Serwer MCP (Integracja AI)

PhishSpot udostępnia serwer MCP (Model Context Protocol), dzięki czemu klient AI, np. Claude, może obsługiwać PhishSpot w Twoim imieniu — językiem naturalnym, na tych samych danych i zasadach co aplikacja webowa. Zestaw narzędzi odzwierciedla teraz większość tego, co może zrobić człowiek w panelu: przeglądać bibliotekę szablonów, budować i planować kampanie, wgrywać hostowane obrazy, zarządzać kontaktami/grupami/kursami/domenami/webhookami/autopilotami oraz odczytywać wszystkie wyniki i trendy.

29.1 Punkt końcowy

Serwer MCP jest dostępny pod adresem:

https://platform.phishspot.com/mcp

Komunikuje się przez JSON-RPC po HTTP. Skonfiguruj dowolnego klienta MCP na ten adres, używając transportu HTTP.

29.2 Uwierzytelnianie

Serwer MCP korzysta z tokenów API PhishSpot. Token musi mieć jawnie nadany dostęp MCP.

1. Przejdź do Ustawienia → Tokeny API → Nowy token.
2. Nadaj nazwę i zaznacz Zezwól na dostęp MCP.
3. Skopiuj wartość tokenu (wyświetlana raz).

Notatka

Token może działać na każdym koncie, do którego należysz, a operacje zapisu MCP wymagają roli administratora lub edytora na danym koncie. Traktuj token jak hasło.

29.3 Łączenie z Claude

Dla Claude Code uruchom (zastąp YOUR_TOKEN):

claude mcp add --transport http phishspot https://platform.phishspot.com/mcp \
  --header "Authorization: Bearer YOUR_TOKEN"

Dla Claude Desktop lub innego klienta dodaj wpis serwera:

{
  "mcpServers": {
    "phishspot": {
      "type": "http",
      "url": "https://platform.phishspot.com/mcp",
      "headers": { "Authorization": "Bearer YOUR_TOKEN" }
    }
  }
}

29.4 Bezpieczeństwo: co wysyła, a co nie

Niemal wszystko, co może zrobić AI, jest tylko do odczytu lub tylko przygotowuje. Narzędzia kampanii build_*, create_* i set_* przygotowują kampanię do kroku przeglądu i nigdy nie wysyłają e-maili do odbiorców — to człowiek uruchamia każdą kampanię w panelu PhishSpot.

Niewielki, jasno oznaczony zestaw narzędzi-akcji może wywołać realną wysyłkę, dzięki czemu AI może na Twoją prośbę poprowadzić kampanię od początku do końca. Ich opisy zaczynają się od ostrzeżenia i wymagają roli administratora/edytora:

Narzędzie-akcja	Skutek
schedule_campaign	Wysyła prawdziwe e-maile — planuje gotową kampanię do faktycznej wysyłki o zadanej porze.
reschedule_campaign	Wysyła prawdziwe e-maile — zmienia czas wysyłki zaplanowanej kampanii.
start_autopilot	Uruchamia żywy program — aktywuje autopilota, który cyklicznie generuje i wysyła kampanie.

cancel_schedule, pause_autopilot i stop_autopilot to bezpieczne odpowiedniki — zatrzymują wysyłki. Dodanie domeny wysyłkowej powoduje jej skonfigurowanie i zwrócenie serwerów nazw do ustawienia u rejestratora — nie rejestruje ani nie kupuje domeny.

Wskazówka

Jeśli chcesz, aby AI nigdy nie wysyłało samodzielnie, po prostu nie proś o zaplanowanie ani uruchomienie czegokolwiek — każde inne narzędzie zostawia człowiekowi decyzję o uruchomieniu.

29.5 Dostępne narzędzia

Niemal każde narzędzie powiązane z kontem przyjmuje account_id (acct_…). Najpierw wywołaj whoami, aby poznać konta i role dostępne dla tokenu. Poniżej narzędzia pogrupowano według funkcji.

