Tus datos, en cualquier host MCP.
Wombat MCP Bridge expone la API REST de WOMBATpass como herramientas de Model Context Protocol para asistentes de IA. Pide a Claude que liste ejecuciones, inspeccione hallazgos o explore datos de cumplimiento, todo con la misma sesión SSO y los mismos permisos por rol en los que ya confías.
Un puente seguro, no un segundo sistema de autenticación.
El puente reutiliza la identidad, los permisos y los registros de auditoría de WOMBATpass. Valida, actúa como proxy y filtra; nunca almacena secretos cloud ni contraseñas del IdP.
Agnóstico respecto al IdP
Sin integración directa con Keycloak, Entra u Okta. El puente confía en los tokens emitidos por wafpass-server, que ya gestiona los flujos OIDC y SAML.
Introspección de tokens
Cada nueva conexión SSE se valida contra GET /auth/me. Detección inmediata de revocaciones y sin necesidad de compartir secretos JWT.
Herramientas con mínimo privilegio
tools/list se filtra según el rol del usuario autenticado. Los endpoints solo para administradores son invisibles para los ingenieros, y la autorización por fila se aplica en cada llamada al backend.
Propagación del contexto
La cabecera original Authorization: Bearer se reenvía a WOMBATpass en cada solicitud, preservando la identidad del usuario y la atribución en la auditoría.
Generado desde OpenAPI
Al arrancar, el puente obtiene /openapi.json y registra las operaciones seguras como herramientas MCP tipadas con argumentos validados por Pydantic.
stdio o SSE
Ejecuta el puente como proceso stdio local para Claude Desktop o expónlo por HTTP/SSE para hosts MCP remotos y clientes basados en navegador.
Conecta Claude Desktop en minutos.
Instala el puente, inicia sesión una vez y apunta Claude Desktop al comando stdio. Sin certificados, sin puertos abiertos, sin autenticación adicional.
git clone https://github.com/WAF2p/wafpass-mcp.git
cd wafpass-mcp
python3 -m venv .venv
source .venv/bin/activate
pip install -e ".[dev]"
wafpass-mcp-configure
# Enter WOMBATpass API URL, username and password{
"mcpServers": {
"wafpass": {
"command": "/path/to/wombatpass-mcp/.venv/bin/wafpass-mcp-stdio"
}
}
}# From the Wombat repository root
docker compose up -d wafpass-mcp
docker compose logs -f wafpass-mcp
# SSE endpoint: http://localhost:3001/sse
# Override WAFPASS_TOKEN_MODE or WAFPASS_JWT_SECRET in .envCómo encaja el puente.
El usuario se autentica a través del IdP, intercambia tokens con WOMBATpass y lleva el mismo token Bearer al host MCP. El puente reenvía las solicitudes y filtra las herramientas por rol.
| Variable | Predeterminado | Descripción |
|---|---|---|
WAFPASS_API_BASE_URL | http://localhost:8000 | API de WOMBATpass de origen. |
WAFPASS_TOKEN_MODE | introspection | introspection o jwt_secret para HS256 local. |
WAFPASS_JWT_SECRET | ninguno | Obligatorio para el modo jwt_secret ; debe coincidir con el backend. |
WAFPASS_ACCESS_TOKEN | ninguno | Token de Wombat para el modo stdio; opcional si lo guarda el asistente de configuración. |
WAFPASS_REFRESH_TOKEN | ninguno | Token de actualización para renovar automáticamente el token de acceso en modo stdio. |
WAFPASS_REFRESH_THRESHOLD_SECONDS | 300 | Renueva el token de acceso si caduca en menos de estos segundos. |
MCP_HOST | 0.0.0.0 | Host de escucha del puente en modo HTTP/SSE. |
MCP_PORT | 3001 | Puerto de escucha del puente en modo HTTP/SSE. |
LOG_LEVEL | INFO | Nivel de log. |
Lleva la IA a tu flujo de trabajo.
Instala el puente desde PyPI o GitHub, conéctalo a Claude Desktop y empieza a hacer preguntas en lenguaje natural sobre ejecuciones, hallazgos y controles.