Cork

Name: Cork
Author: WYRE-AI

作者：WYRE-AIバージョン 1.0.1i★ –iパソコンで動く

レジストリ名io.github.WYRE-AI/cork-mcp

インストール

概要

作者による説明（英語の原文）

MCP server for Cork's cyber-insurance API for MSPs.

PopNx MCPの3つの柱

この3つを1つのスコアにまとめることはしません。意見、測定、人気はそれぞれ別のものだからです。

利用者の声iレビューはまだありませんレビューは今後のステップで、アカウント機能と一緒に始まります
私たちの基本チェックi1項目中1項目に合格公開情報からチェック。コードはまだスキャンしていません
利用状況iとても新しい★ –

できること

このサーバーのやさしい解説はまだ書いていません。以下はレジストリから読み取った事実です。

接続方法: パソコンで動く
トランスポート: stdio
カテゴリ: 会計・財務・税務
入力が必要なもの：CORK_API_KEY

インストール

使っているAIアプリを選んで、設定をコピーしてください。

インストールの前に

基本チェック：1項目中1項目に合格
あなたのパソコンで、あなたのユーザーと同じ権限（ファイル、ネットワーク、アプリ）で動きます。
自分で入力するもの： CORK_API_KEY, MCP_TRANSPORT, AUTH_MODE, LOG_LEVEL

「秘密」と表示された値は、あなたのアカウントの鍵です。絶対に人に教えたり、チャットに貼り付けたりしないでください。

必要なもの

DockerDockerのインストール

どのアプリを使っていますか？

ClaudeClaude CodeCursorVS CodeChatGPT

上でアプリを選んでください。選んだアプリを覚えておくので、次からはボタンに「…にインストール」と表示されます。

Claude Desktop → Settings → Developer → Edit Config を開き、claude_desktop_config.json にこれを貼り付けます

{
  "mcpServers": {
    "cork": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "CORK_API_KEY",
        "-e",
        "MCP_TRANSPORT",
        "-e",
        "AUTH_MODE",
        "-e",
        "LOG_LEVEL",
        "ghcr.io/wyre-ai/cork-mcp:v1.0.1"
      ],
      "env": {
        "CORK_API_KEY": "your-value",
        "MCP_TRANSPORT": "your-value",
        "AUTH_MODE": "your-value",
        "LOG_LEVEL": "your-value"
      }
    }
  }
}

ターミナルでこれを実行します

claude mcp add cork --env CORK_API_KEY=your-value --env MCP_TRANSPORT=your-value --env AUTH_MODE=your-value --env LOG_LEVEL=your-value -- docker run -i --rm -e CORK_API_KEY -e MCP_TRANSPORT -e AUTH_MODE -e LOG_LEVEL ghcr.io/wyre-ai/cork-mcp:v1.0.1

動かす前に、空欄の値を入力してください。

Cursorで開く

または、設定を自分でコピーする

プロジェクトの .cursor/mcp.json、または ~/.cursor/mcp.json に貼り付けます

{
  "mcpServers": {
    "cork": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "CORK_API_KEY",
        "-e",
        "MCP_TRANSPORT",
        "-e",
        "AUTH_MODE",
        "-e",
        "LOG_LEVEL",
        "ghcr.io/wyre-ai/cork-mcp:v1.0.1"
      ],
      "env": {
        "CORK_API_KEY": "your-value",
        "MCP_TRANSPORT": "your-value",
        "AUTH_MODE": "your-value",
        "LOG_LEVEL": "your-value"
      }
    }
  }
}

ブラウザがアプリを開いてよいか確認し、そのあとアプリが設定を表示して確認を求めます。キーの値は空欄のままなので、自分で入力してください。

VS Codeで開く

または、設定を自分でコピーする

プロジェクトの .vscode/mcp.json に貼り付けます

{
  "servers": {
    "cork": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "CORK_API_KEY",
        "-e",
        "MCP_TRANSPORT",
        "-e",
        "AUTH_MODE",
        "-e",
        "LOG_LEVEL",
        "ghcr.io/wyre-ai/cork-mcp:v1.0.1"
      ],
      "env": {
        "CORK_API_KEY": "your-value",
        "MCP_TRANSPORT": "your-value",
        "AUTH_MODE": "your-value",
        "LOG_LEVEL": "your-value"
      }
    }
  }
}