Tożsamość i domeny wysyłkowe

Narzędzie	Co robi
whoami	Pokazuje zalogowanego użytkownika oraz konta/role, na których token może działać.
list_sending_domains	Lista aktywnych i konfigurowanych domen wysyłkowych konta.
provision_sending_domain	Dodaje domenę BYOD i zwraca serwery nazw do ustawienia u rejestratora.
check_sending_domain	Sprawdza delegację domeny, rekordy poczty i gotowość do wysyłki.
list_platform_domains	Lista wszystkich domen widocznych dla konta (współdzielone + BYOD) ze stanem i gotowością.
get_platform_domain	Pełne szczegóły jednej domeny: status weryfikacji, oczekiwane rekordy DNS, diagnostyka, powód blokady.

Kontakty i grupy

Narzędzie	Co robi
list_contacts	Lista kontaktów na koncie (stronicowana).
import_contacts	Importuje kontakty z CSV lub JSON; kolumna groups modeluje fale/segmenty.
update_contact	Aktualizuje pola kontaktu i/lub zastępuje jego przynależność do grup.
delete_contacts	Usuwa kontakty (pomija zablokowane przez aktywną kampanię).
list_groups	Lista grup kontaktów na koncie.
create_group	Tworzy nową grupę kontaktów.
delete_group	Usuwa grupę (chyba że jest zablokowana przez aktywną kampanię).
add_contacts_to_group	Dodaje kontakty do grupy (pomija duplikaty).
remove_contacts_from_group	Usuwa kontakty z grupy.

Biblioteka szablonów phishingowych

Narzędzie	Co robi
list_phishing_templates	Lista szablonów wbudowanych lub własnych, z filtrowaniem po kategorii i wyszukiwaniem.
get_phishing_template	Pełna treść jednego szablonu: e-mail + HTML/CSS strony docelowej i akcja po kliknięciu.
list_phishing_categories	Drzewo kategorii szablonów (szablony trzymają tylko kategorie liściowe).
build_campaign_from_template	Buduje roboczą kampanię z szablonu; opcjonalnie dodaje wszystkie kontakty i zatrzymuje na przeglądzie. Nie wysyła.

Szkolenia e-learningowe

Narzędzie	Co robi
list_courses	Lista kursów dostępnych dla konta (własne + globalne) z liczbą bloków i statystykami ukończeń.
get_course	Szczegóły jednego kursu i uporządkowane podsumowanie jego bloków.

Biblioteka mediów (hosting obrazów)

Narzędzie	Co robi
upload_media	Wgrywa obraz lub plik CSS (z URL lub base64) i zwraca hostowany URL do e-maili/stron.
list_media	Lista hostowanych mediów konta.
delete_media	Usuwa plik media.

Wskazówka

Klienty pocztowe (Gmail, Outlook) usuwają obrazy z URI data:, więc w HTML kampanii osadzaj hostowany URL z upload_media zamiast wklejać base64.

Budowanie kampanii

Narzędzie	Co robi
list_campaigns	Lista kampanii ze stanem i postępem kreatora.
get_campaign	Pełny status jednej kampanii, w tym co blokuje uruchomienie.
create_campaign	Tworzy roboczą kampanię (ustawienia).
set_campaign_email	Ustawia temat i treść HTML e-maila.
set_campaign_landing	Ustawia stronę docelową oraz domenę wysyłkową/landingową.
set_campaign_post_click	Ustawia akcję po kliknięciu (szkolenie, strona edukacyjna lub przekierowanie).
add_campaign_recipients	Dodaje odbiorców (wszyscy, grupa lub wybrane kontakty). Zostawia kampanię w przeglądzie.
build_campaign_from_spec	Buduje całą roboczą kampanię jednym wywołaniem (ustawienia → odbiorcy).
duplicate_campaign	Powiela kampanię do nowej kopii roboczej (z odbiorcami). Nie wysyła.

