Seguridad y atribución

A qué puede acceder la URL

La URL actúa como su clave de API, pero solo mediante las herramientas de la referencia de herramientas. No puede revelar tu clave de API, administrar claves de API, cambiar la configuración de la cuenta, conectar cuentas sociales ni proveedores, ni ingresar credenciales de proveedores. Referencia de herramientas

Las respuestas sobre tu propia cuenta nunca incluyen tu dirección de correo electrónico ni tu número de teléfono.

Las eliminaciones y las acciones de pago te preguntan primero

Las herramientas que eliminan, realizan acciones irreversibles o cuestan más que el precio habitual no cambian nada la primera vez que se llaman. Responden con lo que harían y, si la acción es de pago, con el precio actual, para que el asistente pueda preguntarte. Solo después de que aceptes, el asistente vuelve a llamarlas con tu confirmación.

Texto escrito por otras personas

Algunas herramientas devuelven texto escrito por otras personas, envíos del formulario de tus páginas alojadas, pedidos de la tienda, textos de las publicaciones, páginas de productos de proveedores. Posty5 le indica al asistente que trate ese texto como datos y nunca como instrucciones, pero ningún asistente es perfecto. Desconfía si, en medio de una tarea, el asistente de repente quiere hacer algo que no pediste.

Los datos personales de tus compradores

El grupo store-orders devuelve al asistente los nombres, direcciones y números de teléfono de los compradores y, por lo tanto, a la empresa que lo gestiona. Está desactivado de forma predeterminada. Actívalo solo si los datos de tus compradores pueden llegar allí.

Cómo se marcan los registros

Todo lo que un asistente crea mediante MCP muestra “Creado mediante MCP” en el panel y en el panel de control de la tienda, junto con el asistente y el modelo que lo crearon. En el registro solo queda constancia de la creación, los cambios y las eliminaciones aparecen en el registro de actividad.

Verificado por	Qué significa
El servidor MCP de Posty5	La llamada llegó a través de tu URL de MCP. Posty5 confirma que fue por MCP y qué asistente se conectó, según el nombre con el que se identificó el asistente.
Declarado por el cliente	La llamada llegó con una clave de API desde el paquete local u otro programa que dice ser un asistente. Posty5 registra lo que se le indicó y no lo verifica.

El registro de actividad

En “Claves de API”, elige “Actividad” en una clave para ver cada llamada que sus asistentes hicieron a través de la URL de MCP, la herramienta, el asistente, el modelo y si la llamada se completó, fue rechazada o se limitó por exceso de solicitudes. El registro guarda un breve resumen de cada llamada, sin el contenido de las páginas, las direcciones ni nada que parezca un secreto. Las llamadas se conservan durante 90 días. El paquete local no guarda ningún registro.

Si se filtra tu URL

Abre “Administrar MCP” en la clave y elige “Renovar URL”. La URL anterior deja de funcionar al instante. Pega la nueva en tus propios asistentes.
Si es posible que la propia clave de API se haya filtrado, revoca la clave en su lugar. Eso también detiene la URL.
Revisa la “Actividad” de la clave en busca de llamadas que no reconozcas.