WebMCP 検証PoC ／ 2週間・定額
AI時代の
ECサイトへ
AIに見せたい公開データだけを
サイトから渡せるか
- 2週間
- staging限定
- read-only 1ツール
- 公開データのみ
最新の消費者動向
買い物の下調べは、
検索からAIへ移り始めています
いずれもAI利用全般の各社調査値で、WebMCPの利用数や本PoCの効果を示すものではありません。これは「探される」段階の話。この規格が作用するのは、利用者がすでにページを開いた後で、検索順位や流入を増やす仕組みではありません。
現在地
トグルひとつで「AI対応」に
なるわけではありません
Cloudflareが2026年8月に公開した機能は、ダッシュボードの操作だけでサイトにWebMCPのブリッジを配ります。ただし、それで肩代わりされるのは配管まで。在庫検索や空き照会といった業務ツールの中身と、何を返してよいかの線引きは、サイト側に残ります。
- 1
規格は3層すべてがpreview
WebMCPは提案段階の仕様、ブラウザ実装は実験提供、Cloudflare機能はdeveloper preview。主要APIの名称もこの数か月で変わりました。
- 2
本番を改修して試すには早い
変わりうる規格に合わせて本番サイトを触ると、戻す作業まで自社で負うことになります。
- 3
だから、戻せる範囲で先に確かめる
staging・参照のみ・ツール1個。結論を出すのに必要な最小の範囲だけを実測し、進むか止めるかを決めます。
どこまでがトグルで、どこからが自社か
/.webmcp/bridge.js をエッジで注入。オリジンのHTMLは無改修。仕組み
AIに渡す情報の境界を、
サイト側の仕様にする
本PoCで作るのは、公開データを返す read-only ツール1個と、その境界です。在庫や価格は返す、原価や仕入先や個人情報は返さない。その線引きどおりに、ブラウザ上のAIエージェントが照会できるかを実測します。
返す範囲はサーバー側で固定
公開対象に含めていない項目は応答に含まれません。線引きはブラウザではなくMCPサーバー側で決めます。
APIキーはブラウザに置かない
対象は無認証で参照できる公開データに限定します。ログイン中のセッションを使う構成は本PoCの対象外です。
止め方を先に決めておく
サーバー側の緊急停止スイッチで約10秒、Cloudflareのトグルを切ってキャッシュを消す手順で1〜2分。自社デモで切り戻しまで実測し、手順を納品物に含めます。
検証内容
「動きました」では
納品しません。
3層に分けて測ります
MCPサーバーを直接叩いた結果を「AIエージェントがツールを選べた」とは数えません。層ごとに別の方法で記録します。
- L1
コントラクト自動テスト（サーバー単体）
疎通に加え、不正入力・未知ツール・件数上限超過・レート制限・タイムアウト・エラー応答の形式を自動テストで確認します。
- L2
ブラウザ決定論チェック
トグルを実際にONにし、ブリッジの注入、ツールの取得と実行、
POST /mcpの発生、Authorizationヘッダが付かないこと、OFFで注入が消えることを手順書に沿って記録します。 - L3
エージェントE2E・20試行
実際のブラウザエージェントに、直接的・曖昧・否定的・敵対的な10種類の依頼を2つの設定で実行。ツール選択・引数・結果・セキュリティ挙動を別々の列で保存します。
自社の公開偽データデモ。検証用ハーネス上で、実際のブリッジと実際のLLMが read-only ツールを呼び出す様子。音声なし。
納品物と合否ライン
2週間後に手元に残るもの
- 稼働するstaging構成一式とソースコードMCPサーバー、ツール定義、貴社環境で再現できる状態
- evidence pack（JSON + Markdown）実施日・deployment ID・Cloudflare設定・ブラウザとエージェントの版・Networkトレース（機密除去）・20試行の全行・実工数
- 導入手順書と、検証日付きの互換性表対応環境は「バージョン一覧」でなく検証日とセットで記載
- 脅威モデル（最小版）とセキュリティ受入結果
