Ru Marketplace

ru-marketplace-mcp

MCP-серверы для российских и китайских маркетплейсов. Цены, наличие, рейтинги, отзывы и реквизиты продавцов с Wildberries, Ozon, Яндекс Маркета, Детского мира, Авито, AliExpress, Taobao, Мегамаркета, Lamoda, DNS и Ситилинка. Плюс недвижимость с Циана и сравнение цен по всем товарным источникам одним вызовом.

Только чтение. Ключи API, токены и регистрация не нужны — площадки с жёстким анти-ботом читаются через ваш собственный Chrome. Одно исключение по желанию: опциональный MPStats берёт платный токен (MPSTATS_MP_AUTH) — без него всё остальное работает как прежде.

English version below · Первый успешный запрос · Архитектура · Как добавить источник · Про анти-бот

Для проверок в браузере добавлен опциональный режим сохранения вкладки: CHROME_CHALLENGE_HANDOFF_S=120. После завершения проверки повтор того же запроса в той же MCP-сессии продолжает чтение этой вкладки. Поддержка и ограничения описаны в настройке Chrome.

Что внутри

Читается анонимно, без браузера: Wildberries, Яндекс Маркет и Детский мир. Карточки Lamoda сначала читаются по HTTP GraphQL; при отказе нужен ваш Chrome (CDP) для запасного уровня. Остальным нужен ваш залогиненный Chrome (CDP). Taobao и Мегамаркет вдобавок требуют активного входа в саму площадку — без него Taobao упирается в стену логина, а Мегамаркет отдаёт пустой ответ. Авито ещё и блокирует по IP: с датацентрового адреса это глухой отказ, с российского домашнего — работает, если не частить запросами. Запросы к CDP-источникам идут вразрядку: очередь подряд без пауз роняет их (DNS и Taobao в проверке так и деградировали), поэтому коннекторы держат паузу между вызовами сами. Точное состояние из вашей сессии покажет marketplace-mcp doctor.

MPStats стоит особняком: это единственный платный источник. Без MPSTATS_MP_AUTH сервер запускается, но инструменты отвечают auth_missing — поэтому он опционален и подключается по желанию, на остальные тринадцать серверов он не влияет никак.

Всего 39 инструментов в 14 серверах на общем рантайме mcp-core. Плюс объединённый marketplace-mcp, который монтирует всё разом — одна запись в конфиге клиента вместо четырнадцати. Он добавляет свой инструмент marketplace_sources (какие коннекторы поднялись, а какие отвалились и почему), так что в нём 40 инструментов: 39 смонтированных плюс этот.

Проверка 2.5.3: 13 октября с одного адреса selfcheck прошли Ozon, Яндекс Маркет, Детский мир, Авито (поиск, карточка, продавец), Taobao, Ситилинк, AliExpress и Циан; Wildberries отвечает через WB_TRANSPORT=dom. Lamoda, DNS и Мегамаркет честно отвечают «заблокировано», пока человек не пройдёт их проверку в Chrome: куки живут минуты (12 октября после проверки они работали). Дрейфа не найдено, визуальная приёмка не выполнена. Статус источников.

Быстрый старт

Нужны Python 3.12+ и uv.

Для установки клиента, выбора источников и проверки первого предложения — пошаговый старт. Node нужен только для тестов разработчика.

git clone https://github.com/Vladimir-Human/ru-marketplace-mcp.git
cd ru-marketplace-mcp
uv sync --all-packages
uv run pytest -q -m "not live and not cdp"   # 2269 офлайн-тестов, сеть не нужна

Проверка живого эндпоинта:

uv run python -c "
import asyncio
from wb_connector.server import wb_selfcheck
print(asyncio.run(wb_selfcheck()).status)   # ждём success
"

Подключение к MCP-клиенту

Каждый сервер — консольная команда, поэтому пути в конфиге не зашиваются.

Windows: %APPDATA%\Claude\claude_desktop_config.json macOS: ~/Library/Application Support/Claude/claude_desktop_config.json

Проще всего подключить одну запись — объединённый сервер монтирует все источники разом, а имена инструментов (wb_search, avito_seller, …) не меняются:

{
  "mcpServers": {
    "marketplace": {
      "command": "uv",
      "args": ["run", "--directory", "C:/путь/к/ru-marketplace-mcp", "marketplace-mcp"],
    },
  },
}

Если нужны отдельные серверы, marketplace-mcp install claude напечатает готовый блок для вставки. Путь к вашему checkout там уже подставлен: заглушку /path/to/ru-marketplace-mcp править руками не придётся. При установке из wheel вместо путей печатаются консольные команды на PATH. Неизвестное имя клиента (допустимы claude, claude-code, cursor, dsh) команда отклоняет с пояснением и кодом возврата 2 — молча подставить блок для Claude она не может. Минимальный вариант вручную:

{
  "mcpServers": {
    "wildberries": {
      "command": "uv",
      "args": ["run", "--directory", "C:/путь/к/ru-marketplace-mcp", "wb-mcp"],
    },
    "ozon": {
      "command": "uv",
      "args": ["run", "--directory", "C:/путь/к/ru-marketplace-mcp", "ozon-mcp"],
    },
    "compare-prices": {
      "command": "uv",
      "args": ["run", "--directory", "C:/путь/к/ru-marketplace-mcp", "compare-mcp"],
    },
  },
}

Путь пишите с прямыми слешами / или двойными обратными \\. Полный список команд — wb-mcp, ozon-mcp, yandex-mcp, detmir-mcp, avito-mcp, taobao-mcp, megamarket-mcp, lamoda-mcp, dns-mcp, citilink-mcp, compare-mcp, marketplace-mcp.