これはパソコンで動くサーバーですが、ChatGPTがつなげるのはインターネット上のサーバーだけです。ほかのアプリを選んでください。

選んだアプリは、この端末のCookieに保存されます。アカウントは不要です。

自分で入力する値

CORK_API_KEY 秘密必須 env
Cork API key (Bearer token, generated in Cork's Admin UI). It only ever holds a live bearer key.
MCP_TRANSPORT env
Transport mode for the server. Set to 'stdio' for local CLI use; the image defaults to 'http' for gateway hosting.
AUTH_MODE env
Credential source: 'env' reads vars locally, 'gateway' expects header injection from the WYRE MCP Gateway.
LOG_LEVEL env
Log verbosity: debug, info, warn, error

この設定は、作者のレジストリ登録情報から作成しています。READMEと違う場合は、READMEに従ってください。

できること

パソコンで動くサーバーです。インストールすると、ツール一覧がAIアプリに表示されます。

基本チェックi

誰でも見られる情報をチェックしており、コードは読んでいません。当てはまらない項目は数に入れていません。 · 2026年11月9日にチェック

✓ 合格
作者とリポジトリが一致
レジストリ名は、リポジトリを所有するGitHubアカウント WYRE-AI で確認済みです
… 未チェック
今もメンテナンスされている
このリポジトリはまだGitHubから読み取っていません
… 未チェック
ライセンスがある
このリポジトリはまだGitHubから読み取っていません
– 対象外
エンドポイントが応答する
これはパソコンで動くため、インターネット上のエンドポイントはありません
– 対象外
OAuthでサインイン
パソコンで動き、代わりにローカルの設定を使います
… 未チェック
ツールの説明に隠れた指示がない
パソコンで動くサーバーです。ツール一覧を読み取れるのは、インターネット上のエンドポイントがある場合だけです

会計・財務・税務のほかのサーバーとの比較i

このカテゴリのほかの2964件のうち0%よりスターが多い
このカテゴリのほかの2964件のうち64%より最近レジストリに公開
基本チェックの結果が、このカテゴリのほかの2964件のうち100%と同じかそれ以上

レジストリでこのカテゴリにある有効なすべてのサーバーと比較しています。スターは、公開者がリポジトリの所有者である場合だけ数えます。

よくある質問

Corkは安全ですか？

当てはまる基本チェック1項目のうち1項目に合格しました。コードは読んでいません。キーやトークンを追加する前に、サーバーがどんなアクセスを求めているかを確認し、必要な権限だけを持つキーを使ってください。

どんなキーやコードが必要ですか？

入力が必要なもの：CORK_API_KEY

パソコンで動きますか、それともクラウドですか？

あなたのパソコンで動きます。必要なときにAIアプリが起動し、データは作者のサーバーを通りません（サーバー自体がオンラインサービスを呼び出す場合を除きます）。

今もメンテナンスされていますか？

GitHubリポジトリの最終更新は–、最新バージョン（1.0.1）がレジストリに届いたのは17 日前です。

どのアプリで使えますか？

Claude Desktop、Claude Code、Cursor、VS CodeなどのMCP対応アプリで使えます。パソコンにDockerも必要です。

代わりに使えるものは？

同じカテゴリには：Finance Toolkit, SolidInvoice, Korea Tax Calculator

代わりの候補

同じカテゴリで、ほかの作者が作ったサーバー。スターの多い順。

カードの見方：↓ 週あたりのダウンロードi★ GitHubスターi3つの柱：レビュー · チェック · 利用状況i更新＝最新バージョンをレジストリに公開した日i

Finance Toolkit

500+ transparent financial methods calculated from raw statements, not third-party endpoints.

