MCP-Server

Rekomi betreibt einen gehosteten MCP-Server unter https://mcp.rekomi.com/api/mcp. Wähle unten deinen KI-Client, füge zwei Werte ein, starte neu. Fertig.

Claude Desktop

Zwei Zeilen in claude_desktop_config.json einfügen. Neu starten.

Claude Code

Ein Befehl claude mcp add. Die CLI speichert die Konfiguration.

ChatGPT

Settings → Connectors → Add custom connector. Nur über die Oberfläche.

Cursor

In ~/.cursor/mcp.json eintragen. Gleiche JSON-Struktur wie bei Claude.

Windsurf

Cascade-Panel → MCP servers → Add. Streamable-HTTP.

Continue

In ~/.continue/config.json eintragen. Die Erweiterung neu starten.

Zed

In ~/.config/zed/settings.json unter context_servers eintragen.

Ein Verbindungstoken erzeugen

Jede Verbindung braucht ein rk_mcp_*-Token. Es ist der einzige Schlüssel, den dein KI-Client verwendet.

1. Melde dich bei app.rekomi.com an.
2. Öffne Einstellungen → KI-Assistent.
3. Klicke auf Verbindungstoken erzeugen, gib ihm einen Namen (z. B. Claude Desktop Laptop) und kopiere den rk_mcp_*-Wert. Er wird genau einmal angezeigt.

Nur der Owner kann Tokens erstellen. Bis zu 10 aktive pro Organisation. Du kannst sie jederzeit widerrufen; die Änderung greift innerhalb von etwa 10 Sekunden. Verfügbar in jedem Plan, auch während der Testphase.

Claude Desktop verbinden

Bearbeite deine claude_desktop_config.json:

{
  "mcpServers": {
    "rekomi": {
      "url": "https://mcp.rekomi.com/api/mcp",
      "headers": {
        "Authorization": "Bearer rk_mcp_YOUR_TOKEN_HERE"
      }
    }
  }
}

Starte Claude Desktop neu. Frag zur Kontrolle „Was ist in meinem Rekomi-Konto?“.

Claude Code verbinden

claude mcp add --transport http rekomi https://mcp.rekomi.com/api/mcp \
  --header "Authorization: Bearer rk_mcp_YOUR_TOKEN_HERE"

Die URL muss vor --header stehen. Das Flag --header ist variadisch, jedes Positionsargument dahinter wird also als weiterer Header geschluckt. Siehst du error: missing required argument 'commandOrUrl', liegt es daran.

Die CLI speichert die Konfiguration in ~/.claude.json, und spätere Sitzungen verbinden sich automatisch.

ChatGPT verbinden

ChatGPT bindet MCP-Server über die Connectors-Oberfläche auf chatgpt.com ein (Plus, Pro, Team, Enterprise, Rollout des Apps SDK 2026). Es gibt keine JSON-Konfiguration zum Einfügen; die Einrichtung läuft über die Oberfläche.

1. Öffne chatgpt.com → Profilmenü (unten links) → Settings → Connectors → Add custom connector.
2. Name: Rekomi.
3. MCP server URL: https://mcp.rekomi.com/api/mcp
4. Authentication: Custom header.
   • Header name: Authorization
   • Header value: Bearer rk_mcp_YOUR_TOKEN_HERE
5. Speichere. Starte einen neuen Chat, aktiviere den Rekomi-Connector und frag „Liste meine ausstehenden Rekomi-Affiliates auf“.

Cursor verbinden

Trage es in ~/.cursor/mcp.json (global) oder in .cursor/mcp.json im Stammverzeichnis deines Projekts ein:

{
  "mcpServers": {
    "rekomi": {
      "url": "https://mcp.rekomi.com/api/mcp",
      "headers": {
        "Authorization": "Bearer rk_mcp_YOUR_TOKEN_HERE"
      }
    }
  }
}

Windsurf verbinden

Öffne das Cascade-Panel und klicke auf das Hammer- oder Stecker-Symbol → MCP servers → Add server. Wähle den Transport Streamable-HTTP und füge ein:

{
  "mcpServers": {
    "rekomi": {
      "serverUrl": "https://mcp.rekomi.com/api/mcp",
      "headers": {
        "Authorization": "Bearer rk_mcp_YOUR_TOKEN_HERE"
      }
    }
  }
}

Starte Windsurf neu. Die Rekomi-Tools erscheinen im Cascade-Panel unter Available tools.

