Подключение и регистрация
Начните с Codex Local или MCP Inspector. Для своего приложения используйте регистрацию OAuth-клиента. ChatGPT и Claude находятся в процессе подготовки; карточка сервиса в каталогах пока не опубликована.
Адреса и OAuth
- MCP endpoint:
https://mcp.webmoney.com/mcp(Streamable HTTP). - Authorization server:
https://id.web.money. - Передаваемый клиентом OAuth resource:
https://mcp.webmoney.com/. Зарегистрированная audience официальных приложений:https://mcp.webmoney.com. Не меняйте эти значения и callback самостоятельно. authorization_codeс PKCES256используется для входа.offline_accessзапрашивает работу с refresh token при поддержке провайдера и клиента;refresh_token— grant для обновления access, а не отдельное право на кошелёк.
Public/native приложение использует token_endpoint_auth_method=none, без client secret. Confidential/server приложение может использовать client_secret_basic, храня secret только на сервере. Callback должен точно совпадать с регистрацией. Отдельные примеры.
Выбирайте минимальные scopes для задачи. Официальные локальные профили показывают свой полный набор явно; не меняйте чужую регистрацию ради сокращения прав. Доступ дополнительно ограничивается правами WebMoney: кошельками, возможностями, OAuth-приложениями и IPv4. Подробнее о делегировании и сроках.
10 инструментов: задача и OAuth scope
| Инструмент | Задача | Требуемый scope |
|---|---|---|
wallet_check_credentials |
Проверить текущую идентичность и доступные права; новых полномочий не выдаёт | Аутентифицированный доступ к Gateway |
wallet_get_balance |
Узнать кошельки и остатки | wm.balance.read |
wallet_get_transaction_history |
Найти операции за период | wm.transactions.read |
wallet_get_messages |
Прочитать сообщения | wm.messages.read |
wallet_get_incoming_invoices |
Посмотреть выставленные вам счета | wm.invoices.manage |
wallet_get_outgoing_invoices |
Посмотреть выставленные вами счета | wm.invoices.manage |
wallet_send_message |
Отправить сообщение указанному получателю | wm.messages.send |
wallet_create_invoice |
Выставить счёт | wm.invoices.manage |
wallet_refuse_or_cancel_invoice |
Отказаться от входящего или отменить исходящий счёт | wm.invoices.manage |
wallet_transfer |
Перевести средства или оплатить счёт | wm.transfers.create |
wm.recipients.resolve требуется дополнительно, когда выбранный сценарий ищет получателя по описанию через resolver. Это условное право, а не одиннадцатый инструмент. При точном идентификаторе без resolver оно не добавляется только из-за самого наличия write-вызова.
Права WebMoney и направление счёта
OAuth scope не заменяет внутреннее право. Для входящих счетов чтение и direction=incoming при отказе требуют возможности trans у получателя. Для исходящих счетов чтение, создание и direction=outgoing при отмене используют inv у выставившего счёт. Это разные роли даже при одинаковом OAuth scope wm.invoices.manage.
Оплата счёта выполняется через wallet_transfer с invoice_id и остальными обязательными полями схемы инструмента. wallet_create_invoice только выставляет счёт. Отказ и отмена не являются оплатой.
Чтение и частичные результаты
wallets[] и wallets_summary описывают доступные кошельки; wallet_id — идентификатор кошелька. Для истории, сообщений и счетов задайте date_start и date_finish в формате YYYY-MM-DDTHH:MM:SS. Сверяйте credential_wallet/wallet_id и контекст права.
Проверяйте partial_errors[]: часть прав может вернуть данные, а часть — ошибку. Не объявляйте такую выдачу полной и не считайте отсутствие элементов доказательством отсутствия всех операций. Проверяйте success, error_code и MCP isError; при ошибке с неизвестным исходом write не повторяйте его вслепую.
Реальные изменения и подтверждение
Write-capable инструменты используют защитные параметры своей схемы. Для реального действия нужны dry_run=false и confirm_real_operation=true, где они предусмотрены. Проверяйте получателя, кошелёк, сумму, валюту и счёт до вызова.
confirm_real_operation — параметр вызова клиента, а не 2FA пользователя и не независимый экран подтверждения. Получение чувствительных прав защищается при делегировании; Gateway затем проверяет действующий токен и предоставленные полномочия. Модель безопасности.
Будущие каталожные интеграции
Ограниченный профиль ChatGPT/Claude — отдельный этап. Сервер должен проверять ограничения соответствующего OAuth-клиента на каждом tools/call. Скрытие инструмента или удаление только wm.transfers.create недостаточно: wm.invoices.manage разрешает также создание, отказ и отмену счетов. Текущий Gateway под новый профиль не перестраивался.
Схемы, ошибки и помощь
Точные аргументы и результаты публикует MCP tools/list. Совместимый адрес Gateway /docs сохраняется как вход в этот справочник. Начните с короткого FAQ; для поддержки передавайте безопасный код и correlation/request ID, без токенов, secret, cookies и HAR.