Только нужные площадки: MARKETPLACE_SOURCES

Объединённый сервер монтирует все источники, а описания их инструментов уходят в контекст в каждом запросе. Переменная MARKETPLACE_SOURCES оставляет только перечисленные:

{
  "mcpServers": {
    "marketplace": {
      "command": "uv",
      "args": ["run", "--directory", "C:/путь/к/ru-marketplace-mcp", "marketplace-mcp"],
      "env": {
        "MARKETPLACE_SOURCES": "wildberries,ozon,yandex_market,avito,aliexpress,dns,compare",
      },
    },
  },
}

Имена — канонические (wildberries, ozon, yandex_market, detsky_mir, avito, taobao, megamarket, lamoda, dns, citilink, aliexpress, cian, compare, mpstats); короткие псевдонимы wb, ym/yandex, detmir, ali тоже принимаются. Неизвестное имя отклоняется при запуске с перечнем поддерживаемых источников, чтобы опечатка не превратилась в частичный сервер. Переменная не задана или пуста — монтируется всё, как раньше. Отключённые источники видно в marketplace_sources: они попадают в skipped с пометкой, что их сняли, а не что они не импортировались. compare_prices опрашивает ровно тот же набор.

claude mcp add wildberries -- uv run --directory /путь/к/ru-marketplace-mcp wb-mcp
claude mcp add yandex-market -- uv run --directory /путь/к/ru-marketplace-mcp yandex-mcp
claude mcp add detsky-mir -- uv run --directory /путь/к/ru-marketplace-mcp detmir-mcp
claude mcp add ozon -- uv run --directory /путь/к/ru-marketplace-mcp ozon-mcp
claude mcp add compare-prices -- uv run --directory /путь/к/ru-marketplace-mcp compare-mcp

{
  "mcpServers": {
    "compare-prices": {
      "command": "uv",
      "args": ["run", "--directory", "/путь/к/ru-marketplace-mcp", "compare-mcp"],
    },
  },
}

Запустите uv run --directory /путь/к/репозиторию <команда>, где команда — одна из wb-mcp, ozon-mcp, yandex-mcp, detmir-mcp, aliexpress-mcp, cian-mcp, compare-mcp. Серверы говорят по JSON-RPC через stdin и stdout, диагностику пишут в stderr. Опциональный mpstats-mcp запускается так же, с MPSTATS_MP_AUTH в окружении.

В dsh это не запись mcpServers, а слой профиля. Бандл лежит в подкаталоге dsh/ и ставится штатным менеджером плагинов (pnpm нужен на PATH):

dsh plugin --profile web add github:Vladimir-Human/ru-marketplace-mcp#path:/dsh

Сразу после установки появляются 15 навыков и ни одного MCP-инструмента: обе строки MCP выключены, пока не задана переменная RU_MARKETPLACE_MCP_DIR с путём к клону. Так сделано потому, что смонтированный сервер платится в каждом запросе: рекомендуемый режим сравнения цен стоит ~0,9 тыс. токенов, полный набор — ~13,6 тыс. Включение и полный режим описаны в dsh/README.md.

После подключения перезапустите клиент и прогоните marketplace-mcp doctor. Он запускает канарейку каждого коннектора и отвечает success, drift_detected или inconclusive.

Инструменты

Канарейки *_selfcheck в этом перечне не значатся намеренно: они не публикуются по MCP, потому что диагностика оператора стоила бы модели ~7,5 тыс. токенов в каждом запросе. Запускает их marketplace-mcp doctor — все разом, из командной строки.

Wildberries — wb_*

wb_seller отвечает на вопрос, который карточка товара скрывает: кто на самом деле продаёт? Возвращает зарегистрированное юрлицо и налоговые номера. Так отличают официальный магазин бренда от перекупщика с похожим названием.

wb_questions закрывает другой пробел. Отзывы говорят, каково владеть товаром; вопросы уточняют, что это вообще за товар — «10 или 16 ампер», «кабель в комплекте?». Ответ продавца часто единственное публичное утверждение об этом. Пул общий для всех вариантов товара, ключ — imt_id из wb_root_info.

wb_category_products замыкает связку с wb_categories: та отдаёт shard и query, это — товары по ним. Формат элементов совпадает с wb_search, поэтому обход категорий и текстовый поиск сравнимы напрямую. Часть крупных разделов WB помечает шардом blackhole — у них нет своей выдачи, и инструмент честно об этом говорит вместо пустого списка.

Если с вашего адреса API WB отвечает 403 (так бывает: отказ зависит и от адреса, и от клиента), включите WB_TRANSPORT=dom. Тогда wb_search и wb_card читают отрисованные страницы WB в вашем Chrome через CDP, как DNS и Ситилинк, без обращений к API. В выдаче поиска price_rub — цена по WB Кошельку (price_kind: wallet); карточка отдаёт обычную цену, цену по Кошельку и зачёркнутую раздельно, а также магазин, склад, срок доставки, возврат, гарантию, значок «Оригинал» и строку «Все N предложений от X ₽». Подробности — ANTI_BOT.md.

Яндекс Маркет — yandex_*

Две цены, всегда. price_rub платит любой покупатель. price_with_plus требует подписку Яндекс Плюс и обычно на 25–30% ниже. Интерфейс Яндекса показывает вторую крупным шрифтом, поэтому назвать её без оговорки — значит пообещать цену, которую человек без подписки не получит.

Строка поиска — это оффер из выдачи, а не дефолтный оффер карточки. Один product_id покрывает семейство товаров, и в выдаче может показываться один его представитель, а в карточке по тому же id — другой; сверяйте строки поиска с карточками по sku_id, а не по URL. price_old_rub в строках поиска — зачёркнутая базовая цена, контекст скидки; называть её ценой нельзя.

rating_stars даёт распределение вида {1: 10, 2: 3, 3: 10, 4: 19, 5: 502}. Из него видно, честная ли средняя 4.8 или за ней прячется кучка единиц.

Детский мир — detmir_*

Регион задаётся на каждый вызов. Цены и особенно наличие в офлайн-магазинах сильно зависят от города: один и тот же товар лежал в 152 магазинах Москвы, 37 Петербурга и 2 Хабаровска. Параметр region перекрывает DETMIR_REGION, так что города можно сравнивать в одной сессии.

Текстового поиска здесь нет, и это намеренно. API Детского мира молча игнорирует любые текстовые фильтры и возвращает весь каталог на 300 тысяч позиций, а сайтовый роут поиска отдаёт 404 с промо-карусселью. Инструмент поиска возвращал бы уверенно неверные товары, поэтому навигация идёт через категории. Подробности в docs/ANTI_BOT.md.

