MCP-Server

Apiboo hat einen eingebauten MCP-Server. MCP (Model Context Protocol) ist der Weg, über den KI-Tools wie Claude Code, Codex, Cursor und Claude Desktop mit anderen Programmen sprechen. Damit kann ein Agent deine Dokumente und Boards lesen, in deinem Kalender planen, Requests in deinen Collections bauen und, nur wenn du es erlaubst, Befehle auf deinen Servern ausführen.

Nichts ist erlaubt, bis du es erlaubst. Eingerichtet wird alles unter Settings → MCP server.

Einschalten

1. Öffne Settings → MCP server.
2. Klick unter Access token auf Generate token. Das Token wird einmal angezeigt, unter „Your new token — copy it now, it is not shown again". Die Verbindungs-Snippets weiter unten enthalten es schon (siehe Deinen Client verbinden).
3. Schalt MCP server ein. Darunter steht Listening on 127.0.0.1:8762, solange der Server läuft, Stopped, wenn nicht, oder warum er nicht starten konnte.
4. Schalt ein, was Clients dürfen (siehe Was Clients dürfen).

Der Schalter zeigt immer, ob der Server wirklich läuft, nicht nur, was du zuletzt gewählt hast. Ein Server, den du angelassen hast, startet mit Apiboo wieder.

Der Server lauscht nur auf deinem eigenen Computer, http://127.0.0.1:8762/mcp. Von einem anderen Rechner ist er nicht erreichbar, und es gibt keine Einstellung, die das ändert. Port ändert den Port (1024–65535) beim nächsten Start; ist der Port belegt, startet der Server nicht, statt auf einen anderen auszuweichen.

Das Access Token

Ein Client weist sich mit dem Token aus, gesendet als Authorization: Bearer <token>.

• Apiboo speichert nur einen Hash davon und kann es deshalb nie wieder anzeigen. Kopier es, solange es auf dem Bildschirm steht.
• Regenerate erzeugt ein neues und sperrt sofort jeden Client aus, der noch das alte hat. Trag das neue in jeden Client ein.
• Beim Abmelden werden Token und Berechtigungen gelöscht, und der Server stoppt.

Was Clients dürfen

Jeder Bereich hat einen Schalter read und einen write, und alle sind anfangs aus. Sie sind getrennt: write schließt read nicht ein. Tools, die du nicht erlaubt hast, sieht ein Client gar nicht erst.

Bilder in deinen Dokumenten, Task-Beschreibungen und Kommentaren sind verschlüsselt; ein Client sieht sie als Zeile wie „🖼 Image: name“ und bekommt nie den Schlüssel, der sie öffnet.

Was ein Client aus Collections nie bekommt: einen Header-Wert (außer harmlosen wie Content-Type), einen Body-Wert, Zugangsdaten aus der Auth, den Wert einer Variable (kommt als „hidden") oder irgendeinen Teil einer Response. Schreibt er einen Request, kann er kein Passwort und kein Token hineintippen; er muss eine Apiboo-Variable verwenden und dich bitten, sie zu füllen.

Jede Leseberechtigung erlaubt einem Client außerdem, deine Scopes aufzulisten, also auch die Namen deiner Teams.

Erlaubte Ordner für Anhänge

Anhänge funktioniert nur mit Ordnern, die du unter Anhänge → Add folder… hinzufügst. Ein Client kann Bilder und Videos nur aus diesen Ordnern hochladen; ob etwas ein Bild oder Video ist, entscheidet der Inhalt der Datei, nicht ihr Name. Jede Datei wird verschlüsselt in deinem Apiboo-Konto gespeichert. Ohne Ordner können Agenten nichts anhängen.

Ein Agent lädt eine Datei nach der anderen hoch, für die Kommentare eines Tasks oder für ein Dokument, und kann sie nur dort verwenden. In einem Dokument steht das Bild an der Stelle seiner Zeile „🖼 Image: name“, sonst am Ende. Schreibt ein Agent ein Dokument oder eine Task-Beschreibung neu, bleiben die Bilder darin an ihrem Platz.

