Come collegare Infisical a Cursor via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Infisical, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Infisical + Cursor

Gestione dei secret con Infisical su Cloud US, Cloud EU o self-hosted, con accesso come machine identity: progetti, ambienti, cartelle e import di secret, nomi e metadati dei secret, singoli valori su richiesta, tag, membri dei progetti, identità e audit log. Crea e aggiorna secret, cartelle, ambienti e tag; l'eliminazione di un secret è disattivata all'installazione.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

INFISICAL_URL, INFISICAL_CLIENT_ID, INFISICAL_CLIENT_SECRET

Step 1 — Ottieni le credenziali

La configurazione richiede circa 5 minuti e un amministratore dell'organizzazione Infisical. Il connettore accede come machine identity con Universal Auth.

1. In Infisical apri Organization, Access Control, Machine Identities (versioni precedenti: Organization Settings, Identities), fai clic su Create Identity, chiamala per esempio AnythingMCP e assegnale il ruolo di organizzazione Member o un ruolo personalizzato. Per leggere l'audit log serve un ruolo con accesso all'audit log.
2. Sull'identità aggiungi il metodo di autenticazione Universal Auth. Mantieni la durata dell'access token (30 giorni di default) o accorciala; il connettore rifà l'accesso da solo. In Client Secrets crea un secret con usage limit 0 (illimitato), perché ogni nuovo accesso lo usa una volta. Se imposti Trusted IPs, includi l'indirizzo in uscita del tuo server AnythingMCP.
3. Copia il Client ID (un UUID) in INFISICAL_CLIENT_ID e il Client Secret, mostrato una sola volta, in INFISICAL_CLIENT_SECRET.
4. Aggiungi l'identità a ogni progetto che deve raggiungere: nel progetto apri Access Control, Machine Identities, Add Identity, con il ruolo Viewer per la sola lettura, oppure Developer o un ruolo personalizzato per scrivere. Limita il ruolo agli ambienti e ai percorsi necessari.
5. Imposta INFISICAL_URL su https://app.infisical.com (Cloud US), https://eu.infisical.com (Cloud EU) o l'indirizzo della tua istanza, senza /api e senza barra finale.
6. Installa il connettore ed esegui infisical_list_projects: conferma l'accesso ed elenca i progetti di cui l'identità fa parte.

Il connettore accede su /api/v1/auth/universal-auth/login, invia l'access token come Authorization: Bearer e lo rinnova da solo.

I valori dei secret arrivano all'AI: Infisical restituisce un valore in chiaro a chiunque possa leggerlo, e ogni valore che questo connettore legge o scrive passa per la conversazione e per il fornitore dell'AI. Per questo infisical_list_secrets e infisical_get_secret restituiscono solo nomi e metadati: chiedono a Infisical di non inviare i valori. L'unico strumento che restituisce un valore è infisical_read_secret_value, un secret per chiamata, e l'AI lo usa solo quando chiedi proprio quel valore. Anche i valori che passi a infisical_create_secret e infisical_update_secret passano per la conversazione. Se nessun valore deve mai comparire in chat, un amministratore del workspace disattiva infisical_read_secret_value, oppure l'identità riceve un ruolo senza il permesso di leggere i valori. Infisical registra ogni lettura di un valore nel suo audit log.

Cosa legge: l'organizzazione dell'identità (infisical_get_identity_details); i progetti con i loro ambienti (nome, slug, id); le cartelle di un ambiente, come elenco o con recursive come albero completo; gli import di secret, cioè altri ambienti o percorsi da cui una cartella eredita secret; i nomi dei secret con versione, commento, tag, metadati e date, filtrati con tag_slugs o metadata_filter, e con infisical_get_secret i metadati di un secret o una version precedente; i tag; i membri dei progetti con i loro ruoli, le identità dei progetti e quelle dell'organizzazione; e l'audit log dell'organizzazione (infisical_list_audit_logs), filtrato per progetto, ambiente, secret, autore, tipo di evento come get-secret, update-secret o delete-secret e date, per scoprire chi ha letto o modificato un secret. infisical_read_secret_value risolve riferimenti come ${DB_HOST}, a meno che expand_secret_references sia false.

