu'une fois.

La clé donne accès à cette organisation. Les nouvelles clés comprennent les autorisations prises en charge : scan_site nécessite scan:trigger, et list_violations nécessite violations:read. Les clés révoquées ou expirées ne fonctionnent plus. Ne placez pas de clé dans vos prompts, captures d'écran ou fichiers versionnés. À la limite de dix clés, révoquez une clé inutilisée avant d'en créer une autre.

Connecter votre agent

Claude Code (interface en ligne de commande)

claude mcp add --transport http allyproof https://allyproof.com/api/mcp \
  --header "x-api-key: ap_live_..."

Omettez l'option --header pour un accès public limité à l'analyse.

Cursor (fichier de configuration)

Ajoutez AllyProof dans .cursor/mcp.json pour le projet ou dans la configuration MCP globale de Cursor. Remplacez la valeur d'exemple localement. N'ajoutez pas le fichier au contrôle de version s'il contient une clé :

{
  "mcpServers": {
    "allyproof": {
      "url": "https://allyproof.com/api/mcp",
      "headers": { "x-api-key": "ap_live_..." }
    }
  }
}

Vous pouvez aussi générer ces extraits déjà renseignés avec votre clé depuis Réglages → Intégrations.

Autres clients MCP

Configurez un serveur distant avec l'URL https://allyproof.com/api/mcp, le transport Streamable HTTP et l'en-tête x-api-key contenant votre clé. Omettez cet en-tête pour l'accès public. Les formats varient selon le client : le JSON Cursor ci-dessus n'est pas une configuration universelle pour Claude Desktop. L'accès authentifié exige un client capable d'envoyer des en-têtes HTTP personnalisés. Consultez les instructions actuelles de Claude Code et de Cursor.

Essayer

Une fois la connexion établie, demandez par exemple à votre agent :

• « Analyse https://example.com/pricing à la recherche de problèmes d'accessibilité. »
• « Liste mes sites, puis lance une analyse du site marketing. »
• « Quelles sont mes non-conformités critiques ouvertes, et comment les corriger ? »

Limites et portée

Pour enregistrer une analyse, demandez d'abord list_sites, puis scan_site avec le site_id choisi. Le scan_id renvoyé confirme le lancement du traitement en arrière-plan, pas son achèvement. Suivez sa progression dans le tableau de bord ou via l'API REST ; une fois terminé, utilisez list_violations avec le filtre du site. Il n'existe actuellement aucun outil MCP dédié au suivi de l'état d'une analyse.

• scan_url analyse une seule page, avec une limitation de débit par adresse IP et une mise en cache de 24 h. Pour une exploration complète d'un site, utilisez scan_site (avec une clé) ou l'API REST.
• Après une modification, un appel authentifié peut passer fresh: true à scan_url pour ignorer le cache. Vérifiez scanned_at et cached dans le résultat. Même une nouvelle analyse publique ne modifie pas l'historique d'un site enregistré.
• Seul scan_site apparaît dans l'historique d'analyses d'un site. scan_url analyse volontiers une URL qui n'est pas la vôtre : il n'est donc rattaché à aucun site, n'influe pas sur le score d'un site et n'est pas enregistré comme analyse. Si vous lancez scan_url sur votre propre site et vous demandez pourquoi le tableau de bord n'a pas bougé, c'est la raison - ajoutez une clé d'API et utilisez scan_site : l'exécution apparaîtra alors dans l'historique, avec MCP comme source.
• Les outils limités au compte lisent et écrivent uniquement les données de votre organisation, dans le périmètre de la clé d'API - exactement comme l'API REST v1 et l'interface en ligne de commande.
• L'analyse automatisée détecte des schémas d'échec WCAG courants ; elle ne peut pas établir la conformité, et une absence de résultat n'est pas une preuve de conformité. Déterminer la conformité suppose aussi une revue manuelle. Aucun outil ne peut garantir le respect du droit applicable.

Dépannage

Pour aller plus loin

• Vous préférez automatiser par script ? Voir l'interface en ligne de commande et l'API REST.
• Conditionnez vos constructions avec le guide CI/CD.

Les résultats publics portant sur une seule page et leurs liens expirent après 24 heures. Les analyses enregistrées dans le tableau de bord de votre organisation suivent la politique distincte de conservation des preuves.