MCP
Cómo ejecutar un servidor MCP en producción: autenticación, límites de tiempo, registros y versiones
Un servidor MCP alojado necesita la misma disciplina que una API: autenticación, validación de entradas, límites de tiempo, secretos, comprobaciones de salud, registros e historial de despliegue.
Cuando un servidor MCP puede actuar en nombre de un usuario o producto, debe operarse como software backend de producción.
Las demos locales ocultan las dificultades
Un servidor MCP local puede demostrar que funciona la estructura de una herramienta. No demuestra que el servidor deba recibir credenciales de producción, aceptar tráfico de clientes remotos o actuar sobre recursos compartidos del equipo.
Cuando el servidor pasa de una demo personal, necesita una URL estable, autenticación con alcance limitado, registros claros, ejecución acotada y una forma de revertir cambios defectuosos.
Trata las herramientas como endpoints de API
Cada herramienta MCP debe validar entradas, aplicar autorización, limitar la duración de llamadas a otros servicios y devolver errores predecibles. Una herramienta que crea infraestructura, lee registros o accede a datos de clientes necesita límites más estrictos que un asistente local.
Los secretos requieren el mismo cuidado. Guarda los tokens de proveedores y las URLs de bases de datos fuera del código fuente, pasa solo los valores que necesita el servidor y evita imprimir credenciales en resultados de herramientas o registros.
- —Valida cada entrada de herramienta antes de llamar a un proveedor.
- —Usa credenciales con alcance limitado en lugar de tokens de administración amplios.
- —Establece límites de tiempo para servicios externos y trabajos de larga duración.
- —Devuelve errores útiles sin revelar valores privados.
Despliégalo mediante un proceso real de publicación
Un servidor MCP de producción debe compilarse desde código fuente, exponer una ruta de salud, publicarse mediante HTTPS y mantener los registros vinculados a la versión que los produjo. Así los desarrolladores pueden saber qué código atendió una llamada de herramienta.
Adios puede alojar un servidor MCP personalizado como una aplicación normal, mientras que la página MCP de Adios trata otro caso de uso: controlar la propia plataforma Adios desde un cliente compatible con MCP.
Prueba los límites de confianza
Antes de exponer Streamable HTTP, rechaza un Origin inesperado, un token ausente o inválido, una entrada demasiado grande y una solicitud a otro servicio que exceda su plazo. Confirma que el cliente recibe un error acotado y que el registro del servidor conserva un identificador de solicitud sin incluir credenciales ni salidas de herramientas que puedan contener datos privados.
Repite una llamada válida de herramienta tras los fallos y verifica que el servidor sigue saludable. Esto distingue un transporte de producción de un handler que solo funciona en una máquina local de confianza.