Ozon — ozon_*

Ozon отклоняет датацентровый трафик, поэтому коннектор двухуровневый. Сначала TLS-имперсонация. Если Cloudflare выдаёт челлендж, запрос выполняется внутри вашего залогиненного Chrome через DevTools Protocol. Ничего не хранится: вход выполняете вы сами, в браузере, который контролируете. Настройка описана в docs/CDP_SETUP.md.

С российского домашнего IP первый уровень обычно работает, и браузер не нужен.

Отзывы на Ozon общие для всей карточки-семейства, и соседи по пулу — часто другой товар другого бренда. У карточки масляного радиатора Huter 1500 Вт (SKU 5264146973, рейтинг 4.8 из 356 отзывов) среди 100 вытянутых отзывов не оказалось ни одного о самом Huter: 38 про Ресанту 2000 Вт, 34 про Ресанту 1500 Вт, 5 про Eurolux и так далее — всего 12 товаров в пуле. Поэтому каждый отзыв несёт item_id — SKU того товара, о котором он написан, а ответ дополнительно отдаёт requested_item_id, own_reviews (сколько отзывов действительно об этом SKU) и pool_variants (SKU → название всех товаров пула). rating_score и distribution считаются по пулу, а не по товару: прежде чем делать вывод, отзывы нужно отфильтровать по item_id, а при own_reviews: 0 — честно сказать, что своих отзывов у товара нет.

Авито — avito_*

Авито — это объявления, а не каталог: пула отзывов на товар нет, репутация продавца и есть сигнал доверия. Бесплатное/обменное объявление приходит с price_rub: null — никогда не 0, чтобы не оказаться «самым дешёвым» в сравнении. Поиск использует TLS-имперсонацию и ваш Chrome как запасной путь. Карточки читают schema.org Product и блок продавца со страницы объявления через CDP: seller содержит репутацию и ссылку на профиль, если блок доступен. На 2026-10-12 /web/1/js/items игнорирует itemId и userId; разные продавцы получают один общий каталог с totalCount: 1500, а не свои объявления. Поэтому продавцы читаются с отрисованного профиля через CDP с теми же паузами и разрешёнными хостами, что и карточки. Принимаются /brands/<hash>, /user/<hash>/profile и голый ID: 32 шестнадцатеричных символа ведут в brands, остальные ID — в user. Недоступный счётчик active_items остаётся null. Полный URL карточки используется без query/fragment; для ID применяется /{id}: Авито перенаправляет его на страницу объявления. location, posted_at, views остаются null: их нет в Product JSON-LD. Без Product или одновременно без названия и цены возвращается parser_drift, а не пустой успех. Canary проходит цепочку поиск → карточка → профиль продавца. С датацентрового IP возможен 403-файрвол.

Taobao — taobao_*

Поиск Taobao — клиентское React-приложение с подписанным mtop API: каждый запрос требует sign, вычисленный из cookie-токена, поэтому анонимного пути нет. Все чтения идут внутри вашего Chrome, где сайт сам подписывает запросы. Цены в юанях (CNY) и не конвертируются: зашитый курс молча устарел бы, так что сравнение с рублёвыми источниками делайте явно.

Мегамаркет, Lamoda, DNS, Ситилинк

Эти четыре читаются через ваш Chrome (CDP). Мегамаркет (megamarket_*) — мобильный JSON API из-за ServicePipe, и одного пройденного челленджа мало: анонимной сессии API отдаёт пустой список, нужен активный вход в Мегамаркет. DNS (dns_*) и Ситилинк (citilink_*) — отрисованный DOM из-за Qrator; у всех трёх анонимного пути нет вообще. Lamoda (lamoda_*) наполовину: поиск идёт через Chrome, а карточки сначала читаются через HTTP GraphQL (tier 1). При ответе не 200 или httpx.TransportError выполняется ровно один GraphQL POST внутри страницы вашего Chrome через CDP (tier 2); успешный fallback отмечен tier_used: graphql_cdp. HTTP 200 не вызывает CDP. Причина: 2026-10-12 GraphQL по HTTPS отвечал циклом 307. Chrome с CDP (scripts/start_chrome_cdp.sh) нужен остальным всегда, а карточкам Lamoda — только для запасного уровня.

Всего через CDP ходят девять источников — эти плюс Taobao, AliExpress, Циан, Ozon и Авито. У Ozon, а также у поиска и продавцов Авито Chrome — запасной уровень, когда анонимный tier 1 упёрся в челлендж; карточки Авито всегда требуют CDP. marketplace-mcp doctor из вашего браузера скажет, какие эндпоинты подтверждены.

AliExpress — aliexpress_*

Читается через ваш Chrome (CDP): x5sec ставит капчу анонимным клиентам, поэтому коннектор садится на страницу поиска (её не челленджат) и открывает карточку новой вкладкой из неё. Цены в рублях и участвуют в compare_prices. Карточка с названием, но без цены — известное состояние: под нагрузкой x5sec перестаёт отдавать ценовой модуль, коннектор пишет price_missing, а не выдумывает число. Цена «N ₽ с купоном» в price_rub не публикуется: там обычная цена, про купон коннектор честно предупреждает отдельно. Тексты отзывов не отдаются: только рейтинг и число заказов. Как и у остальных CDP-источников, зелёный aliexpress_selfcheck доказывает, что транспорт ответил, — не то, что цена верна.

