Pro エディション

MCP Tools — 詳細リファレンス

提供可否とライセンス

この機能は NextPDF Pro（nextpdf/pro）で提供され、Pro ティアのライセンスエンベロープでアクティベートされます。そのエンタイトルメントを持たないデプロイでは、この機能のクラスはロードされません。エディションを比較してライセンスを取得。

機能ごとのライセンスフラグはありません。コードは Pro エディションで出荷され、8 つのツールは、Pro パッケージが nextpdf/server とともに起動時に解決されると、pro ティアの下に登録されます。

挙動コントラクト

NextPDF Server は、起動時に Pro のツールプロバイダークラスをプローブしてティアを検出します。それが解決されると、サーバーは 8 つのツールを pro ティアの下に登録します。Pro パッケージはサーバーのハード依存ではないため、Pro ツールは共インストールによる厳密なオプトインです。ティアの登録は独立しています。欠落またはポリシーで除外されたティアが、他のティアをブロックすることはありません。
各ツールは、4 つのリスクレベル（safe、caution、review、approval-required）のいずれか 1 つを宣言します。オプションのオペレーターオーバーライドは、ツールのレベルを引き上げることだけができ、引き下げることはできません。サーバーは、caution 以上での実行を監査ログに記録します。sign_pdf は approval-required です。
PDF 入力は固定の順序で解決されます。インメモリストアからの document_id、次に source を data: URI、ファイルシステムパス、または生の base64 として解決します。入力が欠落している場合は、空のドキュメントを処理するのではなく、検証エラーを返します。
sign_pdf は PAdES B-B ベースライン署名のみを生成します。タイムスタンプも長期検証もありません。サポートされるアルゴリズムと AES-GCM の鍵搬送エンベロープについては後述します。復号はフェイルクローズし、ツールが暗号文を鍵素材として使用することは決してありません。
完全な検出、リスク、ソース解決、ツールごと、署名の詳細については、以下のセクションを参照してください。このページは、外部から観測可能な挙動と、公開されているツールコントラクトのみを説明します。

対象範囲

このページは、8 つの Pro MCP ツールに関するオペレーターおよびインテグレーター向けのリファレンスです。検出モデル、サーバーが適用するリスク/HITL のセマンティクス、ソース解決のルール、署名の鍵搬送エンベロープ、ツールごとの失敗時の挙動を扱います。外部から観測可能な挙動と、公開されているツールコントラクトのみを説明します。ユーザー向けのカタログについては、公開 MCP ページを参照してください。

検出と登録のモデル

NextPDF Server は、起動時にティアプロバイダーを検出します。Pro のツールプロバイダークラスをプローブして Pro ティアを検出します。そのクラスが解決されると、サーバーはプロバイダーをインスタンス化し、それが返す各ツールを pro ティアの下に登録します。Pro パッケージは、意図的にサーバーのハード依存と されていません。これにより、オープンソースのサーバーはプロプライエタリなパッケージなしでインストール可能となり、Pro ツールは共インストールによる厳密なオプトインとなります。

サーバーは、ティアごとに登録を分離します。Pro パッケージが存在しない場合でも、Core ツールは登録されます。あるティアプロバイダーが存在しても、他のティアをブロックすることはありません。ツールの登録は、サーバーのセキュリティポリシーの許可リストにも従います。ポリシーによって除外されたツールは、サイレントに登録されず、ティアサマリーにも数えられません。サーバーは、診断とロギングのために、ティアごとのカウント（core/pro/enterprise）を公開します。

プロバイダーは 8 つのツールを固定の順序で返します。テキスト抽出、セグメンテーション、比較、PII マスキング、フォーム入力、フォーム読み戻し、アクセシビリティ分析、署名です。順序は安定していますが、呼び出し側はそれに依存してはなりません。ツールは MCP プロトコル名で解決してください。

