Industrialisation du déploiement en HTTP du MCP Geocontext

[esgn]

Objectif

Permettre l'accès au MCP via HTTP(S) pour une utilisation dans les assistants ne supportant pas les MCP locaux (ex : chatgpt, claude.ai, ...)

Actions

Court terme :

• Revue de sécurité du développement
  • Rate limiting sur la sollicitation des services tiers (WFS) -> déjà traité au niveau du service (vérifier remontée de l'erreur)
• Heatlhcheck (traité mcp-framework)
• Mise en place de probes kubernetes avec tcpSocket (voir commentaire)
• Choisir un nom de domaine et le valider avec DIRCOM pour le déploiement (en cours)

https://geollm.beta.ign.fr/mcp (à voir dans le cadre de betaign - FLecordix pour mercredi 15)

• Prévoir un "bouton d'arrêt d'urgence" (en cas d'impact significatif sur WFS) -> désinstallation possible

Moyen terme :

• étudier les méthodes possibles pour authentification sur MCP

Plusieurs méthodes supportées au niveau de MCP framework (API Key, JWT). Il faudra surtout voir ce qui est supporté au niveau des clients (claude.ai, claude desktop, cursor, vcode, ...)

• Tracer les appels (log dans chaque outils)

Notes

Pas de cout de licences. Simple appel à des services gpf.

[esgn]

Sujet sécurité :

• Sécurité du streamable http => https://modelcontextprotocol.io/specification/2025-11-25/basic/transports#security-warning

[esgn]

A propos du health/ :

• Healthz route in mcp framework is beta [Question] How to add a /healthz endpoint to the server? QuantGeekDev/mcp-framework#62
• Another aspect to consider https://modelcontextprotocol.io/specification/2025-11-25/basic/utilities/ping
• Last idea : k8s probe on tcp socket might be enough

[esgn]

Question du cache :

• GetCapabilities : wfsClient est un singleton de WfsClient qui encapsule une instance de WfsEndpoint de @camptocamp/ogc-client. WfsEndpoint cache les réponses du getcap et wfsClient rend ce cache global. Le GetCap est donc caché jusqu'au redémarrage du process/pod
• GetFeatureType: wfsClient garde un Map<string, WfsFeatureTypeFull> qui conserve les réponses de getFeatureType(name).
• A noter que côté ogc-client le constructeur de WfsEndpoint et sa méthode getFeatureTypeFull(name) utilise useCache(). Si on avait activé CacheStorage dans Node on pourrait avoir du cache persistent avec TTL en plus du cache mémoire. Pas sur qu'on ait vraiment besoin de ca.
• Le cache reste global par process/pod (pas partagé entre pods)

[QuantGeekDev]

Hey @esgn — just a heads up: the health endpoint feature has been added to mcp-framework in PR QuantGeekDev/mcp-framework#165.

It's enabled by default on both HTTP Stream and SSE transports — no configuration needed:

GET /health → 200 { "ok": true }

You can also customize the path and response if needed for your k8s probes:

const server = new MCPServer({
  transport: {
    type: "http-stream",
    options: {
      health: {
        path: "/healthz",
        response: { success: true, data: "ok" }
      }
    }
  }
});

No auth is required on the health endpoint, so it works directly with k8s liveness/readiness probes without the tcpSocket workaround.

[QuantGeekDev]

Thank you for using mcp-framework :) Stay awesome

[mborne]

(DAT et issue ign-mut/geocontext/deploiement #4 pour déploiement mis à jour)