Циан — cian_*

Недвижимость, а не товары: квартиры, комнаты, дома и коммерция на продажу, в долгосрочную аренду и посуточно (deal="daily"; коммерции посуточно у Циана нет, такой запрос отклоняется). Длительная и суточная аренда — два разных рынка, в одной выдаче не смешиваются: у суточных цена за ночь, price_period и lease_term пустые, поэтому у каждой строки есть price_unit — total, month или day. Сравнивать цены между единицами нельзя. Поиск только по фильтрам — текстового поиска у Циана нет. Регион задаётся id Циана: 1 Москва, 2 Санкт-Петербург, 4593 Московская область, 4588 Ленинградская область (все четыре проверены живьём); остальным регионам нужен их id. Читается через ваш Chrome (CDP): WAF Циана режет голый HTTP по IP, а из сессии браузера отвечает собственный JSON-API сайта, так что HTML не парсится. Цена «не указана» приходит как null, не 0. Агентской страницы как инструмента нет: она не отдаёт структурированных данных, агент приходит внутри карточки. В compare_prices источник не участвует.

Сравнение цен — compare_*

compare_prices("кроссовки мужские")

  wildberries      712 ₽   Кроссовки изи дышащие спортивные
  wildberries      814 ₽   Зимние кроссовки теплые с мехом
  yandex_market   2499 ₽   Кеды A-LOW
  yandex_market   3480 ₽   Кеды

  дешевле всего: wildberries 712 ₽, разброс 5858 ₽, complete: true

Маркетплейсы опрашиваются параллельно, и каждый отчитывается сам за себя. Если один заблокирован, сравнение не рушится: complete: false вместе с source_outcomes покажет, что именно вы видите. Подписочные цены в ранжировании не участвуют. Повторы по (источник, id товара, id варианта) схлопываются. Разные SKU Яндекса сохраняются даже внутри одной товарной семьи. Наличие в сравнении трёхзначное: true — подтверждено, false — подтверждено отсутствие, null — неизвестно. При in_stock_only=true победитель выбирается только среди true; неизвестные остатки WB и неоднозначные подписи Ozon остаются видимыми в конце списка.

У каждого предложения есть currency (строчный ISO-код, по умолчанию rub) и price_native — цена в этой валюте, как её показывает маркетплейс. Для российских источников она совпадает с price_rub; у Taobao в ней лежит цена в юанях, которую price_rub намеренно оставляет пустой. Раньше юаневую цену забирали и молча выбрасывали, и строка Taobao приходила с пустой ценой без намёка, что цена вообще есть. Теперь юань виден, но в рублёвом ранжировании по-прежнему не участвует: в warnings появляется foreign_currency: … с числом исключённых предложений и причиной. Конвертировать здесь значило бы зашить курс, который молча устареет, — пересчёт за вами.

MPStats — mpstats_*

Аналитика продаж и остатков по SKU Ozon и Wildberries через плагин MPStats. В отличие от всех остальных коннекторов, этот опционален и требует платный аккаунт MPStats: авторизация — одна cookie mp_auth (JWT из залогиненной сессии плагина на mpstats.io), задаётся переменной MPSTATS_MP_AUTH. Без неё инструменты возвращают auth_missing, а сервер запускается как обычно — ни на что другое это не влияет.

place — ozon или wildberries. Графики длиной 30, от старых к новым: последняя ненулевая ячейка — текущая цена или остаток. Цена и остаток при сплошь нулевом графике ведут себя намеренно по-разному: цена становится None (ложный 0 выиграл бы любое сравнение «где дешевле»), а остаток — 0, потому что «нулевой остаток» это осмысленное показание, а не отсутствие данных. Пустой график даёт None в обоих случаях. Ноль в отдельной ячейке — «нет данных за тот день», а не «значение было нулевым», поэтому сумму за окно считайте по графику. Отсутствие токена и транспортные сбои selfcheck отчитывает как inconclusive, не drift: гоняться за дрейфом схемы, которого не было, не нужно. Токен — секрет платного аккаунта с квотой: не логируйте и не коммитьте его.

Навыки для агента

У каждого коннектора — свой навык в skills/: пятнадцать штук, по одному на источник плюс общий marketplace. Навык это не пересказ README: он объясняет агенту, когда за этот источник вообще браться, чего у источника нет, и каким его ответам нельзя верить без второго взгляда.

mcp-core — общий рантайм под остальными серверами. Своего навыка у него нет.

Соответствие проверяется тестом (packages/marketplace-connector/tests/test_skills_parity.py): новый коннектор без навыка роняет прогон, как и навык, который называет несуществующий инструмент или забыл существующий. До этого теста навык DNS почти год советовал формат ссылки /product/<24-hex>/ — тот самый шаблон, который чинили как баг.

Скиллы едут в Docker-образ (/app/skills/), но в колёсах их нет: skills/ лежит в корне репозитория. Ставите с PyPI — возьмите навыки из репозитория отдельно.

Настройка

Все параметры задаются переменными окружения с префиксом коннектора. Все необязательные.

CHROME_CDP_HOST указывает, куда дозвониться CDP-клиенту (по умолчанию 127.0.0.1). Из контейнера ставьте chrome (сайдкар) или host.docker.internal — это открывает tier-2 источники (Ozon, Авито, Taobao, Мегамаркет, Lamoda, DNS, Ситилинк, AliExpress, Циан) в Docker без host networking. Подробности в docs/DEPLOYMENT.md.

*_CACHE_TTL=0 выключает кэш. *_PROXY перекрывает стандартные HTTPS_PROXY и ALL_PROXY — свой префикс есть у семи коннекторов: WB_, YANDEX_, DETMIR_, OZON_, AVITO_, LAMODA_ и MPSTATS_. У Taobao своего нет намеренно: поиск там подписан и ходит через собственный клиент. У Мегамаркета, DNS и Ситилинка тоже нет: их трафик идёт через ваш Chrome, а его egress — дело настроек браузера. Кэшируются только удачные ответы: запомнить сбой значило бы растянуть секундную помеху на весь TTL.

У Ozon прокси применяется к первому уровню. Второй идёт через ваш собственный Chrome, и его трафик — дело настроек этого браузера.

Секрет один, и тот опциональный. Всем серверам, кроме MPStats, ничего не нужно: нечего настраивать, нечему утечь. У MPStats есть MPSTATS_MP_AUTH — JWT платного аккаунта, и потому его место только в env клиентской записи: в коде и коммитах его нет и быть не должно.