リスクモデルと HITL のセマンティクス

各ツールは、4 つのリスクレベルのいずれか 1 つを宣言します。サーバーは、宣言されたレベルを human-in-the-loop の強制に使用します。

Safe — 読み取り専用で副作用なし。自動実行されます。
Caution — インメモリ状態を作成または変更します。監査ログのエントリを伴って自動実行されます。
Review — 悪用される可能性のある出力を生成します。自動実行されますが、エージェントスキルの指示がこれにフラグを立て、エージェントがユーザーに警告します。
Approval-required — 破壊的、法的、またはプライバシー上重要です。サーバーは、実行前に明示的な人間の確認を要求します。

Pro ツールの分類：5 つの抽出/分析ツール（extract_text、segment_document、compare_pdfs、extract_form_data、check_accessibility）は safe です。redact_pii と fill_form は review です。sign_pdf は approval-required です。

リスクレベルは、正確に 2 つのソースから決まります。ツール自身の宣言と、ランタイムでのオプションのオペレーターオーバーライドです。オーバーライドは、ツールのリスクレベルを 引き上げる（強制を厳しくする）ことだけができ、引き下げることは決してできません。サーバーは、caution レベル以上での実行を監査ログに記録します。リスクモデルにはバージョンがあり、サーバーは初期化応答でそのバージョンを通知するため、クライアントは互換性のない変更を検出できます。

ソースの解決順序

PDF を受け取るすべてのツールは、3 つの入力形状のいずれか 1 つを通じてそれを受け取り、次の順序で解決します。

document_id — サーバーは、インメモリのドキュメントストアからバイト列を取得します。不明な ID は明示的なエラーで失敗し、まずドキュメントを作成するよう呼び出し側に指示します。
source を data: URI として — ツールはカンマの後の base64 本文をデコードします。
source をファイルシステムパスとして — パスがファイルに解決される場合、ツールはディスクから読み取ります。
source を生の base64 文字列として — ツールは、十分に長く base64 の形をした入力のみを受け付けてデコードします。

compare_pdfs は、同じ解決を source_a と source_b にそれぞれ独立して適用し、加えていずれのソーススロットでも document_id 値を受け付けます。document_id も source も指定されていない場合、ツールは空のドキュメントを処理するのではなく、検証エラーを返します。

ツールごとのリファレンス

Tool	Risk	Inputs	Result fields	Behavioral boundary
`extract_text`	safe	PDF; optional 1-indexed `page_start` / `page_end`	text, total page count	テキストレイヤーのみ。範囲は実際のページ数にクランプ。OCR なし
`segment_document`	safe	PDF	segment count, segment list	レイアウトから導出したセグメント。タグ付き PDF の構造ツリーではない
`compare_pdfs`	safe	two PDFs	identical flag, total changes, per-doc page counts, regions (type, text, page index, line index, optional counterpart text)	テキストコンテンツの差分。視覚的またはバイナリではない
`redact_pii`	review	PDF; optional `types` (`email`, `phone`, `ssn`, `credit_card`)	has-PII flag, detected count, masked text, scanned types	テキストレイヤーの検出/マスキング。視覚的な墨消しではない。パターンベースで網羅的ではない
`fill_form`	review	`fields` map; optional `pdf_filename`	XFDF document, field count	XFDF（ISO 19444-1）を生成。値を PDF に書き込みはしない
`extract_form_data`	safe	PDF	field count, field map, explicit note when none	埋め込み XFDF のみを読み取る
`check_accessibility`	safe	PDF	structural score (0–100), issues, segment summary	WCAG 参照付きの構造ヒューリスティック。適合性の判定ではない
`sign_pdf`	approval-required	PDF; PEM cert + PKCS#8 key; optional algorithm, signer name, reason, transport envelope	signed PDF, signature count, completion flag, algorithm, OID, digest	PAdES B-B ベースラインのみ。タイムスタンプも LTV もなし

署名：アルゴリズムと鍵の転送

sign_pdf は PAdES B-B ベースライン署名を生成します。サポートされるアルゴリズムは、アンダースコア表記とダッシュ表記の両方で受け付けられます。

RSA with SHA-256（既定）。
RSA with SHA-3 256 / 384 / 512 — SHA-3 をサポートする OpenSSL ビルドが必要です。
Ed25519 — libsodium 拡張が必要です。鍵は、Ed25519 秘密鍵をラップする PKCS#8 PEM でなければなりません。

