Boxberry через API и MCP: документация переехала в Яндекс, а API остался жив

Обзор

Boxberry — служба доставки для интернет-магазинов: пункты выдачи, курьер, международные отправления. У неё есть открытый API — но в 2026 году он оказался в необычном положении: сама служба вошла в Яндекс Доставку, и прежняя документация (boxberry.ru, help.boxberry.ru) сегодня целиком переадресует на yandex.ru/support/delivery-boxberry. Первое движение — проверить, жив ли вообще эндпоинт api.boxberry.ru/json.php — оказалось не формальностью: curl с неверным токеном честно ответил 401 с телом {"err":"Ваша учетная запись заблокирована"}, за инфраструктурой Яндекса (заголовки X-YaTraceId), но по существу. API жив, просто его прежняя проза переехала.

Mira подключает этот API — 34 действия, собранные из трёх источников (живая переехавшая документация, её собственная «Таблица изменений» с версиями по 2025 год, и исходный перечень методов) — и отдаёт его в Claude через MCP.

Один адрес, а не набор путей

У Boxberry нет привычного REST: любое действие — города, расчёт стоимости, создание заказа, отмена — идёт на один и тот же адрес, https://api.boxberry.ru/json.php. Какое это действие, говорит поле method внутри запроса, а не путь. Для инструмента, который отдаёт список действий модели, это значит: закрытый список названий вместо проверки пути — модель может попросить ListCities или ParselCreate, но не может подставить произвольную строку вместо метода и «дотянуться» до чужого действия так, как это возможно у путевых API через ../.

Отказ, который прячется в успешном ответе

Самая неочевидная особенность API — старая, но документированная прямо: метод CancelOrder отвечает полем err, которое либо false (успех), либо текст причины отказа — и статус-код при этом может быть 200. Разбор ответа в Mira поэтому смотрит на две вещи одновременно, а не только на код ответа: HTTP-статус ≥ 400 ИЛИ истинный err в теле. Пропустить второе условие значило бы иногда докладывать «готово» там, где Boxberry на самом деле отказал.

Токен — не в адресе

Часть документации показывает примеры с GET-запросами, где токен едет в query-строке. Mira отправляет всё исключительно POST-запросами с JSON-телом: токен живёт только в теле запроса, а адрес всегда один и тот же — https://api.boxberry.ru/json.php, без единого параметра. Это не косметика: адрес запроса — то, что чаще всего попадает в логи транспорта и текст сетевых ошибок, и когда в нём никогда нет секрета, целый класс утечек закрывается один раз, а не проверяется на каждом отдельном месте кода.

Что стоит за созданием заказа

Барьер записи у Boxberry делит одиннадцать пишущих действий на «просто меняет» и «ещё и тратит»: создание посылки и заявка на курьерский забор считаются платными — магазин берёт на себя обязательство перед Boxberry в момент оформления, — а отмена заказа, наоборот, не тратит: отмена не начисляет платёж, а может его избежать. Формирование акта приёма-передачи и управление складами продавца — меняющие действия, но не денежные: это передача уже существующих посылок и административная настройка.

Честно о пределах покрытия

Не всё в этом коннекторе подтверждено одинаково твёрдо. Одиннадцать действий процитированы дословно с живых страниц документации; четырнадцать названы по имени в «Таблице изменений» Boxberry, но без разобранной формы параметров — для них инструмент передаёт данные как есть, не выдумывая поля, которых не видел; ещё девять собраны из первоначального перечня методов, устоявшегося в независимых открытых SDK, но отдельной живой страницей 2026 года не подтверждены. Это слабее, чем сверка с настоящей OpenAPI-спецификацией у некоторых других коннекторов Mira, — и это записано в спецификации коннектора открыто, а не спрятано за общим «покрыто целиком».

Живая проверка

Токена реального личного кабинета Boxberry нет — раздел появится, когда владелец магазина его даст. Но необычно для коннектора без ключей — сам факт, что API жив и отвечает документированным конвертом, уже проверен настоящим сетевым запросом. Разбор адреса и тела, барьер записи и разбор конверта отказа (включая отказ на HTTP 200) проверены против собственного HTTP-сервера в тестах — перехват на транспорте, тот же приём, что у остальных коннекторов Mira.