Public README

<!--  favicon (mcp.esa.ioで利用) https://img.esa.io/uploads/production/attachments/105/2026/10/20/11/e4ead3fe-671f-4307-88ea-c6e70389c538.png -->

<!-- __set_og_image__ https://img.esa.io/uploads/production/attachments/105/2026/10/20/11/abf5a78e-41ba-4a7b-88af-532176d313ea.png -->

## 接続のしくみ

AI アシスタントは OAuth でリモートMCPサーバーに接続します。esa のパスワードや API トークンを AI アシスタントに渡す必要はありません。

- 認可の画面で、利用者本人がチームを選んで許可したときだけ接続できます。
- AI アシスタントに発行するトークンは、リモートMCPサーバー専用です。esa API にそのまま渡すことはなく、リモートMCPサーバーの中で API 用の短命なトークンに交換してから esa にアクセスします。
- トークンの有効期限は、アクセストークンが __2__ 時間、リフレッシュトークンが __30__ 日です。

```mermaid
  sequenceDiagram
   actor U as 利用者
   participant AI as AI アシスタント
   participant MCP as esa リモートMCPサーバー
   participant esa as esa（認可・API）

   U->>AI: esa のリモートMCPサーバーを設定
   AI->>esa: アプリの自動登録（リダイレクト先を申告）
   esa-->>AI: 許可ホストなら登録、それ以外は拒否
   AI->>esa: OAuth 認可リクエスト
   esa->>U: 認可画面（チームを選んで許可）
   U->>esa: 許可
   esa-->>AI: リモートMCPサーバー専用トークン

   U->>AI: 例「〇〇の記事を探して」
   AI->>MCP: ツール呼び出し（専用トークン）
   MCP->>esa: 専用トークンを API 用の短命トークンに交換
   esa-->>MCP: 短命トークン
   MCP->>esa: esa API（短命トークン）
   esa-->>MCP: 結果
   MCP-->>AI: 結果
```

## アクセスの制御

### 接続できる AI アシスタント

リモートMCPサーバーへの接続は、AI アシスタントが esa にアプリとして自動登録(Dynamic Client Registration)してから始まります。登録できるのは、認可後に戻る先(リダイレクト先)が次のいずれかの場合です。

| サービス | リダイレクト先のホスト |
|---|---|
| Claude | `claude.ai` |
| ChatGPT | `chatgpt.com` |
| Devin | `api.devin.ai` |
| Linear | `linear.app` |
| Muse | `agent.meta.ai` |
| 手元の PC で動く AI アシスタント | `localhost` / `127.0.0.1` / `[::1]` |

### チームの Owner による制御

__SETTINGS__ > __API・アプリ・MCP__ > __アクセス設定__ の __リモートMCP・esa CLI の OAuth__ で、チームでの利用を次のいずれかに設定できます。

| 設定 | 内容 |
|---|---|
| すべてのアクセスを許可する | すべてのメンバーが制限なく利用できます |
| ポリシーにより制限する | 利用できるスコープやカテゴリを __アプリアクセスポリシー__ で制限します |
| ポリシーにより制限し、Owner の承認を必要とする | ポリシーで制限したうえで、Owner が承認したメンバーだけが利用できます。承認は後から取り消せます |
| すべてのアクセスをブロックする | チームでの利用を禁止します。設定した時点で、接続済みのアクセスも止まります |

### 利用者本人による取り消し

__個人設定__ > __その他__ > __PAT / OAuth Apps__ の __認可済み外部アプリ__ から、許可を取り消せます。

### メンバーの削除・退会

メンバーをチームから削除した時点で、そのメンバーのトークン（リフレッシュトークンを含む）は無効になります。esa のアカウントを削除した場合も同じです。

## データの取り扱い

- リモートMCPサーバーは、AWS の東京リージョンで動いています。
- AI アシスタントとのやり取りの本文（リクエストとレスポンスの中身）は保存しません。
- 利用状況の統計のため、呼び出されたツールの名前・ユーザー ID・User-Agent をログに記録し、2 年間保存します。
- リモートMCPサーバーを通じて受け取ったデータを、サービスの提供以外の目的に使うことはありません。
- リモートMCPサーバーの中で、外部の LLM API などのサービスにデータを送ることはありません。

プライバシー情報全般の取り扱いは、[プライバシーポリシー](https://docs.esa.io/posts/6) をご覧ください。

## 監査ログ

リモートMCPサーバーを通じた esa への操作は、__SETTINGS__ > __API・アプリ・MCP__ > __API監査ログ__ に記録されます。

- 記録されるのは、操作の種類と対象の記事（記事番号・記事名）です。ツールの名前や検索語は記録されません。
- 保存期間は __180__ 日です。
- CSV 形式でエクスポートできます。

## 提供しているツール

リモートMCPサーバーは、公開している [esa MCP サーバー](https://github.com/esaio/esa-mcp-server) と同じツールを提供しています。ツールの追加や変更は [Releases](https://github.com/esaio/esa-mcp-server/releases) で確認できます。