MCP и вендорский API

Программный доступ вендора к собственным карточкам на Platforms.su. Один и тот же набор операций доступен двумя способами: как инструменты MCP для ИИ-клиента и как обычный REST для скриптов.

Подключение

1. Токен

Кабинет → Профиль → Интеграции → «Выпустить токен». Значение вида plsu_v1_… показывается один раз: в базе хранится только его отпечаток, и восстановить значение не сможет никто, включая поддержку. Забыли — выпустите новый.

Там же выбираются разрешения. Для первого знакомства оставьте только чтение.

2. Адрес сервера

https://platforms.su/mcp

Транспорт — Streamable HTTP. Авторизация — заголовок Authorization: Bearer <токен>. Сервер понимает обе актуальные редакции спецификации MCP: 2026-07-28 (без рукопожатия, с server/discover) и 2025-11-25, 2025-06-18, 2025-03-26 (через initialize). Версию выбирает клиент, настраивать ничего не нужно. Сессий сервер не хранит: каждый вызов самодостаточен.

3. Конфигурация клиента

Claude Code — одной командой:

claude mcp add --transport http platforms-su https://platforms.su/mcp \
  --header "Authorization: Bearer plsu_v1_ваш_токен"

Claude (веб, Desktop, Cowork) — Настройки → Коннекторы → «Добавить свой коннектор»: адрес https://platforms.su/mcp, заголовок запроса Authorization со значением Bearer plsu_v1_ваш_токен. Заголовки запроса в коннекторах Claude — бета-возможность; в организации коннектор добавляет администратор, и токен тогда общий для всех её участников.

Cursor и другие клиенты с файлом mcp.json:

{
  "mcpServers": {
    "platforms-su": {
      "url": "https://platforms.su/mcp",
      "headers": {
        "Authorization": "Bearer plsu_v1_ваш_токен"
      }
    }
  }
}

Для .mcp.json проекта Claude Code добавьте в блок "type": "http".

Клиенты, которые умеют только локальные (stdio) серверы, подключаются через мост mcp-remote:

{
  "mcpServers": {
    "platforms-su": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://platforms.su/mcp",
               "--header", "Authorization:${PLSU_AUTH}"],
      "env": { "PLSU_AUTH": "Bearer plsu_v1_ваш_токен" }
    }
  }
}

Если токен ограничен списком IP, учтите, откуда ходит клиент. Локальный клиент (Claude Code, Cursor, mcp-remote) обращается с адреса вашего компьютера. Облачный клиент — с адресов своего сервиса: коннекторы Claude ходят из подсети 160.79.104.0/21, её можно указать целиком.

4. Проверка

Если клиент подключился, он увидит инструменты. Проверить руками можно так:

curl -s -X POST https://platforms.su/mcp \
  -H 'Authorization: Bearer plsu_v1_ваш_токен' \
  -H 'Content-Type: application/json' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Инструменты

Набор зависит от уровня тарифа: клиент видит только то, что действительно может вызвать.

Чего в наборе нет и не будет: удаления карточек, смены тарифа и платёжных реквизитов, управления ролями, загрузки изображений и записи произвольного HTML на страницу продукта. Инструмент, которого нет, нельзя вызвать ни по ошибке, ни по подсказке из постороннего текста, попавшего в контекст агента.

REST API

Те же операции без MCP — для скриптов и CI. База: https://platforms.su/api/v1/vendor, авторизация тем же токеном.

curl -s https://platforms.su/api/v1/vendor/products?per_page=5 \
  -H 'Authorization: Bearer plsu_v1_ваш_токен'

Какие поля можно менять

name, short_name, description, content, parameters_description, version, license, price, website, demo_url, trial_url, documentation_url, purchase_url, support_email, compatibility_notes, has_api, has_saas, has_mobile_version, meta_title, meta_description, lifecycle_status.

Всё остальное игнорируется молча, а в ответе поле updated перечисляет то, что применилось — по нему видно, что прошло, а что нет. Ссылки принимаются только с http:// и https://. Категории, отрасли, опции, версии, тарифы, обложка и галерея меняются в кабинете.

Лимиты и квоты

Квоты считаются по организации, а не по токену: второй токен лимит не удваивает. Месячная квота обнуляется первого числа. Остаток приходит в заголовках X-Vendor-Quota-Remaining и X-Vendor-Rate-Limit.

Ошибки

В MCP ошибка приходит не как ошибка протокола, а как результат инструмента с isError: true и человеческим текстом — чтобы помощник мог исправиться сам, а не разрывал сессию.

Безопасность

• Токен привязан к организации. Принадлежность каждой карточки проверяется на сервере при каждом вызове.
• Токен в запросе передаётся только заголовком. В строке адреса параметр не поддерживается: такой URL оседает в логах, истории команд и Referer.
• Хранится отпечаток, а не значение. Это делает невозможным «напомнить ключ» — и для поддержки, и для того, кто прочитал дамп базы.
• Токен можно ограничить списком адресов и сроком жизни, и отозвать в один клик.
• Все вызовы попадают в журнал, видимый вендору в кабинете, и хранятся 12 месяцев.
• Материалы, созданные помощником, помечаются в базе как созданные через MCP и публикуются от имени и под ответственность вендора — на тех же правилах, что и при ручном размещении.

Если что-то не работает, начните с кабинета: на странице Интеграций видны состояние токена, остаток квоты и последние вызовы с кодом ошибки. Чаще всего ответ там.