Planowanie kampanii

Narzędzie	Co robi
schedule_campaign	⚠ Wysyła prawdziwe e-maile — planuje gotową kampanię do wysyłki o zadanej porze.
reschedule_campaign	⚠ Wysyła prawdziwe e-maile — zmienia czas wysyłki zaplanowanej kampanii.
cancel_schedule	Anuluje oczekującą zaplanowaną wysyłkę i przywraca kampanię do wersji roboczej.

Wyniki i raporty (tylko odczyt)

Narzędzie	Co robi
get_campaign_results	Lejek zaangażowania oraz podział na grupy i działy.
get_campaign_recipients	Etap dostarczenia, status szkolenia i flaga odpowiedzi per odbiorca (z filtrami).
get_recipient_timeline	Chronologiczna oś zdarzeń jednego kontaktu w kampanii.
get_campaign_replies	Odpowiedzi, które odbiorcy odesłali na e-mail phishingowy.
list_account_trends	Trendy podatności na phishing w kampaniach w zadanym zakresie dat.
list_events	Surowe zdarzenia zaangażowania, z filtrami po kampanii / kontakcie / typie.
list_reported_messages	Podejrzane e-maile zgłoszone przez pracowników (tylko metadane nadawcy/tematu).

Webhooki

Narzędzie	Co robi
list_webhook_endpoints	Lista wychodzących punktów końcowych webhooków.
get_webhook_endpoint	Jeden punkt końcowy wraz z ostatnimi dostawami (sekret podpisu zamaskowany).
create_webhook_endpoint	Tworzy (wyłączony) punkt końcowy; jednorazowo zwraca sekret podpisu.
update_webhook_endpoint	Aktualizuje nazwę, URL lub subskrypcje zdarzeń.
delete_webhook_endpoint	Usuwa punkt końcowy i historię dostaw.
toggle_webhook_endpoint	Włącza lub wyłącza punkt końcowy.
list_webhook_event_types	Lista typów zdarzeń do subskrypcji (bez konta).

Autopiloty (programy automatyczne)

Narzędzie	Co robi
list_autopilots	Lista programów autopilota i ich stan/postęp.
get_autopilot	Konfiguracja jednego autopilota, grupy docelowe i ostatnie kampanie.
create_autopilot	Tworzy autopilota w wersji roboczej. Nie uruchamia go.
update_autopilot	Aktualizuje edytowalnego (niezatrzymanego) autopilota.
delete_autopilot	Usuwa autopilota (nie podczas działania).
start_autopilot	⚠ Uruchamia żywy program, który cyklicznie wysyła kampanie phishingowe.
pause_autopilot	Wstrzymuje działającego autopilota.
stop_autopilot	Trwale zatrzymuje autopilota (nieodwracalne).

29.6 Dodawanie domeny wysyłkowej (BYOD)

Aby wysyłać kampanię z własnej domeny (np. twoja-firma.pl):

1. Poproś AI o wywołanie provision_sending_domain z domeną.
2. Ustaw zwrócone serwery nazw u rejestratora domeny.
3. Odpytuj check_sending_domain, aż domena będzie aktywna i gotowa do wysyłki.

Po aktywacji domena pojawia się w list_sending_domains / list_platform_domains i może być użyta jako domena wysyłkowa/landingowa kampanii. Zobacz też Domeny.

29.7 Przykład: zbuduj kampanię z szablonu

Typowy przebieg sterowany przez AI — wszystko tylko przygotowuje, dopóki nie zdecydujesz się zaplanować wysyłki:

1. whoami → wybierz account_id.
2. list_phishing_categories i list_phishing_templates → wybierz szablon.
3. build_campaign_from_template (opcjonalnie quick_launch) → robocza kampania z odbiorcami, w kroku przeglądu.
4. get_campaign → potwierdź brak błędów gotowości.
5. Uruchom ją samodzielnie w panelu lub poproś AI o schedule_campaign na konkretny czas (to wysyła naprawdę).
6. Po wysyłce get_campaign_results, get_campaign_recipients i list_account_trends podsumują, kto dał się nabrać.

Każde narzędzie trafia na produkcję z każdym wdrożeniem — bez dodatkowej konfiguracji, bez migracji i bez ustawień per narzędzie.