Continue verbinden

Trage es in ~/.continue/config.json unter experimental.modelContextProtocolServers ein und starte dann die Continue-Erweiterung neu:

{
  "experimental": {
    "modelContextProtocolServers": [
      {
        "transport": {
          "type": "streamable-http",
          "url": "https://mcp.rekomi.com/api/mcp"
        },
        "headers": {
          "Authorization": "Bearer rk_mcp_YOUR_TOKEN_HERE"
        }
      }
    ]
  }
}

Zed verbinden

Trage es in ~/.config/zed/settings.json unter context_servers ein:

{
  "context_servers": {
    "rekomi": {
      "source": "custom",
      "command": null,
      "settings": {
        "url": "https://mcp.rekomi.com/api/mcp",
        "headers": {
          "Authorization": "Bearer rk_mcp_YOUR_TOKEN_HERE"
        }
      }
    }
  }
}

So funktioniert es

KI-Assistenten sprechen MCP, um dein Affiliate-Programm zu lesen, Bewerbungen freizugeben, Ansprachen zu entwerfen, Embed-Tokens auszustellen und mehr, immer im Auftrag des Menschen, der fragt. Jeder Tool-Aufruf landet mit actor_type = mcp in deinem Audit-Log. MCP funktioniert in jedem Plan, auch während der Testphase; Plangrenzen nach Funktionsstufe (z. B. gibt es Embed-Tokens erst ab Growth) gelten trotzdem, egal wie der Aufruf ankommt.

Maschinenlesbare Dokumentation für KI-gesteuerte IDEs und Agents: diese Seite als reines Markdown unter https://rekomi.com/docs/developers/mcp.md, bei jedem Release neu erzeugt.

AI client  ──Bearer rk_mcp_xxx──►  mcp.rekomi.com/api/mcp
                                        │
                                        │ Forwards + co-signs:
                                        │   Authorization: Bearer rk_mcp_xxx
                                        │   X-Rekomi-MCP-Identity: t=<unix>,v1=<hmac>
                                        ▼
                                   api.rekomi.com/api/v1/*
                                        │
                                        │ Validates the HMAC, validates the token,
                                        │ checks role + scope, runs the action,
                                        │ logs to audit log with actor_type=mcp.
                                        ▼
                                   Your data

Das Token allein ist nutzlos. Das Backend lehnt jeden direkten Aufruf an api.rekomi.com mit einem rk_mcp_*-Token mit einem allgemeinen 401 { "error": "unauthorized", "message": "Missing or invalid credentials." } ab. Das vertrauenswürdige Relay unter mcp.rekomi.com ist der einzige Weg, der den HMAC erzeugt, den das Backend verlangt.

Als Transport dient MCP Streamable-HTTP im zustandslosen Modus: Jeder Tool-Aufruf ist eine in sich geschlossene JSON-RPC-Anfrage mit Antwort über HTTPS. Keine langlebigen Sitzungen, kein Upgrade auf SSE. Ein GET https://mcp.rekomi.com/api/mcp liefert einen kleinen JSON-Block zur Identität, den du als Gesundheitscheck nutzen kannst.

Verfügbare Tools

Es gibt 61 Tools (35 lesende und 26 sichere schreibende). Jedes Tool entspricht genau einem Rekomi-API-Endpunkt (bei den Tools für Installationsanleitungen einem lokalen Inhaltsregister). Zusammengesetzte Aufgaben (z. B. „gib jeden ausstehenden Affiliate frei“) entstehen in der Denkschleife deines KI-Clients, nicht in einem Tool. So wird dir jede einzelne Aktion zur Freigabe vorgelegt und landet in einer eigenen Zeile im Audit-Log.