ツールは、サポートされていない識別子を拒否し、受け付け可能な値のリストを返します。

オプションの搬送暗号化エンベロープにより、呼び出し側は、エンドツーエンドで機密ではない搬送経路を通じて秘密鍵をトンネリングできます。エンベロープは AES-GCM のみです。

対称鍵：16、24、または 32 バイト（AES-128/192/256）、base64 エンコード。
ノンス：正確に 12 バイト、base64 エンコード。
オプションの追加認証データ、base64 エンコード。
private_key ペイロードは、末尾に 16 バイトの GCM 認証タグを付加した base64 暗号文です。

復号はフェイルクローズします。認証タグの不一致や不正なペイロードは復号エラーを返し、ツールが暗号文を鍵素材として使用することは決してありません。ツールは、いかなる暗号処理の前にも、誤った鍵サイズやノンスサイズを拒否します。

エッジケースと FIPS モード

extract_text：ツールは、ドキュメントを超えるページ範囲の終端を拒否するのではなくクランプし、最初のページより前の開始位置を最初のページに正規化します。
compare_pdfs：source_a または source_b の欠落は検証エラーを返します。同一のドキュメントは、変更ゼロの明示的な「同一」結果を返します。
extract_form_data：埋め込み XFDF ストリームを持たない PDF は、エラーではなく、説明的な注記を伴うフィールドゼロの結果を返します。
redact_pii：types 内の認識されないエントリは無視されます。すべてが認識されないリストは、失敗ではなく空のスキャンを生成します。
sign_pdf：証明書または秘密鍵の欠落は、いかなる署名処理の前にも失敗します。ツールは署名時にアルゴリズム要件（SHA-3 の OpenSSL サポート、Ed25519 のための libsodium）をチェックし、それらを明示的なエラーとして表面化します。
FIPS モード：アルゴリズムの可用性は、ホストの OpenSSL/libsodium ビルドに従います。FIPS で制約されたビルドでは、承認されていないアルゴリズムは、サイレントにダウングレードするのではなく、暗号境界で明示的なエラーとともに失敗します。MCP レイヤーは暗号ポリシーを追加したり緩めたりはしません。ホストの暗号プロバイダーの判断を表面化するだけです。

運用ランブックのメモ

sign_pdf は approval-required のままにしてください。safe なツールのリスクを意図せず引き上げるオペレーターオーバーライドが存在しないことを確認してください。オーバーライドは厳しくすることしかできないため、誤ったオーバーライドは、安全性ではなく可用性を低下させます。
監査の保持：review レベル以上でのすべての実行は、サーバーによって監査ログに記録されます。redact_pii、fill_form、sign_pdf の呼び出し量に合わせて、ログの保持期間を設計してください。
搬送経路の選択：エンドツーエンドで機密ではない搬送経路で実行する場合は、sign_pdf に対して AES-GCM の鍵搬送エンベロープを要求し、秘密鍵素材を、エージェントのツール呼び出しロギングポリシー上の機密として扱ってください。
ティアカウント：サーバーのティアごとのカウントを使用して、デプロイ時に Pro ティアが 8 つのツールを登録したことをアサートしてください。ゼロのカウントは、Pro パッケージが解決されなかったことを示します。

エディションの境界

Pro ティアは、正確に 8 つの MCP ツールを提供します。Enterprise エディションは、独自のツールを持つ別個の MCP ティアを出荷します。コンプライアンス、フォレンジック、長期検証の健全性、AI 対応認証、ドキュメント検索/埋め込みです。Enterprise ツールの入力、出力、内部は、ここでは対象外であり、Enterprise エディションとともに文書化されています。サーバーはティアを独立して検出します。あるティアの欠落が、別のティアを無効化することはありません。

公開の境界

このページは、外部から観測可能な挙動と、サポートされる公開 API サーフェスのみを文書化します。内部の名前空間パス、ヘルパークラス、メカニズムのテーブル、ランブックのファイル名、チケットのプレフィックスは対象外です。