Разработка

uv sync --all-packages
uv run pytest -q -m "not live and not cdp"    # 2269 офлайн-тестов
uv run pytest -q -m "not live"                # то, что гоняет CI
uv run pytest -q -m "not live" --cov          # покрытие, порог 70% в CI
uv run ruff check . && uv run ruff format --check .
uv run mypy                                   # что проверять — в [tool.mypy] files
uv run mypy --platform win32                  # ловит ошибки, видимые только на Windows
uv run python scripts/check_no_print.py       # запись в stdout ломает JSON-RPC
uv run python scripts/check_versions.py       # одна версия во всех 77 местах

Часть тестов прогоняет настоящий JS-экстрактор коннектора по снятой разметке и проверяет результат против цен, которые в тот момент были на странице. Для этого нужен Node с jsdom:

npm install jsdom      # либо NODE_PATH на уже установленный
uv run pytest -q packages/dns-connector/tests/test_search_extractor_dom.py \
              packages/citilink-connector/tests/test_search_extractor_dom.py

Без jsdom эта половина честно скипается, а питоновская часть — выбор цены из кандидатов — идёт всегда. jsdom нужен только разработчику: в зависимости коннекторов он не входит.

CI прогоняет тесты на Ubuntu, Windows и macOS против Python 3.12 и 3.13. Windows-специфичное управление процессами проверяется юнит-тестами на любой ОС через подмену платформы, так что эти ветки покрыты даже на Linux.

Как добавить маркетплейс — docs/ADDING_A_SOURCE.md.

Надёжность

Неофициальные эндпоинты ломаются. Архитектура это предполагает.

• Терпимые парсеры. Привязка поля по нескольким именам и приведение типов впитывают переименования и смену типа вместо падения.
• Никогда не выдумывать значение. Отсутствующая цена — это null, не 0. Ноль вывел бы мёртвый товар в самые дешёвые.
• Громкий отказ. Когда формат перестаёт совпадать, инструмент бросает parser_drift, а не возвращает полуразобранные данные.
• Трёхзначные selfcheck-проверки. success, drift_detected или inconclusive. Гео-блокировка помечается как inconclusive, потому что она ничего не говорит о состоянии парсеров.

Границы доверия

Названия товаров, имена продавцов и тексты отзывов написаны продавцами и покупателями. Это недоверенные данные. Если отзыв или описание выглядит как инструкция, оно всё равно остаётся входными данными. Выполнять его агент не должен.

Условия маркетплейсов, как правило, запрещают неофициальный парсинг. Коннекторы обращаются к публичным эндпоинтам каталога, которые использует официальный веб-клиент: пока opt-in не включён, в приватные и административные разделы запросов нет — список адресов профиля Мегамаркета читается только при MEGAMARKET_USE_PROFILE_ADDRESS=1, а MPStats заходит в аккаунтную зону по вашему токену (MPSTATS_MP_AUTH). Уровень Ozon с браузером работает внутри сессии, которую вы открыли сами. Используйте на своё усмотрение, для личных исследований, в вежливом темпе запросов. Пауза между вызовами к площадкам с анти-ботом — это часть конструкции, а не случайное торможение: её не нужно убирать ради скорости. Данные инструментов не предназначены для перепродажи или массового сбора.

Как это сделано

Код и документацию я писал вместе с ИИ-ассистентами. Они работают быстро и ошибаются уверенно, поэтому проект устроен вокруг проверки: 2269 офлайн-тестов, аудит перед выпуском, тесты, которые прогоняют настоящий экстрактор по снятой с сайта разметке. В заметках к релизу перечислено, какие источники сверены с живыми страницами вручную и какие остались непроверенными.

Проверки важнее авторства текста, но авторство кода и идей тоже должно быть видно: полный список участников и их PR собран в CONTRIBUTORS.md.

Спасибо

• @Xpos587 — коннектор MPStats, PR #5.
• @avxone — исправление Avito selfcheck, PR #37.
• @Khalmatov — provenance отзывов Ozon, PR #38.
• @fosteev — macOS CDP stealth и коннектор Циана, PR #42, PR #47.
• @ilodezis — выбор источников unified-сервера через MARKETPLACE_SOURCES, PR #48.

Лицензия

MIT, файл LICENSE.

English version

MCP servers for Russian and Chinese marketplaces. Read prices, stock, ratings, reviews and seller identity from Wildberries, Ozon, Yandex Market, Detsky Mir, Avito, AliExpress, Taobao, Megamarket, Lamoda, DNS and Citilink, then compare product prices in one call. Cian adds real-estate search and listing cards separately.

First successful query walks through installation, choosing a server, targeted health checks, and verifying an offer before recommending it.

Read-only. No credentials, no API keys, no account required — the marketplaces with hard anti-bot are read through your own Chrome. One optional exception: MPStats takes a paid account token (MPSTATS_MP_AUTH) if you want its analytics; without it every other server is unaffected.

2.5.3 verification: on 13 October, from one address, Ozon, Yandex Market, Detsky Mir, Avito (search, card, seller), Taobao, Citilink, AliExpress and Cian passed selfcheck; Wildberries answers through WB_TRANSPORT=dom. Lamoda, DNS and Megamarket report blocked until a human clears their browser check, whose cookies last minutes (on 12 October they worked right after it). No drift; no visual acceptance. See the per-source release evidence.

What you get

Anonymous, no browser: Wildberries, Yandex Market and Detsky Mir. Lamoda cards try HTTP GraphQL first and need your Chrome (CDP) only for the fallback tier. The rest need your logged-in Chrome (CDP). Taobao and Megamarket additionally need you signed into the marketplace itself — without it Taobao hits a login wall and Megamarket returns an empty result. Avito also blocks by IP: from a datacenter address it is a flat refusal, from a Russian residential one it works as long as you do not burst requests. Requests to the CDP sources are paced apart — a run of back-to-back calls degrades them (DNS and Taobao both dropped that way in testing), so the connectors hold a gap between calls themselves. Run marketplace-mcp doctor from your own session for the current state.

MPStats stands apart as the only paid source: without MPSTATS_MP_AUTH the server boots but its tools answer auth_missing. It is therefore optional — plug it in if you have an account; the other thirteen servers never notice.

