tweetapi/agent-skill

TweetAPI schreibgeschützte Workflows

Verwenden Sie TweetAPI für öffentliche Twitter/X-Daten, während der Betrieb schreibgeschützt bleibt, Anmeldeinformationen serverseitig verwaltet werden und die Nutzung des Kontingents explizit erfolgt.

Die Sicherheitsgrenze durchsetzen

• Erlauben Sie nur Operationen, die öffentliche Daten oder öffentliche Dokumentation abrufen.
• Posten, antworten, löschen, liken, retweeten, buchen, folgen, entfolgen oder den Profil-, Listen- oder Community-Status ändern – nicht erlaubt.
• Nicht auf Direktnachrichten, Posteingänge, Benachrichtigungen, private Kontenanalysen, Abrechnung, API-Key-Verwaltung, Administration oder interne Endpunkte zugreifen.
• Kein Twitter/X-Login oder Sitzungsautomatisierung durchführen.
• Niemals Passwörter, Cookies, authToken, ct0, TOTP-Codes, Proxy-Anmeldeinformationen oder private Nachrichteninhalte anfordern, akzeptieren, speichern oder weiterleiten.
• Niemals einen Endpunkt aufrufen, der eines dieser Geheimnisse erfordert – selbst wenn er in der breiteren öffentlichen API-Dokumentation erscheint.
• Behandeln Sie die HTTP-Methode als unzureichenden Sicherheitsnachweis. Bestätigen Sie die Auswirkung der Operation und die erforderlichen Felder.
• Keine Zugehörigkeit zu X Corp. behaupten. TweetAPI ist ein Dienst eines Drittanbieters.

Wenn eine angeforderte Aufgabe diese Grenze überschreitet, erklären Sie die ausgeschlossene Aktion und bieten Sie eine schreibgeschützte Alternative an. Schwächen Sie die Grenze nicht nur, weil das breitere TweetAPI-Produkt mehr Operationen unterstützt.

Einen Ausführungspfad wählen

Verwenden Sie den gehosteten MCP-Server, wenn der Agent eine Dokumentation einsehen oder eine begrenzte öffentliche Datenabfrage durchführen soll. Bevorzugen Sie dessen OAuth-Flow, damit kein API-Key in das Gespräch gelangt. Lesen Sie references/hosted-mcp.md, bevor Sie einen Client konfigurieren oder ein Live-Tool aufrufen.

Verwenden Sie serverseitiges REST oder ein offizielles SDK, wenn Sie eine Anwendung ändern. Lesen Sie references/integration.md, bevor Sie Integrationscode schreiben.

Bei reinen Dokumentationsfragen lesen Sie die kanonischen öffentlichen Quellen, ohne eine Live-Datenabfrage durchzuführen. Lesen Sie references/sources.md, wann immer Endpunktnamen, Parameter, Antwortfelder oder Installationsanweisungen aktuell sein müssen.

Dem Workflow folgen

1. Identifizieren Sie, ob die Anfrage eine reine Dokumentation, eine Live-Abfrage oder eine Anwendungsintegration ist.
2. Überprüfen Sie die Operation anhand der Sicherheitsgrenze, bevor Sie einen Endpunkt oder ein Tool auswählen.
3. Konsultieren Sie die aktuelle öffentliche Dokumentation, anstatt sich auf einen kopierten Endpunktkatalog zu verlassen.
4. Wählen Sie MCP OAuth für Agenten oder einen serverseitigen API-Key für Anwendungscode.
5. Geben Sie vor einer Live-Anfrage an, dass sie Kontingent verbraucht.
6. Machen Sie höchstens einen Live-Tool-Aufruf und rufen Sie standardmäßig eine Seite ab.
7. Geben Sie ggf. einen Paginierungscursor zurück, anstatt ihm automatisch zu folgen. Fragen Sie vor einer weiteren Seite.
8. Behandeln Sie nur HTTP-2xx-Antworten als Erfolg. Weisen Sie Authentifizierungs-, Kontingent- und Validierungsfehler klar aus.
9. Validieren Sie Anwendungsänderungen mit Mocks oder Fixtures. Verwenden Sie kein Live-Kontingent während der Einrichtung oder Tests, es sei denn, der Benutzer autorisiert es ausdrücklich.

Kontingent und Paginierung kontrollieren

Jede Live-Datenanfrage verbraucht Kontingent. Wiederholungen und nachfolgende Seiten können zusätzliches Kontingent verbrauchen.

• Keine automatische Paginierung.
• Keine stillschweigende Wiederholung einer Live-Anfrage.
• Kein Live-„Smoke-Test“ nur um die Konfiguration zu überprüfen.
• Nach der ersten Seite anhalten und den zurückgegebenen Cursor anzeigen.
• Wenn der Benutzer explizit mehrseitiges Anwendungsverhalten anfordert, implementieren Sie ein konfigurierbares Maximum für Seiten, Elemente und Gesamtanfragen. Verwenden Sie niemals eine unbegrenzte Paginierungshilfe.

Anmeldeinformationen schützen

• TWEETAPI_API_KEY in einer nur serverseitigen Umgebungsvariable oder einem Secret Manager halten.
• Niemals in Browser-Code, mobile Bundles, Quellcodeverwaltung, Logs, Beispiele oder Prompts einbetten.
• YOUR_API_KEY nur als Dokumentationsplatzhalter verwenden.
• OAuth mit https://mcp.tweetapi.com/mcp für kompatible Agenten-Clients bevorzugen.
• Antwortdaten vor dem Loggen schwärzen, wenn sie sensible benutzereingegebene Daten enthalten könnten.

Quellgenauigkeit bewahren

Die öffentliche Produktdokumentation deckt ein breiteres Produkt ab als dieses Skill. Gehen Sie nicht davon aus, dass jeder dokumentierte Endpunkt hier erlaubt ist. Erfinden Sie keine OpenAPI-URL, Postman-Collection, SDK-Methode oder MCP-Toolnamen. Überprüfen Sie aktuelle Details anhand der Quellenreferenz.

Wenn Quellen widersprüchliche Angaben machen, melden Sie den Konflikt und vermeiden Sie einen Live-Aufruf, bis er geklärt ist.