Connecter un client MCP et laisser l'agent se chiffrer lui-même

Un endpoint, Streamable HTTP

Le serveur parle JSON-RPC 2.0 sur Streamable HTTP à un endpoint unique. Appelez tools/list pour découvrir les outils que votre jeton atteint réellement, plutôt que de vous fier à une liste copiée depuis une page comme celle-ci.

# JSON-RPC 2.0 over Streamable HTTP, one endpoint.
curl -X POST https://api.qannasapi.com/mcp \
  -H "Authorization: Bearer $QANNAS_MCP_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc": "2.0", "id": 1, "method": "tools/list"}'

# Trust this over any tool list copied from a page — it reflects
# the scopes your token actually carries.

Créez un jeton à portée limitée

Les jetons ne sont affichés qu'une fois à la création et portent des portées en lecture seule, avec refus par défaut. Il n'y a aucune portée d'écriture à retenir : un jeton peut consulter et ne peut jamais modifier, envoyer ni supprimer quoi que ce soit. La révocation est immédiate.

// Any client with a custom-headers field connects today.
{
  "mcpServers": {
    "qannas": {
      "url": "https://api.qannasapi.com/mcp",
      "headers": {
        "Authorization": "Bearer qm_…"
      }
    }
  }
}

// The token is shown once at creation. Store it then.

Faites chiffrer l'agent d'abord

Les outils de workflow acceptent un devis dry_run, et le demander ne coûte rien. Mettez l'instruction dans le prompt système — chiffrer d'abord et attendre l'approbation — pour qu'un agent propose un coût avant de dépenser.

# Put this in the agent's system prompt.
# A dry_run quote is free, so there is no reason not to.

Before running any QannasAPI workflow tool, call it once with
dry_run: true, show me the credit quote, and wait for my
approval before running it for real.

Sachez ce que MCP ne porte pas

Le suivi delta est réservé à REST : since_cursor et track_delta ne sont pas exposés via MCP. Les recherches de contacts par consensus sont également réservées à REST. Et les appels MCP facturent toujours de vrais crédits — il n'y a pas de mode clé de test sur cette surface.

Résumé

Checklist de mise en production

• Appelez tools/list sur votre propre jeton au lieu de coder en dur une liste d'outils.
• Mettez « chiffrer d'abord, attendre l'approbation » dans le prompt système de l'agent.
• Créez un jeton par agent pour qu'en révoquer un ne perturbe pas les autres.
• Stockez le jeton à la création — il n'est plus jamais affiché.

Étapes suivantes