MCP-серверы Cloudflare: сначала проверка, затем согласование изменений

MCP-серверы Cloudflare позволяют агенту искать документацию, а после авторизации — читать настройки аккаунта и обращаться к Cloudflare API. Основной удалённый адрес — https://mcp.cloudflare.com/mcp; для вопросов по документации начните с https://docs.mcp.cloudflare.com/mcp. Изменения DNS и правил firewall должны оставаться решением человека: при соответствующих правах API-подключение способно менять конфигурацию. Официальный обзор, по состоянию на 30 октября 2026 года.

Что можно сделать

Начните с вопроса, ответ на который легко проверить. Например, попросите найти документацию о binding в Workers и перечислить поля конфигурации, которые стоит изучить. Публичный сервер документации работает без авторизации и предоставляет search_cloudflare_documentation: он ищет справочные материалы, а не настройки вашего аккаунта. README сервера документации.

Для работы с аккаунтом основной API-сервер использует search для поиска методов и execute для вызовов через сгенерированный JavaScript; docs ищет документацию разработчика. В пределах выданных прав это позволяет составить перечень ресурсов или сравнить конфигурации. Разделяйте поиск подходящего метода, чтение конкретного ресурса и подготовку предложения об изменении. Репозиторий API-сервера.

В задании на проверку укажите аккаунт, зону, ресурс и ожидаемые подтверждения. Например, попросите получить DNS-записи разрешённой зоны, показать нужные поля и подобрать документацию для их интерпретации. Наблюдения должны быть отделены от предположений. Отличие в настройках даёт повод для проверки, но само по себе не доказывает причину инцидента.

Базовые понятия разобраны в материалах что связывает MCP и удалённые и локальные серверы. Другие подключения собраны в категории MCP-серверы для приложений.

Какие MCP-серверы Cloudflare доступны

По состоянию на 30 октября 2026 года Cloudflare рекомендует основной API-сервер для широкого доступа. Помимо адреса документации, официальный каталог содержит специализированные варианты:

В официальном репозитории специализированных серверов также указаны Cloudflare Blog и Demo Day. Прежние серверы AI Gateway, Audit Logs, AutoRAG, DNS Analytics, GraphQL, Logpush, Observability, Radar, Workers Bindings и Workers Builds отмечены как deprecated; вместо них рекомендован основной API MCP server. Перед переносом старой конфигурации сверьтесь с актуальным каталогом.

Выбирайте подключение под вопрос. Результат Browser Run не подтверждает, что агент проверил настройки вашей зоны. Поиск документации тоже не показывает, какие параметры сейчас включены в аккаунте.

Как подключить безопасно

1. Ограничьте первое задание. Начните с поиска документации или просмотра заранее выбранных ресурсов. Зафиксируйте границы доступа и ожидаемые подтверждения. Для подготовки используйте чек-лист безопасности MCP.

2. Добавьте сервер документации в редактор. В VS Code откройте палитру команд, выполните MCP: Add Server, выберите HTTP и введите https://docs.mcp.cloudflare.com/mcp. Задайте уникальный ID и выберите место хранения конфигурации, подходящее вашей сессии агента. Проверьте запрос доверия. Актуальные варианты описаны в руководстве VS Code; у других клиентов свой формат настроек.

3. Проверьте настоящий вызов инструмента. Попросите агента найти через добавленный сервер документацию по выбранной функции Cloudflare и вернуть ссылки. Откройте результат вызова в диалоге. Правдоподобный текст без обращения к нужному серверу ещё не подтверждает работоспособность подключения.

4. Подключайте аккаунт по необходимости. Создайте отдельную запись для https://mcp.cloudflare.com/mcp и пройдите OAuth, внимательно проверив запрошенные права. Инструкция Cloudflare также допускает API token в заголовке Authorization как bearer token. Не помещайте секреты в чат, скриншоты или конфигурацию в репозитории.

5. Выдайте права для конкретной проверки. В документации Cloudflare есть пример Zone DNS Read с доступом только к выбранной зоне. Где применимо, выбирайте Read вместо Edit, ограничьте ресурсы и срок действия. Эти разрешения API token нельзя считать универсальной строкой OAuth scope: сверяйте требования операции и экран согласия. Создание токена и ограничения ресурсов.

