# ホスト型サーバーとサインイン

Lockpickは、AIアシスタントが接続してOAuthでサインインするMCPサーバーを動かします。インストールは不要です。

LockpickのMCPサーバーを使うと、AIアシスタントがあなたのアカウントでLockpickを利用できます。ウェブアプリやCLIと同じチェックを、同じ上限のもとで実行します。許可した権限の範囲でのみ動きます。

## アドレス

```
https://mcp.lockpick.app/mcp
```

サーバーはStreamable HTTPに対応しています。多くのアシスタントは、このアドレスだけで接続できます。各アシスタントの設定は、[アシスタントのページ](/ja/docs/ai/claude)に載っています。

## サインイン

サーバーはOAuthを使います。アシスタントが接続すると、ブラウザーでLockpickが開きます。そこでサインインし、1つのワークスペースを選んで、アシスタントに許可する操作を選びます。アシスタントがあなたのパスワードを見ることはありません。

* サインインは 60 分間有効です。**サインインを維持**（`offline_access`）を選ぶと、使っている間はアシスタントが更新できます。この権限がない場合、トークンの期限が切れたら、もう一度サインインしてください。
* 90 日間使われなかった接続は終了します。その後は、もう一度サインインしてください。
* 接続しているアシスタントの確認と切断は、Lockpick の **AIに追加** の **CLIとキー** タブで行います。

OAuthの検出に対応しているアシスタントは、アドレスから、保護されたリソースのメタデータを通じてすべての情報を見つけられます。

## 最初のリクエスト

アシスタントに次のように頼んでみてください。「Lockpickのサイト、残りの利用枠、最新の検出事項を表示して。まだスキャンは開始しないで。」

既存の結果を読んでも、別のスキャンは使われません。PulseやDeepのスキャンを開始すると、そのスキャン分の利用枠が使われます。接続、進行状況の確認、レポートの読み取りは、別の有料スキャンにはなりません。Deepを開始する前に、アシスタントはスキャンを準備し、その正確な対象と費用を承認するためにLockpickへ案内します。同じ `idempotencyKey` で同じ操作を再試行しても、二重に課金されることはありません。

## サーバーが提供する機能

サーバーには、サイト、スキャン、検出事項、修正ブリーフ、残りの利用枠を読むためのツールがあります。また、クイックチェック、Pulseスキャン、無料の「このレコードを再読み込み」を実行するツールや、Deepスキャンを承認のために準備するツールもあります。[Monitor](/ja/docs/protect/monitor)を読むこともできます。依頼された場合は、プロジェクトのパッケージ名とバージョンを送信することもできます。ドキュメントを検索して読めるので、アシスタントはLockpick自身の言葉で使い方の質問に答えられます。各スキャンのレポートと修正ブリーフをリソースとして提供し、サイトのチェック、さらなる調査、検出事項の修正を行うためのプロンプトも用意しています。[ツール、リソース、プロンプト](/ja/docs/mcp/tools)で、すべての機能を一覧できます。

> **Good to know**
>
> サーバーは、スキャナーの生の出力、内部のプロンプト、チェックの実行方法を、アシスタントに決して見せません。見せるのは、あなたがレポートで見るのと同じ検出事項、秘匿された証拠、修正内容です。