アクセス権限と制限

このページでは、Zenovay MCP 統合のアクセス制御、レート制限、エラーハンドリングについて説明します。

OAuth スコープ

MCP クライアントを認可する際に、ツールカテゴリごとのアクセス権限レベルを選択します。これらは {category}:{level} 形式の OAuth スコープ として表現されます。

アクセス権限レベル

利用可能なスコープ

短縮スコープ:

• read — すべてのカテゴリを読み取りレベルで
• write — すべてのカテゴリを書き込みレベルで (読み取りを含む)

書き込み保護ツール

以下のツールはカテゴリの 書き込み アクセス権限が必要です。読み取り専用で認可した場合、これらのツールはエラーコード -32007 を返します：

Management（書き込み）

create_goal, update_goal, delete_goal, toggle_goal, manage_funnel, delete_funnel, update_website_settings, toggle_public_dashboard, toggle_cookieless_tracking, regenerate_tracking_code, update_website_name, update_website_timezone, update_website_domain, pause_tracking, resume_tracking, schedule_report, cancel_report, create_api_key, delete_api_key, update_api_key_settings

Settings（書き込み）

add_ip_exclusion, remove_ip_exclusion, add_path_exclusion, remove_path_exclusion, update_notification_settings, invite_team_member, remove_team_member, set_revenue_currency, add_allowed_domain, remove_allowed_domain, request_data_deletion

Advanced（書き込み）

create_uptime_check, delete_uptime_check

Webhooks（書き込み）

create_webhook, delete_webhook, test_webhook

その他すべてのツールは読み取りアクセスで動作します。

アクセス権限の変更

MCP クライアントに付与されたアクセス権限を変更するには：

1. 既存のトークンを取り消す — Settings → Security → MCP に移動し、接続されているアプリケーションを見つけて取り消します
2. 再度認可する — MCP クライアントが認可を再度要求します
3. 新しいアクセス権限を選択する — 同意ページで異なる読み取り/書き込みレベルを選択します

プラン制限機能

特定のツールは特定のサブスクリプションプランを必要とする機能に関連しています：

プラン制限機能に対応していないプランでこれらのツールを呼び出すと、エラーコード -32002 が返されます。

データ保有期間の制限

分析クエリは自動的にプランのデータ保有期間内に制限されます：

レート制限

日次クエリ制限

各チームは日次の MCP クエリ予算を持ちます。接続されたすべてのアプリケーションが同じクォータを共有します。

使用状況は毎日 00:00 UTC にリセットされます。

クエリコスト

使用状況の確認

get_api_usage ツールを使用するか、ダッシュボードで Settings → Security → MCP を確認します：

{
"jsonrpc": "2.0",
"id": 1,
"method": "tools/call",
"params": {
  "name": "get_api_usage",
  "arguments": {}
}
}

エラーコード

標準 JSON-RPC エラー

Zenovay MCP エラー

エラーレスポンス形式

{
"jsonrpc": "2.0",
"id": 1,
"error": {
  "code": -32007,
  "message": "Tool 'create_goal' requires write permission for the 'management' category. Re-authorize with management:write scope."
}
}

セキュリティ

OAuth 2.1 は API キーと比べていくつかのセキュリティ上の利点があります：

1. シークレットの管理が不要 — トークンは自動的に発行され、コピー・貼り付けが不要
2. 細粒度スコープ — 各クライアントに必要なアクセス権限のみを付与
3. トークンの有効期限 — アクセストークンは 1 時間後に期限切れになり、自動的に更新
4. 即座の取り消し — ダッシュボードからクライアントのアクセスを即座に取り消す
5. PKCE 保護 — 認可コードが傍受されない保護
6. 監査ログ — 接続されているクライアントと最後のリクエスト時刻を確認