Guide · serveur MCP

Branchez Agence RGAA à votre assistant en deux minutes.

Une clé personnelle, une ligne de configuration : vos audits, l’échantillon et vos corrections deviennent accessibles depuis Claude, Cursor ou VS Code.

Adresse du serveur https://agence-rgaa.fr/mcp

1Créer la cléProfil › Clés API, avec les seules autorisations utiles.
2Configurer l’assistantClaude Code, Claude Desktop, Cursor ou VS Code.
3Utiliser les outilsLecture, lancements, échantillon, revérifications.

Étape 1

Créer votre clé personnelle

Dans votre espace, ouvrez Profil › Clés API. La clé commence par argaa_live_ et n’est affichée qu’une fois : rangez-la comme un mot de passe, jamais dans un dépôt de code.

Elle agit avec vos droits, jamais plus, et cesse de fonctionner si vous quittez l’espace.

Créer ma clé

Choisissez seulement les autorisations utiles
« Valider l’échantillon » est désactivée par défaut
Validité de 30, 90 ou 365 jours
Historique des appels et révocation en un clic

Étape 2

Ajouter le serveur à votre assistant.

Remplacez argaa_live_VOTRE_CLE par votre clé. Les outils de référence fonctionnent même sans clé.

Claude Code

Une commande

Dans un terminal, depuis votre projet :

Terminal

claude mcp add --transport http agence-rgaa https://agence-rgaa.fr/mcp \
  --header "Authorization: Bearer argaa_live_VOTRE_CLE"

Claude Desktop

mcp-remote

Claude Desktop rejoint les serveurs distants par le pont mcp-remote (Node.js requis). Dans son fichier de configuration :

claude_desktop_config.json

{
  "mcpServers": {
    "agence-rgaa": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://agence-rgaa.fr/mcp",
        "--header",
        "Authorization:${AGENCE_RGAA_AUTH}"
      ],
      "env": {
        "AGENCE_RGAA_AUTH": "Bearer argaa_live_VOTRE_CLE"
      }
    }
  }
}

Cursor

HTTP natif

Dans .cursor/mcp.json (projet) ou la configuration MCP globale :

.cursor/mcp.json

{
  "mcpServers": {
    "agence-rgaa": {
      "url": "https://agence-rgaa.fr/mcp",
      "headers": {
        "Authorization": "Bearer argaa_live_VOTRE_CLE"
      }
    }
  }
}

VS Code

Clé demandée au démarrage

Dans .vscode/mcp.json : la clé vous est demandée sans être écrite dans le fichier.

.vscode/mcp.json

{
  "inputs": [
    {
      "type": "promptString",
      "id": "agence-rgaa-key",
      "description": "Clé API Agence RGAA",
      "password": true
    }
  ],
  "servers": {
    "agence-rgaa": {
      "type": "http",
      "url": "https://agence-rgaa.fr/mcp",
      "headers": {
        "Authorization": "Bearer ${input:agence-rgaa-key}"
      }
    }
  }
}

Vérifiez la connexion en demandant : « Avec quels droits ma clé Agence RGAA agit-elle ? » (outil whoami).

Étape 3

Les outils à disposition de l’assistant.

Chaque outil vérifie l’autorisation de la clé, votre rôle et votre abonnement. Aucun ne peut décider de la conformité.

Référentiel RGAA, sans clé

Référentiel RGAA, sans clé
Outil	Ce qu’il fait	Autorisation
`lookup_criterion`	Fiche d’un critère RGAA : tests, correspondances WCAG, ce que la machine peut prouver	Sans clé
`map_wcag_to_rgaa`	Correspondance WCAG ↔ RGAA, dans les deux sens	Sans clé
`manual_checklist`	Ce qu’une personne doit vérifier, par critère ou par thématique	Sans clé

