MCPサーバーのセキュリティ

このページは、AIエージェントをDocsbookに接続することを承認する必要がある方を対象としています。ここでは、MCPサーバーが現在実際に行っていること、つまりクライアントの認証方法、各スコープでアクセスできる範囲、記録される内容、ネットワークの外部に送信される内容を説明し、そのうえで、DocsbookがModel Context Protocol仕様に準拠していない点と、まだ存在しないコンプライアンス関連の成果物を、それぞれ別の2つのセクションで示します。

ここに書かれている内容に、将来の計画を示すものはありません。管理策が存在しない場合は、存在しないものとして記載しています。

得られるもの#

接続されたクライアントは、1つのDocsbookアカウントに結び付けられた1つの不透明なベアラートークンを保持し、2つあるスコープのいずれか1つを持ちます。スコープは同意画面で人間が選択するものであり、クライアントが要求するものではありません。プロジェクトに対して動作するすべてのツールは、ownerによってそのプロジェクトを解決するため、他人に属するワークスペースIDを指定したトークンは、そのワークスペースではなく、何も取得できません。これがテナント間の境界であり、すべてのツールで維持されます。

読み取りと書き込みの境界は、2つのスコープ名から想像されるほど単純ではありません。以下のセクションでは、どのツールがこの境界を適用し、どのツールが適用しないのかを正確に説明します。読み取り専用トークンを封じ込め対策として扱う前に、これを読んでください。

従量計測の対象となる呼び出しはすべて、プロジェクト専用の呼び出しログに1行を書き込みます。使用したツール、入力された内容、返された内容、所要時間、消費したものが記録されます。引数と結果は保存前にキー単位で編集されるため、ツールに渡されたAPIキーが記録されることはありません。

得られないもの：トークンの有効期限、リフレッシュトークン、レート制限、アカウント内のロール、監査レポート。

認証の仕組み#

認可フロー#

Docsbook は独自の認可サーバーであり、独自のリソースサーバーでもあります。自身のために不透明なトークンを発行し、他者が発行したトークンを受け入れたり、転送したり、再利用したりすることはありません。

公開されているメタデータでは、パブリッククライアントモデル、つまり code_challenge_methods_supported: ["S256"]、token_endpoint_auth_methods_supported: ["none"]、grant_types_supported: ["authorization_code"] が宣言されています。クライアントシークレットも、クライアントクレデンシャルグラントもありません。

トークンとは#

トークンはプラットフォームの CSPRNG から取得した48バイトを、96文字の16進数として表現したものです。クレームは一切含まれず、アカウント、スコープ、失効タイムスタンプを保持する行へのルックアップキーです。

• 有効期限はありません。 expires_in は返されず、リフレッシュトークンも発行されません。トークンは失効されるまで有効です。
• 失効は即時に反映されます。 パネルから失効させると行に記録され、その後のすべての呼び出しでルックアップに失敗します。前段にキャッシュはありません。
• ハッシュ化されず、発行時のまま保存されます。 Docsbook MCP トークンはパスワードと同じように扱ってください。保持しているマシンが侵害された場合は、時間の経過で無効になると考えず、トークンを失効させてください。（保存時に暗号化されるものについては、ワークスペースから外部に出るものに記載されています。）
• 最終使用日時が記録されます。 すべての呼び出しで記録されるため、未使用のトークンもパネルのトークン一覧で確認できます。

各スコープで可能なこと#

スコープは完全一致で比較される単一の文字列です。書き込みスコープでないものはすべて読み取り専用として扱われ、認識されない値は安全側に倒して拒否されます。

現在、スコープチェックはすべての書き込みツールを対象としているわけではないため、その前提で計画してください。 スコープチェックが適用されるツールは、write_docs、create_issue、connect_source、configure_sourceの4つだけです。これらは何も実行する前に、読み取り専用トークンを拒否します。

その他の状態変更ツール — update_*およびset_*の設定書き込みツール、update_access、Webhookの登録と削除、目標とファネルの作成、翻訳のアップロード、承認と削除、create_workspace — は、スコープではなくプロジェクト所有権だけによって制限されています。したがって、読み取り専用トークンでも、アカウントが所有するプロジェクトの設定を変更したり、Webhookを有効化したり、翻訳を削除したりできます。ただし、ページをコミットしたり、課題を登録したり、ソースを接続したり、エージェントを有効化したりすることはできません。

読み取り専用スコープは「公開や新しい機能の接続はできない」と捉え、「何も変更できない」とは考えないでください。これ以上の封じ込めが重要な場合は、公開してもよいプロジェクトだけを所有する別のDocsbookアカウントを使用してください。これは設計ではなく、制限事項で改めて記載している不具合です。