作者：JerBouma広く使われている↓ 1.6万/週★ 5496一昨日更新

パソコンでもクラウドでも

インストール

SolidInvoice

Create and send invoices and quotes, manage clients, and track payments in SolidInvoice.

作者：SolidInvoice成長中★ 98110 日前更新

クラウドで動く✓ solidinvoice.co

インストール

Korea Tax Calculator

Korean tax calculation and tax-audit judgment MCP: 96 tools with statutory citations.

作者：UpstageAI成長中↓ 3172/週★ 97今日更新

パソコンで動く

インストール

作者のREADME

READMEを開く

作者のリポジトリから書かれたとおりにコピーしたものです。PopNx MCPは内容を確認・推奨していません。HTML、画像、スクリプトは取り除いています。リンクはこのサイトの外へ移動します。

Cork MCP Server

MCP server for Cork's cyber-insurance API for MSPs - clients and their warranty/coverage status, Cork Cyber Score history, risk & compliance events, software vulnerabilities (CVE/CVSS/EPSS/KEV), connected integrations, invoices, distributor partners, and software-installer metadata - for AI assistants and the WYRE Conduit gateway.

Authentication

Cork authenticates with a static Bearer API key, generated in Cork's Admin UI (Settings -> API). Cork's OpenAPI spec also documents an OAuth2 flow for their own remote MCP server, but the underlying credential is the same API key - this connector never performs an OAuth dance, it only ever holds a live bearer key, sent as Authorization: Bearer to Cork's API. In gateway mode the key arrives per-request via the X-Cork-Api-Key header; in local/stdio mode it's read once from CORK_API_KEY.

Configuration

Env var	Description
`CORK_API_KEY`	Bearer API key issued by Cork's Admin UI.
`MCP_TRANSPORT`	`stdio` (default) or `http`.
`AUTH_MODE`	`env` (default, reads the var above) or `gateway` (credential arrives per-request via the `X-Cork-Api-Key` header, injected by the Conduit gateway).
`CONDUIT_S2S_SECRET`	When set, the HTTP transport requires a valid `X-Gateway-S2S` header (Conduit sidecar auth) on every `/mcp` request.
`LOG_LEVEL`	`debug` \	`info` (default) \	`warn` \	`error`.

Request limits

HTTP request bodies are capped at 256 KiB (262144 bytes). After the X-Gateway-S2S check (and, in gateway mode, the X-Cork-Api-Key presence check, both 401) passes, a Content-Length above the cap returns 413 with a JSON-RPC error; bodies without Content-Length are capped by the MCP SDK transport. Unauthenticated requests still get 401 first.
tools/call arguments are capped at 10,000 elements (every array item and object key at any depth). Larger inputs return an isError tool result and are never dispatched.

These limits address CVE-2026-111768 / GHSA-46jr-4wx8-v453 (memory exhaustion during validation) and GHSA-f897-62hf-6gxq (no request body / batch cap).

Tools

Clients

cork_get_clients - list clients with warranty status, integration tenants, and recent Cork Cyber Scores.
cork_get_client_devices - list devices observed for a client across all connected integrations.
cork_get_client_domains - list email domains observed for a client.
cork_get_client_inboxes - list email inboxes observed for a client.
cork_get_client_score_history - list a client's full Cork Cyber Score history, newest first.

Risk & Compliance

cork_get_compliance_events - list policy violations and risk events detected for a client's assets.
cork_get_compliance_notification_settings - list notification/alerting rules for compliance events.
cork_get_compliance_event_types - list all compliance event types with descriptions and cure periods.
cork_get_software_vulnerabilities - list individual CVEs with CVSS/EPSS/KEV details.
cork_get_software_vulnerability_summary - get a rollup of CVEs grouped by software product.

Integrations - read-only subset

cork_get_available_integrations - list integration types that can be connected to Cork.
cork_get_connected_integrations - list integrations connected to Cork.
cork_get_integration_devices - list devices observed from an integration.
cork_get_integration_tenants - list customer tenants observed from an integration.
cork_get_integration_users - list users observed from an integration.

Warranty

cork_get_warranties - list active cyber warranty packages.