Dateien zählen zu deinem Plan, wie jedes Bild, das du hochlädst: Wie groß eine Datei sein darf und wie viel Speicher du insgesamt hast, hängt von deinem Plan ab (siehe Konto & Pläne). Über einer Grenze bekommt der Agent die Grenze genannt und soll dir Bescheid geben.

Allow all

Allow all schaltet alle Schalter für read und write auf einmal ein oder aus. Es schaltet nie Allow destructive operations ein, und das Terminal braucht weiterhin einen angehakten Server, bevor es einen erreicht.

Der Schalter für destruktive Aktionen

Allow destructive operations ist standardmäßig aus. Er schaltet elf Dinge frei:

• den Ordner Agent Notes leeren;
• ein Dokument oder einen Ordner löschen;
• einen Task, eine Liste oder ein ganzes Board löschen;
• einen Termin löschen;
• einen Request, einen Ordner oder eine ganze Collection löschen;
• einen Befehl auf einem deiner Server ausführen;
• eine Datei auf einen deiner Server schreiben.

Jedes davon braucht den Schalter und die Schreibberechtigung seines Bereichs. Löschen ist endgültig: Es entfernt den Eintrag auch auf deinen anderen Geräten und bei deinem Team. Ein Löschen, das mehr treffen würde als das eine, was der Agent genannt hat, etwa einen Ordner mit Seiten darin, wird abgelehnt, bis der Agent es ausdrücklich bestätigt, und die Ablehnung listet auf, was verschwinden würde.

Freigaben

Schreiben in Dokumente, Boards, den Kalender und Collections fragt nicht jedes Mal nach: Die Berechtigungen oben sind deine Antwort. Befehle und Dateien auf deinen Servern sind anders. Jeder einzelne wartet darauf, dass du in Apiboo Approve drückst, und der Agent sieht immer nur den Namen des Servers. Siehe Mit einem Agenten deployen.

Änderungen überschreiben nie deine

Ändert ein Agent Text, den ein Mensch getippt haben könnte (einen Task, ein Board, den Text eines Dokuments, einen Termin, einen Request), muss er die gelesene Revision mitschicken, expected_rev. Haben du oder jemand aus deinem Team es inzwischen geändert, wird das Schreiben mit conflict abgelehnt, und der Agent liest neu und versucht es wieder. Deine Änderung wird nie still überschrieben.

Rate Limits

Pro Minute, solange der Server läuft:

Über einem Limit bekommt der Client „Rate limited; retry in N s." und versucht es später wieder.

Recent requests

Recent requests zeigt, wie viele Aufrufe der Server gesehen hat. Show requests öffnet die letzten 20: jeden Tool-Namen, allowed oder denied, und warum abgelehnt wurde (zum Beispiel eine ausgeschaltete Berechtigung oder ein Rate Limit). Was ein Client geschickt oder bekommen hat, wird nie aufgezeichnet, und die Liste liegt nur im Speicher. Sie ist zur Fehlersuche da, kein Audit-Log. Befehle auf deinen Servern haben ihr eigenes Log (siehe Das Befehls-Log).

Deinen Client verbinden

Die Snippets unter Connect your client enthalten schon deine Adresse und dein Token. Klick auf den Kopier-Button daneben.

Claude Code

Führ das einmal in einem Terminal aus:

claude mcp add --scope user --transport http apiboo http://127.0.0.1:8762/mcp --header "Authorization: Bearer <your token>"

Starte danach eine neue Sitzung von Claude Code. --scope user macht daraus einen Eintrag für alle deine Projekte.

Schon einmal verbunden, mit einem älteren Token? Der alte Eintrag antwortet weiter mit 401, obwohl Settings gut aussieht. Entferne ihn zuerst und füg ihn dann neu hinzu:

claude mcp remove apiboo --scope user

Hast du ihn einmal ohne --scope user hinzugefügt, führ claude mcp remove apiboo in jedem Ordner aus, in dem du das getan hast.

Cursor, Zed und andere HTTP-Clients

Jeder Client, der sich über HTTP mit einem MCP-Server verbindet, braucht zwei Dinge:

Trag sie in die MCP-Einstellungen des Clients ein.