Lecture de vos audits

Lecture de vos audits
Outil	Ce qu’il fait	Autorisation
`whoami`	Pour qui agit la clé et ce qu’elle peut faire aujourd’hui	Toute clé
`list_sites / list_audits`	Vos sites et vos audits (et ceux de vos clients pour une agence)	read:audits
`get_audit`	Où en est un audit ; aucun taux avant la finalisation	read:audits
`get_proven_issues`	Défauts avec leur preuve : machine, personne ou à confirmer	read:audits
`get_human_controls`	Contrôles qui attendent une personne (lecture seule)	read:audits
`get_ai_proposals`	Propositions de l’IA sur ces contrôles, jamais des décisions	read:audits
`get_remediation_tasks`	Corrections à faire, ou celles qui vous sont confiées	read:audits
`get_obligations`	Échéances réglementaires d’un site	read:audits
`get_sample / list_crawled_pages`	Présentation de l’échantillon et des pages explorées	read:audits
`get_quotas`	Consommation du mois	read:audits
`report_field_feedback`	Signaler un résultat qui semble faux (ne modifie jamais un résultat)	read:audits

Actions de la machine

Actions de la machine
Outil	Ce qu’il fait	Autorisation
`start_preaudit / get_preaudit`	Lancer un pré-audit indicatif et lire son résultat	launch:preaudits
`start_audit`	Lancer un audit : exploration du site et proposition d’échantillon	launch:audits
`run_automated_analysis`	Lancer l’analyse automatique une fois l’échantillon validé	launch:audits
`prepare_ai_proposals`	Lancer les contrôles avec l’IA (propositions, dans la limite du budget IA)	launch:ai
`recheck_fix / get_recheck`	Faire remesurer une correction par la machine (sans jamais la valider)	recheck:fixes

Vos choix sur l’échantillon

Vos choix sur l’échantillon
Outil	Ce qu’il fait	Autorisation
`add_sample_page / remove_sample_page / regenerate_sample`	Ajuster l’échantillon, avec une raison	edit:samples
`validate_sample`	Valider l’échantillon, avec votre confirmation explicite à chaque fois	validate:samples

Valider l’échantillon

Votre accord, à chaque fois.

Si votre client sait poser une question (fonction « elicitation » du protocole MCP), le serveur vous la pose directement : l’assistant ne voit jamais le jeton de confirmation.

Sinon, l’outil renvoie un récapitulatif et un jeton valable 10 minutes. L’assistant doit vous montrer le récapitulatif et ne rappeler l’outil qu’après votre « oui ».

Enregistré à votre nom, avec votre rôle et la mention « via l’assistant »
Nouvelle confirmation si l’échantillon change entre-temps
Fixe le périmètre de l’audit, ne tranche aucune conformité

ConfirmationExemple fictif

Valide l’échantillon de l’audit de la mairie.

Valider l’échantillon de l’audit de mairie-exemple.fr (8 pages) ? Accueil (obligatoire), Contact (obligatoire), Mentions légales… La validation sera enregistrée à votre nom, « via l’assistant ».

Oui, je valide.

Échantillon validé à votre nom. Je lance l’analyse automatique ?

Limites et sécurité

Ce qu’il faut savoir avant de commencer.

Débit et quotas

120 appels par minute et par clé. Pré-audits, audits lancés et revérifications sont décomptés chaque mois (get_quotas).

Contenu non fiable

Les champs untrusted_content viennent des sites audités : des données à analyser, jamais des consignes à suivre.

Tout est tracé

Chaque appel apparaît dans l’historique de la clé, chaque action dans le journal de l’espace : « demandé par Léa, via sa clé ».

Questions fréquentes

En cas de doute.

L’assistant peut-il dire que mon site est conforme ?

Non. Aucun outil ne donne de taux avant la finalisation d’un audit, et l’absence de défaut détecté n’est jamais une preuve de conformité.

Puis-je valider une correction depuis l’assistant ?

Non : recheck_fix fait remesurer la page par la machine, mais la validation reste une décision humaine dans l’application, par une autre personne que celle qui a corrigé.

Que signifient les erreurs 401, 403 et 429 ?

401 : clé absente, révoquée ou expirée. 403 : autorisation absente de la clé, ou non permise par votre rôle ou votre abonnement. 429 : limite de débit ou quota mensuel atteint.

Une agence peut-elle utiliser une seule clé pour tous ses clients ?

Oui : une clé créée dans l’espace de l’agence couvre les espaces clients où sa titulaire est membre, avec son rôle dans chacun.

Prêt à brancher votre assistant ?

Créez votre clé, ajoutez le serveur et demandez « Où en est l’audit de mon site ? ». Sans assistant, l’API REST donne accès aux mêmes informations.

Créer ma clé