チェックを適用するツールは、読み取り専用トークンに対して、ツール名と再認証方法を示す構造化されたREAD_ONLY_TOKENエラーを返します。単なる403でも、何も通知しないまま終了するものでもありません。プロジェクトの残高が空の場合も同じ形式が適用され（プロジェクト名、価格、残額を示すINSUFFICIENT_BALANCE）、プランにその機能が含まれていない場合も同様です（ティアを示すPLAN_RESTRICTION）。

匿名のsearchは、トークンなしでプロジェクトを読み取る唯一のツールであり、3つのケースで拒否されます。プロジェクトが指定されていないエンドポイントの場合、公開設定が非公開のプロジェクトの場合（期限切れのプランもこれに含まれます）、またクエリ埋め込みの支払いに使える残高がプロジェクトに残っていない場合です。プロジェクト引数を受け取らないため、読み取れるのは常に自分が固定されているサイトだけです。

1つのトークンでは到達できない範囲#

各ツールは、明示的な workspace_id、repo 引数、またはエンドポイント自体のピンから対象ワークスペースを解決しますが、いずれの場合もトークンのアカウントでフィルタリングされた状態で検索されます。アカウントが所有していないワークスペースは何も解決されず、ツールは「ワークスペースが見つかりません」と応答します。課金リゾルバーにも同じフィルターが適用されるため、他人のプロジェクト ID を指定しても、他人の残高から引き落とすことはできません。

さらに、意外に思われる2つの境界についても説明しておきます。

• write_docs は、Docsbook 独自の GitHub 資格情報を使用して、Docsbook がホストするリポジトリにコミットします。自身の GitHub アカウントにあるリポジトリから提供されるサイトは NO_GITHUB_ACCESS で拒否され、コミットされません。したがって、MCP トークンは GitHub 組織にプッシュするための手段ではありません。
• 監査モードで実行されているスキルは変更を加えられません。audit モードのスキルがアクティブな間は、明示的なライターのリストに加え、名前が update_、set_、register_webhook_、enable_、または disable_ で始まるすべてのツールが、実行前に拒否されます。サーバー側の実行全体に対して以前このモードを設定していたランナーは 12.09.2026 に削除されたため、現在このガードが保護するのは、audit スキルを事前に読み込んだターンと、それ以外に何もない場合だけです。

記録される内容#

メーター対象かどうか、成功したかどうかにかかわらず、すべてのMCP呼び出しはプロジェクトの呼び出し台帳に1行を書き込み、プロジェクトの所有者はFeedsパネルでそれを確認できます。

確認にあたっては、編集処理の2つの点が重要です。照合するのは値の形状ではなく、キーを大文字と小文字を区別せず、部分文字列として照合します。秘密情報がどのような形をしているかを推測する方法では、見逃してしまいます。また、処理は入力時だけでなく出力時にも実行されるため、入力内容をそのまま返すツールでも、結果を通じてキーが漏洩することはありません。各側は8,000文字で切り詰められ、何文字削除されたかを示すマーカーが付加されます。

閲覧者レベルの分析情報がMCPクライアントにIDを渡すことはありません。訪問者は仮名化されます。sha256(salt | repository | ip)は16桁の16進文字に切り詰められ、ソルトはサーバー側で保持されます。get_top_visitors、get_page_journeys、get_visitor_activityは、その仮名、国、ページレベルのイベントを返します。どのツールもIPアドレス、名前、メールアドレスを返しません。仮名のスコープは1つのリポジトリに限定されるため、あなたの2つのサイトを訪れた同じ閲覧者も、互いに無関係な2つのIDとして扱われます。

ワークスペースから外部に出るもの#

ドキュメントベンダーのセキュリティページで通常示される2つの主張を訂正します。

• 「コンテンツがリポジトリから外部に出ることは決してない」は、ここでは真実ではありません。 Docsbook は、ページ本文の検索可能なコピーとそのベクトル埋め込みを保存し、それらの埋め込みの作成やチャットおよびエージェント呼び出しへの回答のために、ページ本文をモデルプロバイダーへ送信します。正しいのは、GitHub が引き続き信頼できる唯一の情報源であるため、支払いを停止しても、従量制の処理が停止するだけで Markdown が削除されることはないという点です。
• 外部へのフェッチは、単に信頼されているのではなく、保護されています。 フェッチの前にスキームが確認され、ホスト名が解決され、解決されたアドレスがプライベートまたは予約済みの範囲にある場合は拒否されます。また、すべてのリダイレクト先でもチェックが再実行されるため、公開 URL から内部 URL へ転送することはできません。robots.txt は遵守され、レスポンスには上限が設定されます。スキルフェッチャーはさらに限定されており、カタログ自体のホストとパスプレフィックスからのみフェッチするため、任意の URL プロキシとして利用することはできません。

Webhookとチャットフックは同じものではありません#

外向きWebhookの配信には署名が付与されます。署名は、X-Docsbook-Signature-256: sha256=<hex>内でX-Docsbook-Eventとともに送信された正確なバイト列に対するHMAC-SHA256です。DiscordまたはSlackのIncoming Webhook URLは、署名する前に各プラットフォーム向けに変換されるため、署名は常にエンドポイントが実際に受信する内容を対象とします。シークレットは登録時に設定され、16文字以上であり、その後プレーンテキストで返されることはありません。配信の試行は15秒でタイムアウトし、レスポンスは切り詰められて保存されます。