Agenten im Terminal von Apiboo

Claude Code und Codex, gestartet aus einer Terminal-Pane von Apiboo, verbinden sich von selbst. Ist Attach Apiboo MCP im Terminal-Profil an (für beide ist es das standardmäßig), bekommt die Pane ein eigenes, temporäres Token mit genau deinen aktuellen Berechtigungen. Es liegt nur im Speicher und endet mit der Pane. Die Pane zeigt einen Chip MCP, solange es verbunden ist, oder MCP off, wenn der Server aus ist. Im Agenten heißt der Server apiboo_app, damit er nicht mit einem eigenen Eintrag apiboo kollidiert.

Cursor CLI liest MCP-Server nur aus seiner eigenen mcp.json, die Apiboo nicht bearbeitet; für Cursor gibt es das Anhängen deshalb nicht. Siehe Agenten im Terminal.

Claude Desktop

Claude Desktop (und Claude im Web und auf dem Handy) erreicht MCP-Server aus der Cloud von Anthropic und kann 127.0.0.1 deshalb nicht direkt öffnen. Es verbindet sich über ein kleines Hilfsprogramm, das auf deinem Computer läuft.

1. Klick unter MCP server for Claude Desktop auf Install MCP Server. Apiboo lädt das Hilfsprogramm signiert von derselben Stelle wie seine Updates und prüft es. Danach steht dort Installed — version … und Installed at mit dem Pfad.

2. Kopier unter Connect your client → Claude Desktop die Konfiguration. Sie sieht so aus, mit ausgefülltem Pfad und Token:

   {
     "mcpServers": {
       "apiboo": {
         "command": "<path to apiboo-mcp-bridge>",
         "args": [
           "--url",
           "http://127.0.0.1:8762/mcp"
         ],
         "env": {
           "APIBOO_MCP_TOKEN": "<your token>"
         }
       }
     }
   }

3. Füg sie selbst in claude_desktop_config.json von Claude Desktop ein. Apiboo bearbeitet diese Datei nicht.
4. Starte Claude Desktop neu.

Apiboo muss mit eingeschaltetem MCP-Server laufen; sonst antwortet das Hilfsprogramm „Apiboo is not running". Nach einem Update von Apiboo bietet der Bereich Update MCP Server an; das installierte Hilfsprogramm funktioniert weiter, bis du aktualisierst.

Was MCP nie sieht

Den Vault und alles darin, gespeicherte Passwörter und API-Keys, die Werte von Environment- und Workspace-Variablen, die Auth von Requests, Zugangsdaten für Datenbanken, FTP und SSH, deine Konto-Tokens und abgefangene Mails. Für nichts davon gibt es Tools.

Die eine bewusste Ausnahme triffst du selbst: Eine SSH-Verbindung, die du unter Terminal — which servers anhakst, kann mit ihrem Namen genutzt werden, um einen Befehl auszuführen, den du freigibst. Selbst dann bleiben ihr Passwort und ihr Schlüssel in Apiboo.

Fehlerbehebung

„Connected · 0 tools"

Der Client hat Apiboo erreicht, aber keine Tools bekommen. Prüf in dieser Reihenfolge:

1. Berechtigungen. Ist unter What clients may do nichts erlaubt, ist die Tool-Liste mit Absicht leer. Schalt mindestens einen read-Schalter ein.
2. Neue Sitzung starten. Ein Client baut seine Tool-Liste einmal, beim Start der Sitzung. Nachdem du eine Berechtigung geändert, Apiboo aktualisiert oder die Verbindung repariert hast, starte eine neue Sitzung von Claude Code (oder den Client neu).
3. Der Server läuft. Settings → MCP server muss Listening on 127.0.0.1:… zeigen. Abmelden stoppt ihn, und er bleibt aus, bis du ihn wieder einschaltest.
4. Das Token ist aktuell. Hast du es neu erzeugt, hat der Client noch das alte und bekommt 401. Entferne den Eintrag und füg ihn neu hinzu (siehe Claude Code).

Andere Probleme