Xano

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり

Metadata API のアクセストークンはスコープ（Workspace Database / Content / Live Data Source / API Groups / Functions / Addons / Tasks / Files / Request History）ごとに C（Create）R（Read）U（Update）D（Delete）を選べる。「読み取り専用」という名前のオプションは公式になく、R だけを有効にすることで読み取りのみにできると読めるが、公式は明記していない。Developer MCP はインスタンスに接続せず資格情報も不要で、変更する対象がない。ephemeral tenant の --guest は読み取り専用セッションと公式に書かれている。

権限（スコープ）を選べるか あり

トークンはスコープごとに C/R/U/D を選ぶ。公式: 「a Metadata API access token grants access to all workspaces in the instance the token was created」（ワークスペース単位では絞れない）。「ensure only the scopes necessary ... are selected」と注意書きあり。CLI は xano auth（ブラウザ）またはトークンの Profile Wizard。

危険な操作の既定

CLI の公式ページはコマンドに [CRITICAL] / [IMPORTANT] を付けている。[CRITICAL]は「the agent must stop and confirm with you」（例: sandbox reset、--force による削除、workspace push --truncate、--sync --delete）、[IMPORTANT]は「confirm with you and prefer a --dry-run first」（例: 通常の workspace push、sandbox push、branch set_live、release deploys）。push は作成・更新・削除のプレビューを出して確認を求める。ローカルで消したオブジェクトは --delete を付けない限りワークスペースから消えない。「Direct push applies changes immediately. Always run --dry-run first」。AI エージェント向けに push は自分のターミナルで実行するよう書かれている。これらはドキュメント上のガイダンスで、ツール側で強制する記載ではない。

削除ができるか できる

【CLI】push の --delete / --force / --truncate、sandbox reset。【API】トークンの D（Delete）権限を付けた場合。【Developer MCP（公式）】インスタンスに接続しないため該当なし。【MCP Builder（公式の別機能）】自分のインスタンスで作る MCP サーバー。何を削除できるかは作る側の関数スタック次第で、公式ページに固定の削除ツールの記載はない。

取り消し方（キー・接続）

Metadata API: インスタンス設定の Metadata API パネルでトークンを選び revoke アイコンをクリックすると「immediately revoke」される。トークンの既定の有効期限は7日（1時間〜無期限）。CLI の資格情報は ~/.xano/credentials.yaml に保存され、ログアウト・取り消し手順の記載は CLI ページになし。

根拠のページ

つなぎ方（公式の資料にある範囲）

できる操作

読み取りでできる操作

• 【MCP】XanoScript のドキュメント、API ドキュメントの参照（meta_api_docs / run_api_docs）。インスタンスには接続しない
• 【CLI】xano workspace pull でワークスペースを .xs ファイルとして取得、xano profile me
• 【API】Metadata API のトークンスコープの Read（Database / Content / Live Data Source / API Groups / Functions / Addons / Task / Files / Request History）

書き込みでできる操作

• 【MCP】コード検証（validate_xanoscript）のみ。インスタンスは変更しない
• 【CLI】xano workspace push（Free プランは直接 push。有料プランは「Enable Direct Workspace Push」をオンにする必要がある）、xano sandbox push、xano ephemeral push
• 【API】Metadata API でテーブル・スキーマなどの追加と変更（トークンの Create / Update 権限）
• 【MCP Builder（公式の別機能）】自分のインスタンスで作る MCP サーバー。データの取得・書き込み・外部API呼び出しができると書かれている（何ができるかは作る側の関数スタック次第）

管理者操作（削除・課金・設定変更など）

• 【CLI】push の --delete でリモートのオブジェクトを削除できる。[CRITICAL] 表示の例は sandbox reset、--force による削除、workspace push --truncate、--sync --delete。[IMPORTANT] 表示の例は通常の workspace push、sandbox push、branch set_live、release deploys。いずれもドキュメント上のガイダンスで、ツール側の強制の記載ではない
• 【CLI】ephemeral tenants の作成（1〜24時間で自動失効）と、読み取り専用のプレビューリンクの発行（xano ephemeral impersonate ... --guest --url-only）
• 【API】トークンスコープに Delete 権限があり、削除ができる。ライブデータソースへのスコープ（Workspace Live Data Source）が別にある
• 【Developer MCP】インスタンスの削除・課金・権限変更はできない（インスタンスに接続しないため）。MCP Builder で作る MCP サーバーが何を削除できるかは、作る側の関数スタック次第で、公式ページに固定の削除ツールの記載はない

制限

• Metadata API は Beta と記載。
• サンドボックスは Free プランでは使えない（CLI ページ）。有料プランで直接 push するには設定「Enable Direct Workspace Push」が必要。
• Free プランの API は 20秒あたり10リクエスト。Essential 以上はレート制限なし（料金ページ）。
• Developer MCP は Node.js 18以上が必要。

認証・料金・日本語・実機検証

認証方式

MCP: 認証不要（インスタンスに接続しない）。CLI: xano auth でブラウザ認証（資格情報は ~/.xano/credentials.yaml）、CI 向けにトークン設定の Profile Wizard。API: アクセストークンを Authorization: Bearer で送る。トークンは Instances → インスタンスの歯車 → Metadata API → Manage Access Tokens → New Access Token で、名前・有効期限・スコープ（C/R/U/D）を設定して作り、トークンは一度しか表示されない。MCP Builder: 共有ヘッダートークン、または Cloudflare Worker 経由の OAuth。トークンのデフォルト有効期限は7日（1時間〜無期限で選択）。

公表されている料金（2026年10月16日確認）

Free は月額$0（レート制限あり: 10 API requests per 20 seconds）。Essential は月払い$99/月、年払い$85/月、Pro は月払い$249/月、年払い$224/月、Custom は要問い合わせ（通貨コードの記載なし、2026-10-16確認）。 料金ページの比較表に、CLI・Developer MCP・MCP Builder・Metadata API（Beta）が Free を含む全プランに「あり」と載っている（CLI のサンドボックスは Free のみ「なし」）。 料金ページ

日本語対応

未確認。日本語の公式ドキュメント・管理画面は確認できていない。開いたドキュメントは英語のURL。

Claude Code実機検証

未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）