Serveur MCP d'Atlassian : Jira et Confluence ouverts aux assistants, sous contrôle de l'administrateur

Jira pour les tickets, Confluence pour la documentation interne : beaucoup de PME travaillent déjà dans les outils cloud d'Atlassian. Le serveur MCP de l'éditeur, appelé Rovo MCP server, permet à un assistant IA d'y chercher et résumer des contenus, de créer ou modifier des tickets et des pages, ou encore de transformer des notes de réunion en tickets.

D'après le dépôt officiel, il couvre Jira, Confluence, Jira Service Management, Bitbucket Cloud, Compass, Loom et les données de la plateforme Atlassian (projets, objectifs, équipes, entre autres).

Installation

Le serveur est hébergé par Atlassian. L'adresse recommandée est celle de la version 2 : https://mcp.atlassian.com/v2/mcp. Avec Claude Code :

claude mcp add --transport http atlassian https://mcp.atlassian.com/v2/mcp

Il faut ensuite lancer /mcp pour s'authentifier. Avec Codex :

codex mcp add atlassian --url https://mcp.atlassian.com/v2/mcp

Cursor et VS Code disposent de liens d'installation en un clic. Dans Claude Desktop, le serveur se trouve dans le catalogue d'extensions. Les clients purement locaux passent par le relais mcp-remote, qui demande Node.js 18 ou plus.

Authentification

• OAuth 2.1, dans le navigateur, pour l'usage interactif.
• Jeton d'API, pour les usages sans interface : jeton personnel en authentification Basic, ou clé de compte de service en Bearer. Un administrateur de l'organisation doit d'abord activer ce mode dans les réglages du serveur Rovo MCP.

Deux exceptions à connaître : les outils Jira Service Management ne fonctionnent qu'avec un jeton d'API, ceux de Compass uniquement avec OAuth.

Des permissions par groupes

Chaque outil dépend d'un groupe de permissions que l'administrateur accorde ou retire : read_jira, write_jira, search_jira, read_confluence, write_confluence, et ainsi de suite pour chaque produit. Les groupes delete_jira et manage_jira sont désactivés par défaut.

Dans tous les cas, l'assistant agit avec les droits de l'utilisateur connecté, pas davantage.

Limites

• Ancienne adresse. Le dépôt indique que le point d'accès SSE (/v1/sse) n'est plus pris en charge après le 30 juin 2026. Une configuration ancienne doit pointer vers /v2/mcp.
• Passage en version 2. Les connexions v1 existantes exposent automatiquement les outils v2. Certains clients peuvent exiger de vider leurs identifiants mis en cache.
• Outils masqués. Par défaut, seuls les outils dits principaux sont visibles ; les autres sont découverts à la demande. L'adresse https://mcp.atlassian.com/v2/mcp?tools=all renvoie la liste complète, pour les passerelles qui en ont besoin.
• Bitbucket et Loom ne fonctionnent qu'avec des espaces rattachés à une organisation ou à un site Atlassian.
• Le dépôt ne mentionne aucun quota d'appels.

Points de sécurité

• Les règles de liste blanche d'adresses IP de l'organisation s'appliquent aux appels d'outils. Attention : un assistant hébergé envoie ses requêtes depuis les adresses de son fournisseur, pas depuis votre réseau. C'est une cause classique d'erreur 403 après une connexion OAuth pourtant réussie.
• L'administrateur peut restreindre les outils IA et les domaines autorisés à se connecter. Ce contrôle vaut pour les connexions OAuth.
• Chaque utilisation d'outil est inscrite au journal d'audit, sous l'intitulé « Rovo MCP User Actions ».
• Atlassian reconnaît que les modèles de langage sont exposés à l'injection d'instructions et recommande le moindre privilège ainsi qu'une confirmation humaine pour les actions sensibles.

Notre lecture

Ce serveur se distingue par ses contrôles d'administration : groupes de permissions, filtrage par domaine et par IP, journal d'audit. Pour une PME, c'est ce qui permet d'ouvrir l'accès sans perdre la main.

Notre conseil : commencez par n'accorder que les groupes de lecture et de recherche sur Jira et Confluence. Un ticket ou une page peut contenir du texte venu de l'extérieur, un e-mail de client par exemple, susceptible d'influencer l'assistant. N'ajoutez l'écriture qu'ensuite, laissez la suppression désactivée et consultez le journal d'audit les premières semaines. Cette fiche repose sur le dépôt de l'éditeur ; nous n'avons pas testé le serveur.