Serveur MCP de Cloudflare : toute l'API derrière trois outils

Cloudflare gère des noms de domaine, la protection de sites web, de l'hébergement d'applications et du stockage. Son serveur MCP permet à un assistant IA d'agir sur un compte Cloudflare : consulter une configuration, modifier un réglage, déployer un service. La documentation le présente comme le seul serveur MCP nécessaire pour la plupart des usages.

Le « Code Mode » : écrire du code plutôt qu'appeler des outils

D'habitude, un serveur MCP déclare un outil par action possible, et chaque déclaration occupe de la place dans le contexte du modèle. Avec une API aussi vaste que celle de Cloudflare, cette approche ne tient pas.

Le serveur fonctionne donc autrement. Il expose search() pour trouver les points d'accès de l'API, execute() pour les appeler, et docs() pour chercher dans la documentation. Le modèle écrit du JavaScript à partir d'une description typée de l'API, et ce code s'exécute dans un bac à sable isolé chez Cloudflare.

L'éditeur avance les chiffres suivants : exposer les 2 594 opérations de l'API comme des outils classiques avec leurs schémas complets coûterait environ 1 170 000 jetons, et environ 244 000 en ne gardant que les paramètres obligatoires. En Code Mode, le coût serait d'environ 1 000 jetons, à peu près constant quel que soit le nombre de points d'accès. Ce sont des chiffres annoncés par Cloudflare, non des mesures indépendantes.

Installation

Le serveur est hébergé. La configuration donnée par la documentation :

{
	"mcpServers": {
		"cloudflare-api": {
			"url": "https://mcp.cloudflare.com/mcp"
		}
	}
}

Cloudflare distribue aussi un plugin qui regroupe ses serveurs MCP, des skills et des commandes. Dans Claude Code :

/plugin marketplace add cloudflare/skills

Pour les autres assistants compatibles : npx skills add https://github.com/cloudflare/skills.

Le serveur utilise le transport Streamable HTTP. La documentation indique qu'il prend en charge la spécification MCP 2026-07-28, tout en acceptant les clients plus anciens.

Authentification et permissions

Deux modes sont prévus :

• En usage interactif, OAuth : l'utilisateur est redirigé vers Cloudflare, où il choisit les permissions accordées à l'agent.
• En automatisation, un jeton d'API Cloudflare, transmis dans l'en-tête Authorization. Les jetons d'utilisateur et de compte sont acceptés.

Dans les deux cas, la documentation recommande de n'accorder que les permissions dont l'agent a besoin.

Les serveurs spécialisés

Six autres serveurs, facultatifs, couvrent des usages précis. Parmi eux :

• Documentation (https://docs.mcp.cloudflare.com/mcp) : la référence Cloudflare à jour ;
• Browser Run (https://browser.mcp.cloudflare.com/mcp) : charger une page, la convertir en Markdown, prendre une capture d'écran ;
• Container (https://containers.mcp.cloudflare.com/mcp) : ouvrir un environnement de développement isolé ;
• Cloudflare One CASB (https://casb.mcp.cloudflare.com/mcp) : repérer des erreurs de configuration de sécurité dans des applications SaaS.

Limites et points à vérifier

• La page ne mentionne ni limites de débit, ni comportement en cas d'erreur.
• Elle ne détaille pas l'authentification serveur par serveur, au-delà des deux modes généraux.
• Le Code Mode a une contrepartie que la documentation n'aborde pas : un client MCP affiche d'ordinaire l'outil appelé et ses paramètres avant validation. Ici, il faut lire le JavaScript généré pour savoir ce que l'agent s'apprête à faire. Approuver une action demande donc plus d'attention.

Notre lecture

Pour une petite entreprise, un compte Cloudflare porte souvent le nom de domaine, donc le site et la messagerie. Une modification malheureuse des enregistrements DNS peut tout rendre inaccessible. Le serveur donne potentiellement accès à l'API entière : le réglage des permissions est la décision qui compte.

Notre conseil : commencez par un accès en lecture seule, utile pour auditer une configuration ou comprendre un réglage. N'ouvrez l'écriture que sur le périmètre nécessaire, et relisez le code avant chaque exécution qui modifie quelque chose. Si vous cherchez seulement des réponses sur les produits Cloudflare, le serveur Documentation suffit et ne touche pas à votre compte. Cette fiche repose sur la documentation de l'éditeur ; nous n'avons pas testé le serveur.