6. Проверьте результат до расширения доступа. Сравните идентификатор ресурса и полученные поля с dashboard. Если операция не проходит, сначала выясните, какого разрешения ей не хватает. Для предложения изменить DNS или firewall потребуйте точный объект, текущее и новое состояние, обоснование, способ проверки и план отката. Человек утверждает конкретное изменение до выполнения записи.

Почему изменения конфигурации требуют согласования

Для сессии просмотра ограничивайте возможности и заданием, и правами. Просьба работать только на чтение задаёт полезные рамки, но учётные данные тоже должны исключать ненужные изменения.

Допустим, после сравнения с конфигурацией приложения агент предлагает заменить DNS-запись. Проверяющий должен убедиться, что имя относится к нужному окружению, новый адрес разрешён и зависимости учтены. В предложении о правиле firewall условия совпадения нужно оценивать вместе с действием правила. Согласие с диагнозом не означает согласия на последующее изменение.

Сохраните краткую запись: исходное состояние, время его получения, предложение и решение человека. После разрешённого изменения соберите свежие подтверждения. Сообщение агента о завершении работы не доказывает, что в production установлено нужное состояние.

Когда это не работает

Старый адрес перестал отвечать. Репозиторий специализированных серверов указывает, что выведенные из эксплуатации адреса /sse возвращают 410 Gone; используйте опубликованные адреса /mcp. Действующий токен не гарантирует подключение: основной API-сервер сейчас не поддерживает Client IP Address Filtering у токенов. Для автоматического определения аккаунта у account token требуется Account Resources : Read. Эти ограничения описаны по состоянию на 30 октября 2026 года. Репозиторий специализированных серверов · Авторизация API-сервера.

Недостаток прав не означает отсутствие ресурсов. Если ожидаемые данные не появились или требуется дополнительное согласие, проверьте авторизацию. Не расширяйте доступ только ради успешного выполнения диагностического запроса. Узкая выборка не равна полному аудиту: задавайте охват ресурсов и период проверки, отмечайте всё, что осталось за её пределами.

Если организация ограничивает MCP в редакторе, сначала изучите её политику. Рекомендации VS Code помогают проверить область конфигурации, вход и доступность инструментов. Дополнительно: MCP в VS Code.

Где здесь Tvijo

По состоянию на 30 октября 2026 года расширение DSHREM для VS Code даёт доступ к вопросам из редактора с выбранным контекстом. Его можно использовать для обсуждения обезличенных фрагментов настроек и документации. TvijoCode — тестовая сборка со встроенным расширением. Это не подтверждает наличие готовой интеграции с Cloudflare.

Tvijo MCP предоставляет консультационные возможности Tvijo совместимому MCP-клиенту. Подготовленная функция проверки diff ожидает публикации согласно описанному статусу выпуска; интеграция с редактором и безопасное делегирование остаются запланированными этапами. Подключение Tvijo MCP не даёт Tvijo автоматически выполнять инструменты другого сервера для Cloudflare. Начинайте с проверки данных и вопросов по документации; изменения DNS и firewall остаются решением человека.

На dsh.tvijo.com по состоянию на 30 октября 2026 года Try стоит $0. Пробный доступ заканчивается при достижении любого из порогов: 5 заданий, 50 000 токенов или $0.05 спонсируемого использования; действует общий дневной пул $1, финансируемый TVIJO. Service credit указан как $10 для запроса предоплаченного кредита: фактическое использование оплачивается по тарифам провайдера с сервисной наценкой 8%. Приём платежей не активирован; создание заказа не означает списания денег.

Частые вопросы

Нужен ли Cloudflare token для поиска документации?

Публичный сервер документации не требует авторизации. Просмотр аккаунта — отдельное подключение со своими правами. README сервера документации.

Может ли агент менять DNS или firewall?

Основной сервер обращается к Cloudflare API в пределах выданных прав. Ограничьте доступ для просмотра и требуйте решения человека перед выдачей или использованием прав на изменения. Официальный обзор.

Нужно ли разворачивать свой удалённый MCP-сервер?

Для описанных управляемых серверов достаточно настроить совместимый клиент на опубликованный URL. Развёртывание собственного сервера — отдельный вариант реализации. Официальный репозиторий.

Cloudflare — товарный знак правообладателя. Tvijo не связан с ним и не одобрен им.