Cosa scrive: infisical_create_secret, infisical_update_secret (nuovo valore, nuovo nome con new_secret_name, commento o tag; tag_ids sostituisce l'intero elenco dei tag), infisical_create_folder, infisical_create_environment e infisical_create_tag. Infisical conserva la versione precedente di un secret, quindi una modifica del valore si può annullare dalla dashboard. Le app che leggono il secret ricevono il nuovo valore alla lettura successiva, perciò l'AI conferma con te l'ambiente prima di scrivere in produzione. Se un ambiente ha una policy di approvazione delle modifiche, una creazione o un aggiornamento apre una richiesta di approvazione in Infisical invece di modificare subito il secret.

Disattivati all'installazione: infisical_delete_secret. Non si può annullare da questo connettore e blocca ogni app e pipeline che legge il secret, quindi un amministratore del workspace lo attiva quando il team ne ha bisogno.

Formati dei dati: gli id sono UUID; gli ambienti si indicano con lo slug (dev, staging, prod), i progetti con l'id. I percorsi iniziano con /, e / da solo è la radice. version conta le modifiche di un secret; secretValueHidden: true significa che il valore non è stato inviato. Gli orari sono ISO 8601 in UTC.

Paginazione: infisical_list_audit_logs (20 voci di default), infisical_list_project_identities e infisical_list_org_identities (100 di default) paginano con offset e limit; l'AI richiede con un offset più alto finché una pagina torna piena. Gli altri elenchi restituiscono tutto in una sola risposta.

Limiti: per minuto e per IP del client, Infisical Cloud consente, a seconda del piano, da 200 a 600 letture, da 90 a 300 scritture e da 120 a 500 operazioni sui secret, 600 richieste in totale. Un 429 indica quanti secondi attendere. La durata di conservazione dell'audit log dipende dal piano. Infisical self-hosted richiede la versione 0.150 o successiva per l'API v4 dei secret usata dal connettore.

Errori comuni: 401, oppure 403 con TokenError, significa che l'accesso non è riuscito: Client ID o Client Secret errati, un client secret revocato, scaduto o esaurito, la regione sbagliata in INFISICAL_URL o un IP fuori dai trusted IP. 403 PermissionDenied significa che il ruolo dell'identità non consente questo progetto, ambiente, percorso o azione. 404 significa id, slug, percorso o nome del secret errato; i nomi distinguono maiuscole e minuscole.

Con gli strumenti attivi all'installazione il connettore non elimina secret. Legge al massimo un valore per chiamata, non modifica membri, ruoli o machine identity e non gestisce certificati o chiavi KMS.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Cursor

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Cursor legge i server MCP da ~/.cursor/mcp.json. Aggiungi questa voce:

{
  "mcpServers": {
    "anythingmcp": {
      "url": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Crea una chiave API MCP in AnythingMCP da MCP Servers → il tuo server → API keys e incollala al posto di YOUR_MCP_API_KEY.
2. Salva il file e riavvia Cursor.
3. Apri Cursor → Settings → MCP e verifica che anythingmcp sia elencato e connesso.
4. Inizia a chattare: l'agente ora può usare i tool di Infisical.

Tool disponibili

Esempi di prompt

• "Quali secret ci sono nell'ambiente prod del nostro progetto backend? Solo i nomi, niente valori."
• "Chi ha modificato il secret STRIPE_SECRET_KEY in produzione negli ultimi 7 giorni?"
• "Mostrami il valore di DATABASE_URL nell'ambiente staging del progetto api."
• "Crea una cartella /payments in dev e aggiungi un secret PAYMENTS_WEBHOOK_URL con il valore https://example.com/hooks/payments."
• "Quali machine identity e utenti hanno accesso al progetto web, e con quali ruoli?"

FAQ

Cursor supporta server MCP personalizzati nel piano gratuito? Sì, MCP è disponibile nei piani Hobby, Pro e Business.

Prossimi passi

• Landing del connettore
• Collegare a Claude
• Collegare a ChatGPT
• Collegare a Gemini
• Collegare a Meta Muse
• Collegare a Microsoft Copilot