Listenantworten mit Cursor-Paginierung sehen immer so aus: { "items": [...], "nextCursor": "…", "hasMore": true }. list_audit_log liefert stattdessen { "page", "pageSize", "total", "items" }.

Der Assistent ruft jedes Tool einzeln auf und zeigt dir das Ergebnis im Chat. Destruktive Tools und Tools, die Geld betreffen (approve_affiliate, reject_affiliate, import_affiliates, import_conversions), sollte der Nutzer bestätigen, bevor der Assistent sie ausführt. Führe bei einem Conversion-Import immer zuerst preview_conversion_import aus und prüfe das unbezahlte Guthaben, bevor du die Auszahlung mit confirmUnpaidPayout freigibst.

Rekomi mit dem Assistenten installieren

Der häufigste Einsatz des MCP-Servers ist genau das, wonach es klingt: „Hilf mir, Rekomi auf meiner Website zu installieren.“ Eine typische Sitzung läuft so ab.

1. Du startest einen Chat mit Claude (oder Cursor oder einem anderen Client, der MCP kann) und sagst „Hilf mir, Rekomi in meinem Shopify-Shop zu installieren.“
2. Der Assistent ruft get_org_profile auf, um zu prüfen, wer du bist und welchen Plan du hast.
3. Er ruft get_billing_state auf, um zu sehen, ob du Stripe schon verbunden hast. Ist stripeConnectLinked true, empfiehlt er den Stripe-Webhook-Weg; ist es false, lenkt er dich zu einer nativen Integration deines Zahlungsanbieters, zu Gutscheincodes oder zu S2S. Bei beehiiv, Kit, MailerLite, Ontraport oder GoHighLevel ruft er zuerst list_crm_integrations auf, denn dort ist die Plattformverbindung mit aktivem „Verkäufe gutschreiben“ die Installation.
4. Er ruft list_install_platforms auf und ordnet „Shopify“ dem Key shopify zu.
5. Er ruft get_install_recipe mit platformKey: shopify auf und führt dich im Chat durch die Schritte. Die Stolperfallen nennt er direkt mit (die native Rekomi-App für Shopify ist der Weg ohne Code; beim manuellen Fallback verbirgt Shopify Payments dein Stripe, und die Custom-Pixel-Sandbox kann keine externen Skripte laden; Shopify Collabs ist ein eigenes Produkt).
6. Hast du noch keine Kampagne angelegt, bietet der Assistent an, create_campaign aufzurufen, und lässt dich vorher Name, Slug, Provisionstyp und Wert bestätigen.
7. Ziehst du von einer anderen Plattform um, nimm lieber die eigenen Importer unter Einstellungen > Umzug. Es gibt 22 (Rewardful, Affonso, Tapfiliate, FirstPromoter, PartnerStack, Dub Partners, Tolt, Lemon Squeezy, Gumroad, impact.com, PromoteKit, LeadDyno, Trackdesk, Partnero, UpPromote, GoAffPro, ReferralCandy, Refersion, BixGrow, Shopify Collabs, Everflow und Post Affiliate Pro) (die API-Abrufe für Rewardful, FirstPromoter und Tolt bringen auch Leads, Klickzahlen seit Beginn und die Provisionshistorie mit; bei Gumroad wird die Verkaufshistorie nach der CSV mit der Affiliate-Liste über die API abgerufen). Für einen Ablauf mit dem Assistenten füge die E-Mail-Adressen deiner bisherigen Affiliates in den Chat ein. Der Assistent schickt allen mit bulk_invite_affiliates auf einmal Onboarding-E-Mails im Design deiner Marke. (Erfordert Starter oder höher mit aktivem bezahltem Abonnement.)