チャットフックには署名がありません。ドキュメントアシスタントのpreフック、postフック、ストリーミングフックは、5秒のタイムアウトでHMACヘッダーのない単純なJSON POSTです。Webhookの検証コードをそこで再利用して、何かが検証済みだと考えないでください。preフックはinject_contextを返すこともでき、そのテキストはアシスタントのプロンプトに入ります。つまり、チャットフックの接続先にしたエンドポイントがアシスタントの発言内容に影響を与える可能性があるため、信頼できるインフラストラクチャとして扱い、別の手段で認証し、自分が管理していないURLを接続先に指定しないでください。

これが正しい方法である理由（根拠）#

もう1つ、私たちではなくクライアントに関係する点があります。MCP仕様は、クライアントに対して「信頼できるサーバーから提供されたものでない限り、ツールのアノテーションを信頼できないものとして扱う」こと、また「ツール呼び出しを拒否できる人間をループ内に置く」ことを求めています（MCPツール）。読み書き可能なDocsbookトークンは、まさにその人間による確認に値するケースです。

現在、Docsbook が MCP 仕様を満たしていない点#

これらは 2026-07-28 リビジョンに照らして評価したものです。いずれも仕様への異議ではなく、Docsbook における未対応事項です。

Docsbookにまだないもの#

レビューで3週目ではなく1時間でDocsbookを候補から外せるよう、一覧にしています。

2行目と4行目の機能と混同されることが多い機能が1つあります。プライベートワークスペースは、すべてのプランで、パスワードまたは update_access を通じた独自のOIDCプロバイダーによってゲートできます。これはドキュメントサイトの閲覧者向けのシングルサインオンです。Docsbookアカウントのメンバー向けのシングルサインオンではなく、MCPアクセスも付与されません。

組織で特定の書類 — GDPR DPA、BAA、記入済みの質問票など — が必要な場合は、support@docsbook.io に連絡して何が用意されているか尋ねてください。現時点では、存在しないという回答になる可能性も十分にあります。

制限事項と未解決の問題#

• 要確認：ホスティングリージョン。 このページでは、データベースや分析ストアのリージョンを意図的に記載していません。どちらもマネージドサービスであり、そのリージョンは、Docsbookの動作から読者が確認できるものではなく、デプロイ設定によって決まるためです。また、このページの以前のバージョンでは、出典のないリージョンが記載されていました。データレジデンシーがレビューの一部である場合は、現在の回答を書面でサポートに問い合わせてください。
• 仮名化された訪問者IDは、匿名化ではなく仮名化です。 これは、64ビットに切り詰めたIPアドレスのソルト付きハッシュです。ソルトと生のイベントストアの両方を持っている人は、そこから再導出できます。保証されているのは、ソルトがデータ内に存在せず、どのAPIもIPアドレスを返さないことです。これが規制当局の要件を満たすかどうかは、規制当局に確認してください。
• 読み書きトークンは、完全な管理者資格情報です。 「ページの編集は許可するが設定の変更は許可しない」や、「分析は読めるがチャットの記録は読めない」といった権限を付与する方法はありません。スコープには2つの段階しかありません。
• 読み取り専用スコープの適用は不完全です。 8つのツールはこれをチェックしますが、設定、Webhook、目標、翻訳の書き込みツールはチェックしません。また、それらのツールの説明には読み書きトークンが必要だと記載されているものがありますが、実際には何もチェックされません。これが解消されるまでは、信頼できる境界はスコープではなくアカウント所有権です。そのため、アカウント単位で分離し、ツールの説明ではなく、上記の適用対象リストを確認してください。
• ここに記載されている内容は、第三者による独立した検証を受けていません。 上記のすべての記述は、Docsbookの動作で確認できます。読み取り専用トークンを発行して書き込みツールが拒否することを確認したり、自分が所有していないプロジェクトを接続して解決されないことを確認したりできます。しかし、第三者による監査は行われていません。このページは、テスト可能な仕様として扱い、認証として扱わないでください。
• 提供状況と料金については、料金ページをご覧ください。 ドキュメントに記載した料金は気付かないうちに古くなるため、ここでは具体的な金額を記載していません。

関連#

• MCPサーバー — ツール自体と、呼び出しが何を参照するか
• エージェント対応コンテンツ — 4つのマシンサーフェスと、それらがどのように連携するか
• ドキュメントスキル — スキルの実行中にできること、できないこと
• Webhook — イベントスキーマ全体と署名の検証
• AIチャットフック — 署名なしのpre/post/ストリーミングフック
• ソース — エージェントがあなたに代わって読み取ることを許可されているもの