Einen Assistenten verbinden

Ocost ist auch ein Model-Context-Protocol-Server (MCP). Verbinden Sie Claude Desktop, Claude Code, Cursor oder einen anderen Assistenten, und er durchsucht Ihre Belege, liest sie, fragt Ihre Zahlen ab und schickt Dateien. claude.ai und ChatGPT verbinden sich über OAuth statt mit einem Schlüssel.

Der Server

https://api.ocost.io/public/mcp
Authorization: Bearer ocost_sk_<id>_<secret>

Der Server spricht Streamable HTTP und hält keine Sitzung, jede Anfrage steht also für sich. https://app.ocost.io/public/mcp ist derselbe Server. Geben Sie jedem Assistenten einen eigenen Schlüssel mit nur den Berechtigungen, die er braucht. Dann sehen Sie seine letzte Nutzung unter Einstellungen › API und können ihn allein widerrufen. MCP-Werkzeuge listet jedes Werkzeug mit Berechtigung und Argumenten.

Claude Code

Fügen Sie den Server mit Ihrem Schlüssel aus der Umgebung hinzu:

claude mcp add --transport http ocost https://api.ocost.io/public/mcp \
  --header "Authorization: Bearer $OCOST_KEY"

claude mcp list zeigt ocost danach als verbunden. Um den Server in einem Repository zu teilen, legen Sie ihn in .mcp.json ab. Der Schlüssel bleibt in der Umgebung jedes Entwicklers, nie in der Datei:

{
  "mcpServers": {
    "ocost": {
      "type": "http",
      "url": "https://api.ocost.io/public/mcp",
      "headers": { "Authorization": "Bearer ${OCOST_KEY}" }
    }
  }
}

Claude Desktop

Öffnen Sie Einstellungen › Entwickler › Konfiguration bearbeiten und tragen Sie Ocost in claude_desktop_config.json ein. mcp-remote leitet die Anfragen mit Ihrem Header weiter und braucht Node.js.

{
  "mcpServers": {
    "ocost": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote@0.15.2",
        "https://api.ocost.io/public/mcp",
        "--header",
        "Authorization:${OCOST_AUTH}"
      ],
      "env": { "OCOST_AUTH": "Bearer ocost_sk_…" }
    }
  }
}

Starten Sie Claude Desktop neu, dann stehen die Werkzeuge unter dem Werkzeug-Knopf. Halten Sie Authorization:${OCOST_AUTH} frei von Leerzeichen, denn manche Clients trennen Argumente dort.

Cursor

Tragen Sie Ocost in ~/.cursor/mcp.json ein, oder in .cursor/mcp.json eines Projekts:

{
  "mcpServers": {
    "ocost": {
      "url": "https://api.ocost.io/public/mcp",
      "headers": { "Authorization": "Bearer ${env:OCOST_KEY}" }
    }
  }
}

claude.ai und ChatGPT

Diese Apps fügen Server nur über OAuth hinzu. Sie brauchen keinen Schlüssel: Sie melden sich bei Ocost an und erlauben den Zugriff.

1. Fügen Sie einen eigenen Konnektor hinzu. In claude.ai unter Einstellungen › Konnektoren › Benutzerdefinierten Konnektor hinzufügen. In ChatGPT als eigenen Konnektor im Entwicklermodus.
2. Tragen Sie nur die URL https://api.ocost.io/public/mcp ein. Client-ID und Secret bleiben leer.
3. Melden Sie sich bei Ocost an, wenn die App es öffnet. Gehören Sie zu mehreren Unternehmen, wählen Sie eines unter Anderes Unternehmen.
4. Haken Sie die Berechtigungen an, die Sie erlauben, und bestätigen Sie. Nur Inhaber und Buchhaltung dürfen den Zugriff erlauben.

Die App handelt dann als Sie, mit Ihren Rechten. Sie bekommt einen eigenen Schlüssel, unter Einstellungen › API als „<App> (Connector)“ gelistet. Widerrufen Sie ihn, um die App sofort zu trennen. Die App erneuert ihr Zugriffstoken jede Stunde selbst. Nach 30 Tagen ohne Nutzung endet die Verbindung, und Sie verbinden die App erneut.

Bauen Sie selbst einen OAuth-Client? Ocost nutzt OAuth 2.1 mit PKCE (S256). Die Metadaten liegen unter https://api.ocost.io/.well-known/oauth-protected-resource/public/mcp (RFC 9728) und https://app.ocost.io/.well-known/oauth-authorization-server (RFC 8414). Ocost nimmt Client ID Metadata Documents und Dynamic Client Registration. Redirect-URIs müssen https nutzen und genau passen.

Jeder andere Client

Richten Sie ihn auf die URL mit dem Header Authorization. Der Server beantwortet POST-Anfragen mit JSON, ohne SSE-Stream und ohne Sitzungs-ID. Listen Sie die Werkzeuge, um die Verbindung zu prüfen:

curl -sS https://api.ocost.io/public/mcp \
  -H "Authorization: Bearer $OCOST_KEY" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "MCP-Protocol-Version: 2025-11-25" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Ohne gültigen Schlüssel antwortet der Server 401 mit WWW-Authenticate: Bearer. Ihre Ocost-Anmeldung ist kein Schlüssel.

Was die Werkzeuge dürfen

Ein in den Einstellungen erstellter Schlüssel handelt als das Unternehmen. Er liest jeden Beleg außerhalb des Papierkorbs, aber keine eigenen Entscheidungen einer Person. Nur der Inhaber erstellt einen Schlüssel mit figures:read. Eine OAuth-Verbindung handelt als die Person, die sie erlaubt hat, und sieht, was diese in Ocosts Chat sieht. Kein Schlüssel und keine Verbindung liest je Personalunterlagen wie Lohnabrechnungen oder Krankmeldungen.

Kein Werkzeug löscht, gibt frei oder bestellt. Die Grenzen der API gelten für jeden Werkzeugaufruf.

Wörter aus einem Beleg kommen in <document-text>, jede Zeile mit ¦ markiert. Sie sind Daten, von anderen geschrieben, nie Anweisungen. In claude.ai und ChatGPT kommen Listen und Zahlen zusätzlich als interaktive Tabelle oder Diagramm.

Jeder Aufruf wird aufgezeichnet, ohne die Wörter eines Belegs. Inhaber und Buchhaltung sehen die letzten Aufrufe eines Schlüssels unter Einstellungen › API.