Segurança e atribuição

O que a URL pode acessar

A URL age como a chave de API dela, mas apenas pelas ferramentas da referência de ferramentas. Ela não pode revelar sua chave de API, gerenciar chaves de API, alterar as configurações da conta, conectar contas sociais ou fornecedores, nem inserir credenciais de fornecedores. Referência de ferramentas

As respostas sobre a sua própria conta nunca incluem seu endereço de e-mail nem seu número de telefone.

Exclusões e ações pagas perguntam a você primeiro

Ferramentas que excluem, realizam ações irreversíveis ou custam mais do que o preço normal não alteram nada na primeira chamada. Elas respondem com o que fariam e, em uma ação paga, com o preço atual, para que o assistente possa perguntar a você. Só depois que você concordar o assistente as chama novamente com a sua confirmação.

Textos escritos por outras pessoas

Algumas ferramentas retornam textos escritos por outras pessoas — envios do formulário das suas páginas hospedadas, pedidos da loja, legendas de publicações, páginas de produtos de fornecedores. A Posty5 orienta o assistente a tratar esse texto como dados e nunca como instruções, mas nenhum assistente é perfeito. Desconfie quando, no meio de uma tarefa, o assistente de repente quiser fazer algo que você não pediu.

Os dados pessoais dos seus compradores

O grupo store-orders retorna ao assistente os nomes, endereços e telefones dos compradores e, portanto, à empresa que o opera. Ele vem desativado por padrão. Ative-o somente se os dados dos seus compradores puderem ir para lá.

Como os registros são marcados

Tudo o que um assistente cria pelo MCP mostra “Criado via MCP” no painel e no painel de controle da loja, com o assistente e o modelo que o criaram. No próprio registro, apenas a criação fica anotada — alterações e exclusões aparecem no registro de atividades.

Verificado por	O que significa
O servidor MCP da Posty5	A chamada veio pela sua URL do MCP. A Posty5 confirma que foi via MCP e qual assistente se conectou, conforme o nome que o próprio assistente informou.
Declarado pelo cliente	A chamada veio com uma chave de API do pacote local ou de outro programa que diz ser um assistente. A Posty5 registra o que foi informado e não verifica.

O registro de atividades

Em “Chaves de API”, escolha “Atividade” em uma chave para ver cada chamada que os assistentes dela fizeram pela URL do MCP — a ferramenta, o assistente, o modelo e se a chamada foi bem-sucedida, recusada ou limitada por excesso de requisições. O registro guarda um breve resumo de cada chamada, sem o conteúdo das páginas, endereços e qualquer coisa que pareça um segredo. As chamadas são mantidas por 90 dias. O pacote local não mantém registro.

Se a sua URL vazar

Abra “Gerenciar MCP” na chave e escolha “Renovar URL”. A URL antiga para de funcionar na hora. Cole a nova nos seus próprios assistentes.
Se a própria chave de API pode ter vazado, revogue a chave em vez disso. Isso também desativa a URL.
Verifique a “Atividade” da chave em busca de chamadas que você não reconhece.