
Security News
OpenCode User Hit with Hostile Backlash After Reporting Free AI Loophole
An OpenCode user faced harassment after reporting a free AI usage loophole, drawing a bitter backlash in a GitHub thread that has since been deleted.
tracker-mcp
Advanced tools
MCP server for Yandex Tracker API v3 — full coverage (185 tools): issues, queues, boards, sprints, projects, goals, bulk ops, admin catalogs
Проще говоря: этот сервер учит вашего AI-ассистента работать с Яндекс Трекером. Вы говорите ассистенту «найди мои задачи», «создай задачу в очереди TREK», «закрой TASK-123 с резолюцией “Решён”» — а он делает это через API Трекера сам, без копирования ссылок руками.
Работает с любым MCP-клиентом: VS Code (Copilot), Cursor, Claude Desktop, Claude Code, opencode, Windsurf, Zed, JetBrains AI Assistant.
📘 Подробное руководство для новичков (получение токена, пошаговая настройка каждого клиента, решение проблем) — в docs/SETUP.md.
185 инструментов — полное покрытие API Трекера v3:
| Категория | Что можно делать |
|---|---|
| Задачи | искать (фильтр, язык запросов, query 2.0, scroll >10k, подсказки), создавать, читать, редактировать, переносить, менять статус, связывать, история |
| Комментарии | добавлять, читать (список и по одному), редактировать, удалять, реакции |
| Чеклисты | задачи + проекты/портфели: добавлять, отмечать, двигать, удалять |
| Учёт времени | записи по задаче и поиск по авторам/датам |
| Вложения | список, метаданные, скачивание (картинки/текст/база), миниатюры, загрузка, временные файлы |
| Массово | редактирование, перенос и закрытие задач; bulk-обновление проектов/целей |
| Отчёты и фильтры | сохранённые отчёты для виджетов, CRUD сохранённых фильтров |
| Очереди | CRUD (вкл. удаление/восстановление), права доступа, версии, компоненты, локальные поля, макросы, теги |
| Автоматизация | триггеры и автодействия (CRUD + логи), воркфлоу (статусы и переходы) |
| Доски | CRUD, пагинация, колонки CRUD, спринты (создать/запустить/архив) |
| Дашборды | создание дашбордов и виджетов («Время цикла») |
| Проекты, цели, портфели | CRUD, комментарии, чеклисты, вложения, связи, события, права, ключевые результаты и метрики (через fields) |
| Справочники | чтение И запись: типы, статусы, приоритеты, резолюции; глобальные поля и категории |
| Внешние приложения | связи задач с внешними системами (Jira и др.) |
| Отсутствия | отпуска/болезни/командировки (admin) |
| Миграция | импорт задач/комментариев/связей/трудозатрат/вложений «задним числом» (admin) |
К серверу прилагается скилл yandex-tracker — процедурные знания для агента:
язык запросов Трекера, корректные значения полей (приоритеты, статусы, резолюции),
рецепты («найди мои задачи», «закрой с резолюцией», bulk-правки) и грабли API
(dueDate vs releaseDate, обязательная резолюция при закрытии, IAM-токены ≤12ч).
npx skills add sdamarketing/tracker_mcp
Устанавливает скилл во все обнаруженные агенты (Claude Code, Cursor, opencode,
Codex и ещё 75+). Мастер npm run setup тоже предлагает установить скилл
вместе с настройкой MCP-клиента. Репозиторий скилла: skills.sh/sdamarketing/tracker_mcp.
curl -fsSL https://raw.githubusercontent.com/sdamarketing/tracker_mcp/main/install.sh | bash
Скрипт сам: проверит систему → поставит Node.js через nvm, если его нет
(спросит согласия, sudo не нужен) → скачает сервер в ~/.traker-mcp → соберёт
и проверит его → запустит мастер настройки: ключи Трекера (ввод скрыт),
проверка ключей в API, выбор AI-клиента (VS Code, Cursor, Claude Desktop,
Claude Code, opencode, Windsurf, Zed, JetBrains) и итоговый отчёт.
Повторный запуск той же командой = обновление сервера (конфиги клиентов не трогаются).
🔎 Хотите сначала прочитать скрипт? Уберите
| bashи посмотрите вывод:curl -fsSL https://raw.githubusercontent.com/sdamarketing/tracker_mcp/main/install.sh🪟 Windows: установите через WSL командой выше или вручную — см. ниже.
npm install -g tracker-mcp
tracker-mcp setup # интерактивный мастер: ключи Трекера + настройка AI-клиента
После этого сервер доступен командой tracker-mcp (в конфиг AI-клиента её и
прописывайте). Другие команды: tracker-mcp update, tracker-mcp links,
tracker-mcp --help.
Шаг 1. Убедитесь, что есть Node.js 20+ (проверка: node -v).
