MCP
Como executar um servidor MCP em produção: autenticação, timeouts, logs e versões
Um servidor MCP hospedado exige o mesmo cuidado que uma API: autenticação, validação de entradas, timeouts, segredos, verificações de saúde, logs e histórico de implantação.
Quando um servidor MCP pode agir em nome de um usuário ou produto, ele deve ser operado como um backend de produção.
Demonstrações locais escondem as partes difíceis
Um servidor MCP local pode demonstrar que o formato de uma ferramenta funciona. Isso não comprova que o servidor deva receber credenciais de produção, aceitar tráfego remoto de clientes ou atuar sobre recursos compartilhados da equipe.
Quando o servidor vai além de uma demonstração pessoal, precisa de URL estável, autenticação com escopo, logs claros, execução limitada e uma forma de reverter mudanças com falha.
Tratar ferramentas como endpoints de API
Cada ferramenta MCP deve validar entradas, aplicar autorização, limitar o tempo das chamadas a serviços dependentes e retornar erros previsíveis. Uma ferramenta que cria infraestrutura, lê logs ou acessa dados de clientes precisa de limites mais rigorosos do que um utilitário local.
Os segredos merecem o mesmo cuidado. Guarde tokens de provedores e URLs de banco de dados fora do código-fonte, forneça apenas os valores necessários ao servidor e evite imprimir credenciais em resultados de ferramentas ou logs.
- —Validar cada entrada de ferramenta antes de chamar um provedor.
- —Use credenciais com escopo restrito em vez de tokens administrativos amplos.
- —Defina prazos para serviços externos e trabalho de longa duração.
- —Retorne erros úteis sem vazar valores privados.
Implantar com um caminho real de publicação de versões
Um servidor MCP em produção deve ser compilado a partir do código-fonte, expor uma rota de saúde, ser publicado por HTTPS e manter os logs vinculados à versão que os produziu. Assim, os desenvolvedores podem identificar qual código processou uma chamada de ferramenta.
A Adios pode hospedar um servidor MCP personalizado como uma aplicação normal. A página MCP da Adios aborda outro caso de uso: controlar a própria plataforma Adios a partir de um cliente compatível com MCP.
Exercite os limites de confiança
Antes de expor Streamable HTTP, rejeite um Origin inesperado, um token ausente ou inválido, uma entrada grande demais e uma requisição a um serviço dependente que exceda seu prazo. Confirme que o cliente recebe um erro dentro de limites definidos, enquanto o log preserva o identificador da requisição e omite credenciais e resultados de ferramentas que possam conter dados privados.
Após as falhas, repita uma chamada válida de ferramenta e verifique se o servidor continua saudável. Isso distingue um transporte pronto para produção de um handler que só funciona em uma máquina local confiável.