39 tools across 14 stdio MCP servers, sharing one runtime (mcp-core), plus the unified marketplace-mcp that mounts them all under one client entry. It adds its own marketplace_sources tool — which connectors mounted, and which dropped out and why — so it exposes 40 tools: the 39 mounted plus that one. stdio is the default; HTTP transport is opt-in for remote deployment — see docs/DEPLOYMENT.md.

Quickstart

Requires Python 3.12+ and uv.

git clone https://github.com/Vladimir-Human/ru-marketplace-mcp.git
cd ru-marketplace-mcp
uv sync --all-packages
uv run pytest -q -m "not live and not cdp"    # 2269 offline tests, no network needed

Client configuration mirrors the Russian section above. Each server is a console script (wb-mcp, ozon-mcp, yandex-mcp, detmir-mcp, aliexpress-mcp, cian-mcp, compare-mcp) launched through uv run --directory /path/to/repo <script>. The optional mpstats-mcp runs the same way with MPSTATS_MP_AUTH in the entry's env (paid MPStats account; without it the tools return auth_missing). marketplace-mcp install [claude|claude-code|cursor|dsh] prints the block with your checkout's real path filled in — no placeholder to hand-edit — or the console-script paths on PATH when installed as a wheel; an unknown client name is rejected. The dsh target prints a cordis.patch.yml row instead of mcpServers JSON — see dsh/README.md.

DeepSeek Harness (dsh) installs as a plugin bundle rather than an mcpServers entry, from the dsh/ subdirectory (pnpm must be on PATH):

dsh plugin --profile web add github:Vladimir-Human/ru-marketplace-mcp#path:/dsh

That gives you 15 skills immediately and no MCP tools: both MCP rows stay disabled until RU_MARKETPLACE_MCP_DIR points at a clone. A mounted server is paid on every request — ~0.9k tokens for the recommended price-comparison mode, ~13.6k for the full set — so opting in is left to you. dsh/README.md covers enabling it and the full mode.

After connecting, run marketplace-mcp doctor. It runs every connector's canary and reports success, drift_detected, or inconclusive for each.

The tools

The *_selfcheck canaries are deliberately absent from these tables: they are not published over MCP, because operator diagnostics would cost the model ~7.5k tokens on every request. marketplace-mcp doctor runs them all from the command line.

Wildberries — wb_*

wb_seller answers the question a listing hides: who actually ships this? It returns the registered legal entity and tax ids, which is how you distinguish an official brand store from a reseller trading under a lookalike name.

wb_questions covers a different gap. Reviews describe what owning the product is like; questions clarify what it actually is — "10A or 16A?", "is the cable included?" — and the seller's reply is often the only public statement of that fact. One pool per imt_id, shared across every variant.

wb_category_products closes the loop wb_categories opens: that tool hands back WB's shard and query, and this one fetches the products behind them. Items use the same shape as wb_search, so a category walk and a text search are directly comparable. Several of WB's largest sections carry the shard blackhole and have no feed at all; the tool says so instead of returning an empty list.

If WB's API answers 403 from your address (the refusal depends on both address and client), set WB_TRANSPORT=dom: wb_search and wb_card then read WB's rendered pages in your Chrome over CDP, like DNS and Citilink, with no API calls. On search tiles price_rub is the WB Wallet price (price_kind: wallet); the card reports the regular, Wallet and struck prices separately, plus the store, warehouse, delivery date, return policy, warranty, the «Оригинал» badge and «Все N предложений от X ₽». Details in ANTI_BOT.md.

Yandex Market — yandex_*

Two prices, always. price_rub is what anyone pays. price_with_plus needs a paid Yandex Plus subscription and runs 25–30% lower. Yandex leads with the subscriber price, so quoting it uncritically misstates the real cost.

A search row is the SERP's offer, not the card's default offer. One product_id covers a product family, and search may show one member while the card for the same id defaults to another — reconcile rows with cards by sku_id, not by URL. price_old_rub on search rows is the struck-through reference price, never a price to quote.

rating_stars gives the distribution, for example {1: 10, 2: 3, 3: 10, 4: 19, 5: 502}. That reveals whether a 4.8 average is earned or hides a cluster of complaints.

Detsky Mir — detmir_*

Region is per call. Prices and especially offline availability swing by city — one item sat in 152 Moscow stores, 37 in St Petersburg, 2 in Khabarovsk. The region parameter overrides DETMIR_REGION, so one session can compare cities.

There is no text search, deliberately. Detsky Mir's API silently ignores every text filter and returns its entire 300k-item catalog; the website's search route answers 404 and renders a promo carousel. A search tool would return confidently wrong products, so discovery goes through categories instead. See docs/ANTI_BOT.md.

Ozon — ozon_*

Ozon rejects datacenter traffic, so this connector is two-tier: TLS impersonation first, then a fetch inside your own logged-in Chrome over the DevTools Protocol when Cloudflare challenges. Nothing is stored; you log in yourself, in a browser you control. Setup: docs/CDP_SETUP.md.

From a Russian residential IP the first tier usually works and no browser is needed.

Ozon pools reviews per card family, and the neighbours are often a different product from a different brand. A live card for a 1500 W Huter oil heater (SKU 5264146973, rated 4.8 across 356 reviews) returned 100 reviews of which zero were about the Huter: 38 about a 2000 W Resanta, 34 about a 1500 W Resanta, 5 about a Eurolux — 12 products in that pool. So every review carries item_id, the SKU it is actually about, and the response adds requested_item_id, own_reviews (how many returned reviews really are about that SKU) and pool_variants (SKU → name for the whole pool). rating_score and distribution are pool-wide, not per product: filter by item_id before concluding anything, and when own_reviews is 0, say plainly that the product has no reviews of its own.

AliExpress — aliexpress_*

Read through your Chrome (CDP): x5sec challenges anonymous clients, so the connector lands on a search page (never challenged) and opens the card in a new tab from it. Prices are rubles and rank in compare_prices. A card with a title but no price is a known state — under load x5sec stops serving the price module and the connector reports price_missing rather than inventing a number. A "with coupon" price never lands in price_rub: the regular price does, and the coupon is reported as a warning. Review texts are not exposed; rating and order counts are. As with every CDP source, a green aliexpress_selfcheck proves the transport answered — not that a given price is right.