Шаг 2. Соберите сервер:
git clone <адрес-этого-репозитория>
cd traker_mcp
npm install
npm run build
npm run smoke # проверка: должно быть "OK: ... 185 tools listed"
Шаг 3. Подготовьте две вещи из Трекера:
Шаг 4. Запустите мастер установки:
npm run setup
Мастер спросит ключи (токен — скрытым вводом), проверит их в API Трекера, покажет интерактивное меню клиентов (↑↓ + Enter) и настроит выбранные (можно несколько подряд) — через их CLI или дописав конфиг с бэкапом, — а в конце выведет отчёт.
Альтернатива: npm run links — откроет страницу в браузере с кнопками
установки в один клик (VS Code, Cursor, Claude Desktop) и конфигами всех
клиентов для ручного копирования.
| Ваш агент | Быстрый способ | Конфиг-файл |
|---|---|---|
| VS Code (Copilot) | npm run setup (CLI code) | .vscode/mcp.json |
| Cursor | npm run setup | ~/.cursor/mcp.json |
| Claude Desktop | npm run setup | claude_desktop_config.json |
| Claude Code (терминал) | npm run setup (CLI claude) | ~/.claude.json |
| opencode | npm run setup | ~/.config/opencode/opencode.json |
| Windsurf | npm run setup | ~/.codeium/windsurf/mcp_config.json |
| Zed | npm run setup | settings.json (context_servers) |
| JetBrains IDE | npm run setup | .mcp.json в корне проекта |
Пошаговые инструкции с точными путями для macOS/Windows/Linux: docs/SETUP.md.
После установки перезапустите агента и спросите:
«Вызови инструмент get_current_user» — вернётся ваш профиль из Трекера. «Найди мои задачи в Трекере» — сработает find_issues.
| Симптом | Причина и решение |
|---|---|
Missing required environment variable TRACKER_TOKEN | токен не передан — перегенерируйте ссылки (npm run links) или проверьте env в конфиге |
Yandex Tracker API error 401 | неверный токен или токен истёк (IAM живёт ≤12 часов) |
Yandex Tracker API error 403: Organization is not available | неверный TRACKER_ORG_ID или организация не подключена к Трекеру |
| Сервер не запускается в Claude Desktop (macOS) | используйте абсолютный путь к node — уже так в сгенерированном конфиге |
| У агента нет инструментов | сервер отключён — включите в списке MCP-серверов клиента и перезапустите |
Больше решений — docs/SETUP.md, раздел 8.
| Переменная | Обязательна | Описание |
|---|---|---|
TRACKER_TOKEN | да | OAuth-токен (y0_..., Яндекс 360) или IAM-токен (t1...., Yandex Cloud) |
TRACKER_ORG_ID | да | Идентификатор организации |
TRACKER_AUTH | нет | oauth (по умолчанию) или iam — определяет заголовки X-Org-ID / X-Cloud-Org-ID |
TRACKER_API_URL | нет | По умолчанию https://api.tracker.yandex.net/v3 |
TRACKER_LANG | нет | ru или en — язык локализованных полей |
tracker:read)..env (уже в .gitignore) или в конфиге клиента, не в коде.install-links.html содержит токен — скрипт добавляет его в .gitignore сам.npm run typecheck # проверка типов
npm run build # сборка в dist/
npm run smoke # запуск и список инструментов без обращения к API
npm run setup # интерактивный мастер установки для AI-клиентов
npm run links # страница с кнопками установки (deeplinks)
Архитектура и полный список инструментов — в docs/SETUP.md и в коде src/tools/.
Проблемы и идеи — в issues репозитория. API Трекера меняется — следите за официальной документацией.
FAQs
MCP server for Yandex Tracker API v3 — full coverage (187 tools): issues, queues, boards, sprints, projects, goals, bulk ops, admin catalogs
The npm package tracker-mcp receives a total of 0 weekly downloads. As such, tracker-mcp popularity was classified as not popular.
We found that tracker-mcp demonstrated a healthy version release cadence and project activity because the last version was released less than a year ago. It has 1 open source maintainer collaborating on the project.

Security News
An OpenCode user faced harassment after reporting a free AI usage loophole, drawing a bitter backlash in a GitHub thread that has since been deleted.

Threat Research
/Security News
319 browser extensions installed by 13.4 million users hijack searches, capture queries, and collect referral payments from Yahoo and Bing.

Threat Research
Malicious Firefox extensions mimic Phantom, Jupiter, and Bitget wallets to steal recovery phrases and private keys, with one fetching its payload remotely.