Invoice

cork_get_invoices - list billing invoices.
cork_get_invoice_line_items - list billed line items for an invoice.

Distributor - read-only subset

cork_get_partners - list partner sub-accounts managed by this distributor.

Software Installer - read-only subset

cork_get_installer_history - list past software install attempts.
cork_get_software_packages - list software packages available to install.
cork_get_installer_setup - get one-time RMM setup instructions for software installs.

Who

cork_who_am_i - get information on the authenticated user.

Scope

This is a deliberately narrow, read-only, non-credential-exposing v1 surface, hard-scoped to exactly 23 of Cork's 31 operations (29 documented paths). Every tool is classified isAdmin: true in the Conduit gateway given the sensitivity of insurance/risk/compliance data. Roughly a third of Cork's full API is write- or secret-exposing; none of it is implemented here, by design, not by oversight:

Hard-excluded (credential-exposing) - never implemented:

GET /integrations/{uuid}/credentials (get-integration-credentials) - returns the integration's raw stored third-party secrets (credentials: {...}).

Hard-excluded (bulk raw-data exfiltration, excluded out of caution alongside credentials):

GET /integrations/{uuid}/raw-data (get-integration-raw-data) - returns a presigned download URL (10-minute expiry) to a client's full raw synced integration data. Not a credential return, but a bulk-data-exfiltration vector gated by "requires distributor privileges" in Cork's own spec. Flagged explicitly for review in the wiring PR rather than silently included.

Hard-excluded (provisioning/mutation) - never implemented:

POST /distributor/partners (provision-partner) - provisions a new Partner account.
POST /integrations (connect-integration) - connects a new integration and immediately begins syncing data.
PATCH /integrations/{uuid} (update-integration) - updates an integration's name and/or credentials.
DELETE /integrations/{uuid} (delete-integration) - deletes an integration.
POST /integrations/{uuid}/resync (resync-integration) - manually triggers a data refresh.
POST /software/installer/install (install-software) - dispatches a real software install to a real managed endpoint through the client's RMM. A genuine remote-software-provisioning action.

They can be added as a follow-up if there's demand, after a deliberate scope decision - not by default.

Credential scope

This connector's own code is read-only by construction — the underlying API key is not. Cork's own documentation states API key permissions are linked to the user who creates them; no read-only or restricted-scope key type is documented. Two separate claims, kept at different confidence levels:

Structurally verified (checked directly, stated with full confidence): this connector's own code makes zero write/delete/resync/provisioning calls, and never calls the credentials or raw-data endpoints. Every function in client.ts calls one of the 23 documented read operations above — no wildcard/passthrough call anywhere in src/.
Vendor-documented, not independently verified (hedged deliberately): Cork's own docs do not describe any narrower or read-only API key type. A key generated by a full-access Cork user can very likely reach the write/delete/credentials/raw-data operations this connector excludes — this has not been tested against a live key, and WYRE found no vendor-offered way to restrict it further at the credential level.

Do not read this connector, or this README, as having established the underlying API key is itself restricted — only that this connector's own code never attempts anything beyond its 23 read operations.

Development

npm install

npm run build npm test npm run lint # tsc --noEmit

Docker

docker build -t cork-mcp .

docker run -p 8080:8080 -e CORK_API_KEY=... cork-mcp

Cork

概要

PopNx MCPの3つの柱

できること

インストール

インストールの前に

自分で入力する値

できること

基本チェックi

作者とリポジトリが一致

今もメンテナンスされている

ライセンスがある

エンドポイントが応答する

OAuthでサインイン

ツールの説明に隠れた指示がない

会計・財務・税務のほかのサーバーとの比較i

よくある質問

代わりの候補

Finance Toolkit

SolidInvoice

Korea Tax Calculator

作者のREADME

Cork MCP Server

Authentication

Configuration

Request limits

Tools

Clients

Risk & Compliance

Integrations - read-only subset

Warranty

Invoice

Distributor - read-only subset

Software Installer - read-only subset

Who

Scope

Credential scope

Development

Docker