Cian — cian_*

Real estate, not goods: flats, rooms, houses and commercial property for sale, long-term rent or daily rent (deal="daily"; Cian has no daily commercial market and that combination is refused). Long-term and daily are separate markets that never share a result page: a daily price is per night and Cian leaves price_period and lease_term null there, so every row carries price_unit — total, month or day. Never compare prices across units. Search is by filters only — Cian has no text search. The region is a Cian id: 1 Moscow, 2 St. Petersburg, 4593 Moscow oblast, 4588 Leningrad oblast (all four verified live); other regions need their own id. Read through your Chrome (CDP): Cian's WAF blocks plain HTTP by IP, while inside the browser session the site's own JSON API answers, so no HTML is parsed. A price Cian does not state arrives as null, never 0. There is no agent tool: the agent page exposes no structured data, and the publisher ships inside the card. The source takes no part in compare_prices.

Avito — avito_*

Avito is classifieds, not a catalog: there is no per-product review pool, the seller's reputation IS the trust signal. A free/swap listing arrives with price_rub: null — never 0, so it cannot win "cheapest". Search uses TLS impersonation with Chrome fallback. Cards read the item page's schema.org Product and seller block over CDP; seller carries reputation and the profile link when that block is available. As of 2026-10-12 /web/1/js/items ignores both itemId and userId: different sellers receive the same generic catalog with totalCount: 1500, not their listings. Seller reads therefore use the rendered profile over CDP, with the same pacing and allowed hosts as cards. Accepted paths are /brands/<hash> and /user/<hash>/profile, or a bare id: 32 hex characters map to brands, other ids to user. Unavailable active_items remains null. Full card URLs lose query/fragment; ids use /{id}, which Avito redirects to the item page. location, posted_at and views stay null, absent from Product JSON-LD. Missing Product, or both name and price missing, raises parser_drift, not empty success. The canary follows search → card → seller profile. Datacenter IPs can still receive the 403 firewall.

Taobao — taobao_*

Taobao search is a signed-mtop React app: every request needs a sign derived from a cookie token, so there is no anonymous path. All reads run inside your Chrome, where the site signs its own requests. Prices stay in yuan (CNY) and are never converted — a baked-in rate quietly goes stale, so compare ruble and yuan listings explicitly.

Megamarket, Lamoda, DNS, Citilink

These four read through your Chrome (CDP). Megamarket (megamarket_*) goes through the mobile JSON API behind ServicePipe and needs an active login — an anonymous session reads empty. DNS (dns_*) and Citilink (citilink_*) render DOM behind Qrator with no anonymous path at all. Lamoda (lamoda_*) is split: search through Chrome, cards over HTTP GraphQL first (tier 1). A non-200 response or httpx.TransportError triggers exactly one in-page GraphQL POST through your Chrome over CDP (tier 2); successful fallback reads report tier_used: graphql_cdp. HTTP 200 skips CDP. The reason is the 2026-10-12 307 loop from GraphQL over HTTPS. All of them need Chrome with CDP (scripts/start_chrome_cdp.sh), but Lamoda cards only need it for the fallback. Nine sources run through CDP in total: these plus Taobao, AliExpress, Cian, Ozon and Avito; for Ozon and Avito, Chrome is also only the fallback tier when the anonymous one is challenged.

Cross-marketplace — compare_*

compare_prices("кроссовки мужские")

  wildberries      712 RUB   Кроссовки изи дышащие спортивные
  wildberries      814 RUB   Зимние кроссовки теплые с мехом
  yandex_market   2499 RUB   Кеды A-LOW
  yandex_market   3480 RUB   Кеды

  cheapest: wildberries 712 RUB, spread 5858 RUB, complete: true

Sources are queried concurrently and each reports its own outcome. One marketplace being blocked never sinks the comparison: complete: false plus source_outcomes tells you exactly what you are looking at. Subscription prices never win the ranking. Repeats matching on (source, product id, variant id) are collapsed. Distinct Yandex SKUs remain visible within one product family. Comparison stock is tri-state: true means confirmed, false means unavailable, and null means unknown. With in_stock_only=true, only confirmed stock can win; unreported WB quantities and ambiguous Ozon labels remain visible at the end of the list.

Every offer carries currency (lowercase ISO code, default rub) and price_native, the price in that currency as the marketplace quotes it. For Russian sources it mirrors price_rub; for Taobao it holds the yuan price that price_rub deliberately leaves null. That yuan price used to be fetched and silently thrown away, so a Taobao row showed a blank price with no sign a real one existed. Now the yuan is reported but still never ranked against roubles: a foreign_currency: … warning lists how many offers were excluded and why. Converting here would bake in an exchange rate that goes stale silently, so the caller converts if they want to.

MPStats — mpstats_*

Sales and stock analytics per Ozon or Wildberries SKU via the MPStats browser plugin. Unlike every other connector, this one is optional and needs a paid MPStats account: auth is a single mp_auth cookie (JWT from a logged-in plugin session at mpstats.io), set via the MPSTATS_MP_AUTH env var. Without it the tools return auth_missing while the server boots normally — nothing else is affected.

place is ozon or wildberries. Graphs are length 30, oldest first: the last non-zero cell is the current price or stock. The two differ on purpose when the whole graph is zero: price becomes None (a false 0 would win any "cheapest" comparison), while stock becomes 0, because "none in stock" is a real reading rather than an absence of data. An empty graph yields None for both. A zero cell means "no data for that day", not "the value was zero", so sum the graph for a window total. A missing token or a transport failure reports as inconclusive, not drift — no chasing a schema drift that never happened. The token is a secret on a paid, quota-billed account: never log or commit it.

Agent skills

Every connector ships its own skill under skills/ — fifteen of them — one per source plus a shared marketplace overview. A skill is not a restatement of this README: it tells the agent when to reach for that source at all, what the source does not have, and which of its answers should not be trusted without a second look.

mcp-core is the shared runtime rather than a server, so it has no skill.

