Square

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり

ローカル版 square-mcp-server は環境変数 DISALLOW_WRITES=true で『Restrict to read-only operations』と公式ドキュメントとGitHub READMEにある。リモート版（OAuth）の読み取り専用モードの記載は確認できない（スコープを *_READ だけにする方法は可能と読めるが、公式がその運用を書いているわけではない）。https://developer.squareup.com/docs/mcp / https://github.com/square/square-mcp-server

権限（スコープ）を選べるか あり

OAuthでは販売者が許可するスコープを選べる（PAYMENTS_READ/WRITE、ORDERS_*、CUSTOMERS_*、ITEMS_*、INVOICES_*、SUBSCRIPTIONS_*、PAYOUTS_READ、BANK_ACCOUNTS_*、EMPLOYEES_* など）。個人用アクセストークンはスコープ無制限で、アカウント所有者のなりすましに使えると公式が警告。リモート版MCPはOAuthで必要なスコープだけを許可できると公式にある（具体的なスコープ一覧はMCPページに記載なし）。

危険な操作の既定

制御の記載なし：MCPのドキュメントにも README にも、確認プロンプト・削除の制限の記載はない。公式の注意は『本番の前にサンドボックスでプロンプトを試すこと』のみ。リモート版は本番リソースのみに接続する。Squareは対応MCPクライアントの許可リスト（allowlist）を持つと公式ページにあり、Claude Codeは対応クライアントとして書かれていない（Claude.ai・Claude Desktop・Goose・Cursor・Windsurfが記載）。

削除ができるか できる

Square APIには削除が存在し、権限ページに DeleteCustomer（CUSTOMERS_WRITE）、DeleteCatalogObject / BatchDeleteCatalogObjects（ITEMS_WRITE）、DeleteInvoice（INVOICES_WRITE＋ORDERS_WRITE）がある。MCPは『Square API全体』につなぐとだけ書かれ、MCP経由でこれらが使える／制限されるかの個別記載はない（make_api_request の README説明は『操作の実行』）。

取り消し方（キー・接続）

OAuth：RevokeToken（POST /oauth2/revoke）で販売者の認可全体、または単一のアクセストークンを失効（revoke_only_access_token）。個人用アクセストークンの失効・再発行の手順は、access-tokens ページに記載なし（未確認）。

根拠のページ

つなぎ方（公式の資料にある範囲）

できる操作

読み取りでできる操作

• 【MCP】make_api_request 経由でSquare APIの読み取りが使える（公式は「Square APIプラットフォーム全体」とのみ記載。個別のAPIの一覧はMCPページに書かれていない）。get_service_info / get_type_info でAPIの情報を調べる
• 【API】OAuthの読み取りスコープ：PAYMENTS_READ、ORDERS_READ、CUSTOMERS_READ、ITEMS_READ、INVENTORY_READ、INVOICES_READ、SUBSCRIPTIONS_READ、DISPUTES_READ、PAYOUTS_READ、BANK_ACCOUNTS_READ、EMPLOYEES_READ、MERCHANT_PROFILE_READ など

書き込みでできる操作

• 【MCP】make_api_request で「操作の実行」ができる（READMEの記載）。DISALLOW_WRITES=true（ローカル版）で書き込みを禁止できる
• 【API】OAuthの書き込みスコープ：PAYMENTS_WRITE、ORDERS_WRITE、CUSTOMERS_WRITE、ITEMS_WRITE、INVENTORY_WRITE、INVOICES_WRITE、SUBSCRIPTIONS_WRITE、BANK_ACCOUNTS_WRITE、EMPLOYEES_WRITE など。返金（RefundPayment）には PAYMENTS_WRITE と PAYMENTS_WRITE_ADDITIONAL_RECIPIENTS が必要

管理者操作（削除・課金・設定変更など）

• 【API】OAuthトークンの失効：POST https://connect.squareup.com/oauth2/revoke（販売者の認可全体、または revoke_only_access_token で単一のアクセストークンだけ）
• 【API】削除：権限ページに DeleteCustomer（CUSTOMERS_WRITE）、DeleteCatalogObject / BatchDeleteCatalogObjects（ITEMS_WRITE）、DeleteInvoice（INVOICES_WRITE＋ORDERS_WRITE）がある。MCP経由でこれらが使えるか／制限されるかの個別記載はない
• 【API】DEVICE_CREDENTIAL_MANAGEMENT スコープがある（端末の資格情報の管理）
• 【MCP】削除・課金・権限変更をMCPで実行できるか／制限されるかの記載は、確認したMCPページ・READMEに見当たらない

制限

• 公式ドキュメントに、Square MCPサーバーは現在ベータとある
• リモート版MCPは本番リソースのみ（サンドボックスで試すにはローカル版を SANDBOX=true で使う）
• 日本：Mobile Payments SDKは日本ではまだ利用できない。オンラインカード決済は3Dセキュアが必須（無効化できない）。電子マネー・PayPayは申請が必要。サンドボックスは物理のSquare Terminalに接続できない。APIログの保持は28日
• 公式ドキュメントのMCPページにClaude Code向けの手順はない（Claude.ai・Claude Desktop・Goose・Cursor・Windsurfのみ）。同ページに「Squareは対応MCPクライアントの許可リスト（allowlist）を持ち、追加はデベロッパーフォーラムで依頼する」とある。リモート版をClaude Codeから使えるかは、この記載からは不明

認証・料金・日本語・実機検証

認証方式

リモートMCP：OAuth（必要なスコープだけを許可できると公式にある）。ローカルMCP：環境変数 ACCESS_TOKEN のアクセストークン。API：個人用アクセストークン（無制限）またはOAuthトークン（スコープ付き、定期的な更新が必要）。

公表されている料金（2026年10月16日確認）

日本のSquare決済手数料：対面決済 2.5%〜（年間キャッシュレス決済額3,000万円未満の場合。それ以外は3.25%〜または個別）、オンライン 3.6%、非対面（手入力・保存カード・バーチャルターミナル）3.75%、Square請求書 3.25%。月額はフリープラン0円（プラスは利用サービスに応じた月額で金額の記載なし）。アカウント作成・維持・解約の手数料なし。消費税の扱いの記載なし、ページに更新日なし（2026年10月16日確認）。MCP・APIの利用料は記載なし。 料金ページ

日本語対応

あり。Squareの日本向けヘルプセンター（squareup.com/help/jp/ja、ja-JP）が日本語で実在し、地域・言語の選択に「日本 (日本語)」がある。開発者ドキュメントは英語（日本向け開発ページに『APIのエラーメッセージは常に英語』の記載、前回確認）。開発者ドキュメントの言語設定ページには、日本ではアプリが出す連絡のlanguage_codeに英語と日本語が選べるとある（これは販売者・購入者向け通信の言語であり、管理画面の言語一覧ではない）。ダッシュボードの日本語表示は公式ページでは確かめられていない。

Claude Code実機検証

未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）