Watchword на Render за 5 минут

Что вы получаете

Что нужно

• ›Аккаунт render.com (free tier подходит для тестов — см. секцию про стоимость ниже)
• ›Аккаунт Turso и установленный turso CLI (free tier: ~500 МБ и 1 млрд чтений строк)
• ›Любой git-хост, до которого render может достучаться — ваш репозиторий с четырьмя файлами ниже
• ›Опционально: Cloudflare Workers, если хотите JWT/OAuth вместо статических токенов

Деплой за пять шагов

1. 01

   Создайте Turso базу

   Поднимите libSQL базу и заберите connection URL и auth-token. Watchword прогоняет те же миграции против Turso, что и против локального SQLite — изменений в схеме не нужно.

   "c"># установка "k">turso CLI (macOS)
   "k">brew install tursodatabase/tap/turso
   
   "c"># логин и создание базы
   
   "k">turso auth login
   "k">turso db create watchword
   
   "c"># заберите URL и токен
   
   "k">turso db show watchword --url # libsql://watchword-<org>.turso.io
   "k">turso db tokens create watchword # eyJhbGci...

2. 02

   Соберите свой deploy-репозиторий (4 файла)

   Сделайте маленький репозиторий на любом удобном git-хосте. Положите туда четыре файла — Dockerfile это сердце free-tier хака: он просто кладёт ваш конфиг поверх upstream-образа watchword. Локально ничего собирать не надо; render билдит сам.

   your-watchword-deploy/
   ├── Dockerfile # "k">FROM ghcr.io/giglabo/watchword:1.6.0 + "k">COPY конфиг
   ├── config.yaml # transport, БД-драйвер, JWT issuer, RFC 9728 metadata
   ├── docker-entrypoint.sh # маппит $PORT от "k">render в WORDSTORE*SERVER_HTTP_PORT
   └── render.yaml # 1 сервис, type: web, runtime: docker

   config.yaml несёт transport: http, database.driver: libsql, auth.enabled: true, expiration.ttl_hours: 168. Любое значение можно переопределить через WORDSTORE** env vars в дашборде render.

3. 03

   Сгенерируйте bearer-токены

   Watchword аутентифицирует каждый MCP-запрос. Самый простой режим — список bearer-токенов через запятую. Сгенерируйте openssl или менеджером паролей — агенты передают их в Authorization: Bearer <token>.

   "c"># два сильных токена
   openssl rand -hex 32
   openssl rand -hex 32
   
   "c"># вставите список через запятую в "v">WORDSTORE_AUTH_TOKENS
   
   "c"># пример: 9f4a...,7b22...

4. 04

   Нажмите 'New Blueprint' на render.com

   В дашборде render.com выберите New → Blueprint и укажите ваш репозиторий. Render прочитает render.yaml, соберёт ваш Dockerfile и спросит три секрета ниже. Заполнили, нажали Apply — сборка пошла.

   render.yaml объявляет один web service типа docker, запускает ваш Dockerfile и отмечает env-переменные ниже как sync:false (то есть вы задаёте их per-environment).

5. 05

   Подключите MCP-клиента

   Когда сборка зелёная, скопируйте .onrender.com URL. Добавьте его в Claude Code, Cursor или любой MCP-клиент как remote server c streamable-http транспортом и вашим bearer-токеном.

   "c"># Claude Code
   
   "k">claude mcp add watchword --transport http \
   --header "Authorization: Bearer <your-token>" \
   https://watchword-<your>.onrender.com/mcp
   
   "c"># проверка
   
   "k">claude mcp list

Переменные окружения

Эти три секрета живут в env-настройках render.com (sync:false в Blueprint, чтобы они не попадали в git). Остальное поведение watchword — TTL, transport, JWT issuer — зашито в config.yaml внутри вашего репозитория.

Auth: bearer, JWT или оба

Поставляемый конфиг включает bearer и JWT параллельно. Bearer-токены просты и работают везде; JWT/JWKS + RFC 9728 protected resource metadata — это то, что нужно Claude.ai для авто-discovery.

• ›Static bearer — задайте WORDSTORE_AUTH_TOKENS, направьте клиентов на /mcp с Authorization: Bearer <token>. Готово.
• ›JWT/JWKS — направьте watchword на JWKS URL вашего OAuth-провайдера; работает с Auth0, Keycloak, Cognito, Cloudflare Access или self-hosted Cloudflare Worker OAuth provider.
• ›RFC 9728 — config.yaml отдаёт /.well-known/oauth-protected-resource, чтобы Claude.ai сам нашёл authorization server.
• ›Можно одновременно — оба режима работают параллельно; bearer-токены остаются валидными даже после подключения JWT.

Стоимость

Watchword на render — дешёвый. Free tier покрывает соло-использование; production комфортно идёт на Starter, платный Turso нужен только если упёрлись в free-квоту.

FAQ