The mapping is enforced by a test (packages/marketplace-connector/tests/test_skills_parity.py): a new connector without a skill fails the run, and so does a skill that names a tool which does not exist — or omits one that does. Before that test existed, the DNS skill spent months telling operators to pass /product/<24-hex>/, the exact pattern a fix had already removed.

Skills are copied into the Docker image (/app/skills/), but they are not in the wheels: skills/ lives at the repository root rather than inside the packages. Installing from PyPI means fetching the skills from the repo separately.

Configuration

Every setting is an environment variable with a per-connector prefix. All optional.

*_CACHE_TTL=0 disables caching. *_PROXY overrides the standard HTTPS_PROXY/ALL_PROXY — seven connectors carry one: WB_, YANDEX_, DETMIR_, OZON_, AVITO_, LAMODA_ and MPSTATS_. Taobao has none by design and Megamarket, DNS and Citilink none either: their traffic goes through your own Chrome, whose egress is that browser's configuration. Only successful reads are cached: remembering a failure would stretch a one-second blip across the whole TTL window.

Ozon's proxy applies to tier 1. Tier 2 runs inside your own Chrome, whose egress is that browser's configuration, not ours.

Containers. CHROME_CDP_HOST points the CDP client at Chrome (default 127.0.0.1; use chrome or host.docker.internal inside Docker). That single variable is what opens the tier-2 sources — Ozon, Avito, Taobao, Megamarket, Lamoda, DNS, Citilink, AliExpress and Cian — from a container without host networking. See docs/DEPLOYMENT.md.

One secret, and it is optional. Every server except MPStats needs nothing: nothing to configure, nothing to leak. MPStats alone has MPSTATS_MP_AUTH, the JWT of a paid account — it belongs only in the client entry's env, never in code or commits.

Only the sources you use: MARKETPLACE_SOURCES. The unified server mounts every source, and their tool schemas are sent to the client on every request. Set MARKETPLACE_SOURCES in the marketplace-mcp entry's env to a comma-separated list to mount only those, e.g. wildberries,ozon,yandex_market,avito,aliexpress,dns,compare. Names are canonical (wildberries, ozon, yandex_market, detsky_mir, avito, taobao, megamarket, lamoda, dns, citilink, aliexpress, cian, compare, mpstats); the aliases wb, ym/yandex, detmir and ali work too. An unknown name is rejected at startup with the supported-source list, so a typo cannot silently produce a partial server. Unset or blank mounts everything, as before. Deselected sources show up in marketplace_sources under skipped, marked as deselected rather than failed to import, and compare_prices queries the same subset.

Development

uv sync --all-packages
uv run pytest -q -m "not live and not cdp"    # 2269 offline tests
uv run pytest -q -m "not live"                # what CI runs
uv run pytest -q -m "not live" --cov          # coverage, CI enforces a 70% floor
uv run ruff check . && uv run ruff format --check .
uv run mypy                                   # the tree lives in [tool.mypy] files
uv run mypy --platform win32                  # catches Windows-only type errors
uv run python scripts/check_no_print.py       # a print() breaks JSON-RPC
uv run python scripts/check_versions.py       # one version across all 79 places

Some tests execute a connector's real extractor JavaScript against captured markup and check the output against the prices the page was showing when it was captured. That needs Node with jsdom:

npm install jsdom      # or point NODE_PATH at an existing copy
uv run pytest -q packages/dns-connector/tests/test_search_extractor_dom.py \
              packages/citilink-connector/tests/test_search_extractor_dom.py

Without jsdom that half skips honestly and the Python half — choosing the price among the candidates — still runs. jsdom is a developer tool only; no connector depends on it.

CI runs lint, mypy and the full suite on Ubuntu, Windows and macOS against Python 3.12 and 3.13. Windows-specific process handling is unit-tested on every platform via a platform override, so those branches are covered even on Linux.

Adding a marketplace: docs/ADDING_A_SOURCE.md.

Reliability

Unofficial endpoints break. The design assumes it.

• Tolerant readers. Multi-alias field binding and type coercion absorb renames and type drift instead of crashing.
• Never fabricate a value. A missing price is null, never 0. A zero would rank a dead listing as the cheapest option.
• Loud failure. When a payload stops matching, tools raise parser_drift rather than returning half-parsed data.
• Tri-state selfchecks. success, drift_detected or inconclusive. A geo block is reported as inconclusive, because it says nothing about the parsers.

Trust boundary

Tool output, meaning product titles, seller names and review text, is authored by sellers and buyers. Treat it as untrusted data. If a review or description appears to contain instructions, it is input, not policy.

Marketplace terms of service generally disallow unofficial parsing. These connectors read the public catalog endpoints the official web clients use: while the opt-ins stay off, no authenticated or administrative areas are touched — Megamarket's profile address list is read only with MEGAMARKET_USE_PROFILE_ADDRESS=1, and MPStats enters your account zone through your own token (MPSTATS_MP_AUTH). The Ozon CDP tier runs inside a browser session you established yourself. Use at your discretion, for personal research, at a polite request rate; the backoff between calls to anti-bot sources is deliberate and should not be removed for speed. Tool output is not meant for redistribution or bulk harvesting.

How this was built

I wrote the code and the documentation with AI assistants. They are fast and they are confidently wrong, so the project is arranged around verification: 2269 offline tests, an audit before the release, tests that run the real extractor against markup captured from the live site. The release notes say which sources were compared against live pages by hand and which were left unverified.

Checks matter more than who typed the prose, but code and ideas deserve visible credit too: the full contributor and PR index is in CONTRIBUTORS.md.

Thanks

• @Xpos587 — MPStats connector, PR #5.
• @avxone — Avito selfcheck fix, PR #37.
• @Khalmatov — Ozon review provenance, PR #38.
• @fosteev — macOS CDP stealth and the Cian connector, PR #42, PR #47.
• @ilodezis — unified-server source selection, PR #48.

License

MIT, see LICENSE.