Was der Assistent nicht kann (Sicherheit)

Damit die Installation sicher bleibt, stellt der MCP-Server bestimmte Vorgänge bewusst nicht als Tools bereit:

• Der Assistent kann keine API-Schlüssel erzeugen. Braucht deine Installation einen rk_live_*-Bearer und ein rks_*-Signing-Secret (Gumroad / Rails / Django / jeder S2S-Weg), schickt dich der Assistent per Deep Link zu Einstellungen → API-Schlüssel, damit du selbst einen erzeugst, und bittet dich dann, den Schlüssel in den Chat einzufügen. Das MCP-Token kann sich nicht zu einem langlebigen API-Schlüssel ausweiten, der das MCP-Token selbst überdauert.
• Der Assistent kann keine neuen MCP-Tokens erstellen. Tokens erstellt nur der Owner, und nur über JWT.
• Der Assistent kann keine Auszahlungen ausführen, wiederholen oder zurückbuchen. Geldbewegungen verlangen eine interaktive Sitzung im Dashboard; MCP und API-Schlüssel bekommen beide 403 interactive_session_required. Der Assistent kann nur preview_payout aufrufen.
• Der Assistent kann die Abrechnung nicht ändern und keine Stripe-Checkout-Sitzungen öffnen. Entscheidungen zur Abrechnung bleiben beim menschlichen Owner; der Assistent kann den Abrechnungsstatus nur über get_billing_state lesen.

Wenn ein Tool zu fehlen scheint, ist das der Grund. Die Funktion ist bewusst nicht freigegeben.

Wie die Plangrenzen greifen

Im Rekomi-Backend gibt es zwei verschiedene Plangrenzen:

• Plangrenze der öffentlichen API: gilt pro Endpunkt für direkte Aufrufer mit API-Schlüssel (rk_live_*). Der Großteil von /api/v1/* verlangt Starter oder höher, was jeder aktuelle Plan erfüllt; einige Endpunkte wie der Export des Audit-Logs verlangen Pro. Aufrufe, die über den MCP-Server weitergeleitet werden, umgehen diese Grenze vollständig, jedes MCP-Tool funktioniert also in jedem Plan.
• Plangrenze nach Funktionsstufe: sperrt eine bestimmte Funktion für niedrigere Pläne, egal wie sie aufgerufen wird. MCP umgeht diese Grenze nicht. Heute betrifft das mint_embed_token (ab Growth) und eine Handvoll anderer Bereiche; ein Nutzer mit Starter, der mint_embed_token über MCP aufruft, bekommt plan_tier_required (HTTP 402).

Liefert ein Tool plan_tier_required, hilft ein Upgrade des Plans, kein anderes Token.

Sicherheitsmodell

• Aufbau des Tokens: rk_mcp_*, zufälliger Teil mit 256 Bit, base64url-kodiert. Gespeichert als SHA-256-Hash; der Klartext wird nie gespeichert.
• Einmalige Anzeige: Das vollständige Token wird nur beim Erstellen oder Rotieren angezeigt. Rotiere es, um den alten Wert ungültig zu machen.
• Erstellen nur durch den Owner: Nur der Owner einer Organisation kann MCP-Tokens erstellen, rotieren oder widerrufen.
• Obergrenze pro Organisation: 10 aktive Tokens pro Organisation.
• Scope Lesen und Schreiben: Jedes MCP-Token bekommt den Scope read_write; die Zustimmungsschleife pro Tool in deinem KI-Client ist die Freigabestelle für den Nutzer.
• Direkte Nutzung blockiert: Ein gestohlenes rk_mcp_* ist ohne das vertrauenswürdige Relay nutzlos. Direkte Aufrufe an api.rekomi.com werden mit einem allgemeinen 401 unauthorized abgelehnt; nur Anfragen über mcp.rekomi.com tragen den signierten Relay-Header, den die API verlangt.
• Bindung an das Relay: Der Relay-HMAC wird mit einem gemeinsamen Secret über {t}.{METHOD}.{path}.{body_sha256_hex} berechnet. Zeitfenster von ±300 s, Vergleich in konstanter Zeit. Replays, manipulierte Anfrageinhalte und vertauschte Methoden oder Pfade scheitern alle an der Prüfung.
• Wirkung eines Widerrufs: Widerrufene Tokens authentifizieren innerhalb von etwa 10 s auf allen Instanzen nicht mehr (begrenzt durch die TTL des Auth-Caches).
• Audit-Trail: Jeder Tool-Aufruf landet in deinem Audit-Log mit actor_type = mcp, der ID des aufrufenden Tokens, Aktion, Objekt und Zeitstempeln. Filtere unter Einstellungen → Audit-Log nach actor_type = mcp.
• Sperre bei Suspendierung: Bei einem gesperrten Konto stoppt jeder MCP-Aufruf innerhalb von Sekunden.
• Bereinigung personenbezogener Daten: Tokens und der Relay-Identitäts-Header werden aus den serverseitigen Fehlerberichten des MCP-Servers entfernt, bevor sie den Host verlassen.