- 即時ロールバック手順トグルOFF・ルート差し戻し・ログ保全
合否ラインは着手前に固定し、後から動かしません
| 判定項目 | 見る内容 |
|---|---|
| L1 | 自動テストが全件通る |
| L2 | チェックリスト全項目が手順どおりに再現する |
| L3 | 20試行のうち成功数が事前に合意した閾値以上で、security failureが0 |
| 回帰 | 非対応ブラウザで既存の重要導線が劣化しない |
| 切り戻し | 緊急停止とトグルOFFで元の状態に戻り、所要時間を記録できる |
含まないもの
期待と成果が食い違ったまま着手しないために
以下は本PoCに含みません。ご期待に入っている場合は、着手前にお申し出ください。
- 検索順位・AI検索での露出・集客の増加この規格は「すでに開いているページ上の操作」に関するもので、発見・流入には作用しません。これが目的の場合は対象外です。
- 本番環境・本番データ・実顧客の個人情報stagingの公開データまたは偽データだけを使います。
- 予約確定・見積送信・決済などの書き込み操作人による確認・冪等性・取消の設計が別途要るため、165,000円〜の別フェーズです。
- ログインが必要なデータ・既存セッションを使う構成公開データ・無認証で参照できる範囲に限定します。
- 2つ目以降のツール・複数の業務フロー・別ドメインのMCPサーバー接続
- 運用・監視・定期回帰、規格変更への追従保証合格後の本運用は月額保守（月22,000円税込〜目安）として別途ご提案します。
業務ツール接続検証PoC
55,000円
税込・定額。前金 27,500円／残金 27,500円（検収後30日以内）
- 期間
- 2週間（前金入金確認の翌営業日から）
- 環境
- staging限定
- 範囲
- read-only ツール1個・実装上限8時間
- データ
- 公開データまたは偽データ
費用
範囲を先に固定してから、
定額で着手します
- 範囲を超える実装が必要と判明した場合は、着手前にお伝えし、いったん停止して別見積に切り替えます。勝手に進めて追加請求することはありません。
- 合否ラインに届かなかった場合も、測定記録の一式を納品して終了します。未達を理由とする返金は行いません。
- 交通費、貴社側で発生するCloudflare利用料・ホスティング費用は含みません。
- 書き込み系は165,000円〜、合格後の保守は月22,000円（税込）〜を目安に、実測結果をもとに個別見積。
正式なご発注時には、作業範囲記述書（SOW）とデータ取扱いの取り決めを別途締結します。いずれも貴社法務によるご確認をお願いしています。
お申し込みの前に
お受けできる条件は6つ。
お申し込み後のヒアリングで確認します
2週間・定額で結論を出す設計のため、前提が1つ欠けると期間内に終わりません。条件は下の6つですが、この場で判断していただく必要はありません。お申し込み後、当方から確認事項をお送りし、30〜45分のヒアリング1回で可否をお伝えします。満たさない場合はその旨と理由を率直にお伝えします。
- サイトがCloudflareを経由しているまたは、DNS・proxy設定の変更を承認できる。わからなければ制作会社に「このサイトのDNSはCloudflareですか」とお聞きください。
- AIに任せたい操作が1つある在庫検索・条件照会・空き状況の確認など、いま実際にサイト上で行われている参照系の操作。
- そのデータを返す既存のAPIがあるレスポンス例を提示でき、期間中に仕様変更の予定がない。
- 設定変更とサイト更新を2週間内に行える担当者がいる制作会社に依頼する場合は、その会社の同席をお願いします。
- 本番と分離されたテスト用環境（staging）があるまたは期間内に用意できる。本番DB・決済系と接続されていないこと。
- 決裁者が特定でき、前金50%と「未達でも証拠を納品して終了」に合意できる
検索順位・集客の増加が目的の場合は対象外です（この規格は、利用者がすでに開いているページの上でしか作用しません）。本番サイトには触れません。
よくあるご質問