افصل تسجيل المزوّد عن وصول العميل
حساب الاستضافة والأشخاص اللي بيستخدموا نقطة نهاية MCP بتاعتك طبقات مختلفة. تسجيل استضافة بسيط مش مبرر لسيرفر أدوات قابل للكتابة علنًا. حدد هويات العملاء المسموح لها باستدعاء أي أدوات.
أصدر بيانات اعتماد ضيقة النطاق
يُفضّل استخدام بيانات اعتماد قابلة للإلغاء بشكل مستقل وذات غرض محدود. خزّنها بشكل خاص، وبدّلها دوريًا، وامنع ظهورها في URL أو السجلات. فكّر في مجموعة أدوات للقراءة فقط قبل السماح بالعمليات التي تؤثر على موارد العملاء أو الأموال.
خلّي النتائج واضحة
تتبع معرّفات العمليات وحالاتها. تحقق من مخطط الأداة، وتعامل مع الإلغاء، وتأكد من أن إعادة المحاولة لا يمكنها تكرار إجراء ذي عواقب بصمت. وفّر مسار موافقة واضحًا للإجراءات التي تتطلب ذلك.
انشر بس اللي موجود
تحقق من إصدار البروتوكول المدعوم ونقطة النهاية والمصادقة والحدود قبل توصيل عميل. نقطة نهاية KoalaVPS MCP المستضافة والحزمة الرسمية القابلة للتنزيل غير متاحتين حاليًا.
حساب بسيط ممكن يبقى ليه تحكم قوي في الوصول
تقليل الهوية متوافق مع بيانات اعتماد API محددة النطاق ونقطة نهاية HTTPS موثّقة. أبقِ استرداد الحساب وتفويض العميل منفصلين. عنوان البريد الإلكتروني ليس الطريقة الوحيدة لإثبات هوية API، لكن العملية المختارة تحتاج إلى استجابة واضحة للمفاتيح المفقودة والعملاء المخترقين.
اختبار قبول الإطلاق
تحقق من TLS والتفاوض على البروتوكول والتحقق من المخطط والنطاقات المحدودة والإلغاء. جرّب طلب إنشاء مكررًا وتأكد من أنه يُحل إلى عملية واحدة. ارفض طلبًا لمورد خارج حدود بيانات الاعتماد. تحقق من أن الأخطاء والسجلات لا تتضمن الرمز أو مدخلات الأدوات الخاصة.
الوثائق الرسمية: تفويض MCP
اعمل خريطة هوية منفصلة لكل طبقة
وثّق حساب المزود ومحفظة الدفع وهوية عميل MCP وبيانات اعتماد خدمة الأدوات وحساب API اللاحق ككيانات مختلفة. إعطاؤهم سر إداري مشترك واحد بيصعّب الإلغاء ونسبة الأفعال. التسجيل الأدنى عند المزود مش بيخفي عنوان IP لنقطة نهاية عامة أو اسم DNS أو استخدام API الخارجي. اختار البيانات اللي هتقللها عند كل حد واشرح السجلات اللي لسه ضرورية.
- ادّي كل عميل مسار وصول ضيق وقابل للإلغاء وحدد موارده المسموح بها.
- استخدم بيانات اعتماد منفصلة لما خدمة MCP تنادي API تاني؛ توكن الوصول MCP بتاع العميل مش توكن عام للمسارات اللاحقة.
- افصل عمّال الإنتاج عن العمّال التجريبيين، خصوصًا حيث يمكن للأدوات إنفاق الأموال أو إرسال الرسائل.
- انشر الإصدارات المدعومة ونقطة وصول متحقق منها بس بعد ما توجد. KoalaVPS مش بيشغّل حاليًا خدمة MCP مستضافة عامة.
الوثائق الرسمية: MCP: أفضل ممارسات الأمان
حدّد تمريناً لفقدان المفتاح وإلغاء الوصول
أنشئ بيانات اعتماد عميل مؤقتة، ونفّذ عملية قراءة واحدة مسموح بها، وألغِ بيانات الاعتماد دي وكرر الاستدعاء. تحقق إن أي صلاحية مخزنة مؤقتًا أو تصريح تطبيق بيحترم سياسة الإلغاء. كرر مع مورد العميل مامتلكهوش أبدًا. احتفظ بسجلات النتائج من غير الاحتفاظ بالـ prompts الكاملة أو وسائط الأدوات. لو استدعاء غير مصرح به نجح، وقف منح أدوات الكتابة لحد ما يتم تصحيح فحص المورد من جهة السيرفر.
- ماتعتبرش جلسة بروتوكول أو معرّف طلب دليل على هوية المستخدم.
- بالنسبة لـ HTTP OAuth، اختبر سلوك 401/403 الموثّق والاكتشاف للإصدار اللي بتنشره فعلاً.
- ارفض وسائط الأدوات غير المعروفة وحدّد حجم النتيجة ومدة الطلب والتزامن.
- اختبر إعادة المحاولة بعد انقطاع شبكة محاكى وتحقق من عملية واحدة مهمة، مش اتنين.
الوثائق الرسمية: MCP 2026-07-28: تفويض HTTP