Empfehlungen

• Nutze ein eigenes Token pro Gerät oder pro KI-Client. Geht ein Laptop verloren, widerrufst du nur dieses Token.
• Richte nur lesende Assistenten ein, indem du den Assistenten anweist, keine schreibenden Tools aufzurufen (die sechsundzwanzig schreibenden sind approve_milestone, request_milestone_changes, approve_affiliate, reject_affiliate, preview_payout, mint_embed_token, set_home_currency, set_program_sub_affiliate_config, create_campaign_coupon, generate_affiliate_coupon, revoke_affiliate_coupon, create_campaign, update_campaign, update_affiliate, create_conversion, create_affiliate_invite, bulk_invite_affiliates, update_attribution_params, import_affiliates, import_conversions, record_lead, review_fraud_event, ban_affiliate, validate_conversion, invalidate_conversion, dismiss_uncredited_conversion). Das Audit-Log hält den Assistenten trotzdem als Akteur fest.
• Behalte in den ersten Tagen dein Audit-Log unter Einstellungen → Audit-Log im Blick. Filtere nach actor_type = mcp, um genau zu sehen, was der Assistent getan hat.
• Füge dasselbe Token nicht in mehrere Clients ein, die du später nicht einzeln widerrufen kannst. Ein Token pro Oberfläche hält den möglichen Schaden klein.

Fehlerbehebung

• 401 unauthorized bei einem direkten API-Aufruf: Dein KI-Client spricht api.rekomi.com direkt mit einem MCP-Token an; direkte Aufrufe werden mit dem allgemeinen 401 abgelehnt. Richte ihn stattdessen auf https://mcp.rekomi.com/api/mcp.
• plan_tier_required (HTTP 402) bei einem bestimmten Tool: Das Tool ist an einen höheren Plan gebunden (z. B. mint_embed_token ab Growth). Mach ein Upgrade des Plans oder nimm ein Tool, das in deiner Stufe verfügbar ist. Ein Wechsel des Tokens hilft nicht, die Plangrenzen nach Funktionsstufe gelten auch für MCP-Traffic.
• unauthorized (HTTP 401) bei jedem Aufruf: Das Token ist falsch, widerrufen oder rotiert. Erzeuge unter Einstellungen → KI-Assistent ein neues.
• Die Tool-Liste lädt, aber jedes Tool liefert 401: Das Backend kann den Relay-Header nicht prüfen. Meist ist das Relay-Secret auf einer Seite veraltet; wende dich an den Support.
• Claude Code sendet nach dem Rotieren noch das alte Token: Claude Code speichert den Bearer-Header fest in ~/.claude.json. Das Rotieren des Tokens im Rekomi-Dashboard kommt dort nicht an. Führe claude mcp remove rekomi aus und danach erneut claude mcp add … mit dem neuen Token.
• Claude Code protokolliert SDK auth failed: JSON Parse error: harmlos. Manche MCP-Clients fragen /.well-known/oauth-protected-resource ab; der Server antwortet mit einem sauberen JSON-404 und macht mit der Bearer-Authentifizierung weiter.
• „Re-authenticate“ unter /mcp tut nichts: Dieser Menüpunkt ist für Server mit OAuth-Ablauf gedacht; Rekomi nutzt einen festen Bearer-Header. Tausche die Zugangsdaten mit claude mcp remove + claude mcp add.

Siehe auch

• Referenz der öffentlichen API
• Audit-Log
• Maschinenlesbares Manifest: rekomi.com/docs/developers/mcp.md