A comparação com conformidade de cartões pode chamar atenção, mas mistura responsabilidades diferentes. Proteger credenciais de pagamento continua necessário. Controlar um software delegado acrescenta decisões sobre acesso, escopo e execução; não substitui automaticamente os controles já existentes.
Também é imprudente classificar todo tráfego de agente como desejável ou fraudulento. Uma integração identificada pode pedir algo além do permitido, enquanto um cliente legítimo pode precisar de ajuda para concluir a autenticação. A decisão deve considerar a operação solicitada e as evidências disponíveis.
Neste guia
Quais três perguntas precisam de respostas independentes?
| Pergunta | Evidência necessária |
|---|---|
| Quem está chamando? | Identidade técnica validada pelo mecanismo da integração. |
| A que serviço pode acessar? | Permissões, escopos e destinatário aceitos pelo serviço. |
| Pode executar esta ação? | Autorização aplicável às condições concretas da operação. |
Um identificador declarado no cabeçalho não resolve essas três perguntas. Mesmo uma assinatura válida demonstra apenas aquilo que seu esquema cobre. O sistema precisa conhecer a relação de confiança usada para validar o emissor e decidir quais ações aquele participante pode solicitar.
Como limitar o acesso sem bloquear toda a integração?
Separe consulta de catálogo, leitura de pedido e alteração comercial. Cada capacidade deve expor apenas os dados necessários e exigir a permissão correspondente. Uma credencial usada para responder dúvidas sobre produtos não deveria, por conveniência, dar acesso à lista de clientes ou ao cancelamento de compras.
No MCP, a documentação de autorização exige validação apropriada do token pelo recurso que o recebe. As práticas de segurança também proíbem o repasse indiscriminado de tokens destinados a outros serviços. Em termos operacionais, a integração precisa obter a credencial correta para cada destino, em vez de transportar um segredo amplo por toda a cadeia.
Como verificar a delegação para uma ação concreta?
A permissão precisa ser interpretável por código: qual ação, para quem, com quais restrições e até quando. Se a integração usar AP2, siga o modelo de verificação e as restrições da versão negociada. Uma restrição desconhecida não deve ser tratada como autorização irrestrita só porque o restante do documento parece válido.
Considere um exemplo hipotético: um agente tem acesso à conta de uma empresa para consultar entregas. Ele recebe, dentro da descrição de um produto, um texto ordenando o cancelamento de todos os pedidos. Essa informação é conteúdo externo, não autorização do cliente. A chamada de cancelamento deve falhar mesmo que a sessão de consulta continue válida.
Como reagir quando a verificação falha?
Defina resultados distintos para credencial ausente, credencial inválida, permissão insuficiente e autorização vencida. A resposta deve indicar o caminho permitido de recuperação, sem expor detalhes que facilitem abuso. Se a ação exigir nova aprovação, encaminhe a pessoa a uma superfície confiável e preserve somente o contexto necessário.
Não permita que uma falha de assinatura ou de escopo seja contornada por uma segunda rota menos protegida. Também evite conceder mais privilégios automaticamente para reduzir erros de integração. O responsável técnico deve investigar a causa e revisar o contrato de acesso com quem opera o serviço.
Quais testes demonstram que os limites funcionam?
Peça testes com token destinado a outro serviço, permissão de leitura tentando escrever, autorização expirada e recurso de outra conta. Inclua conteúdo malicioso dentro de uma resposta de ferramenta, não apenas no texto enviado diretamente pelo usuário. O aceite exige que essas tentativas sejam recusadas e registradas sem executar efeitos parciais indevidos.
O curso MCP para quem decide ajuda a avaliar as fronteiras entre ferramentas e sistemas. Os guias de pagamentos e de homologação completam o percurso quando há compra. A ação imediata é listar as ferramentas expostas ao agente, identificar quais alteram estado e exigir uma regra de autorização verificável para cada uma delas.