Безопасность и атрибуция

К чему у URL-адреса есть доступ

URL-адрес действует как его API-ключ, но только через инструменты из справочника инструментов. Он не может раскрыть ваш API-ключ, управлять API-ключами, менять настройки аккаунта, подключать аккаунты соцсетей или поставщиков и вводить учётные данные поставщиков. Справочник инструментов

Ответы о вашем собственном аккаунте никогда не содержат ваш адрес электронной почты или номер телефона.

Удаление и платные действия — только с вашего согласия

Инструменты, которые удаляют данные, выполняют необратимые действия или стоят дороже обычной цены, при первом вызове ничего не меняют. Они сообщают, что собираются сделать, а для платного действия — актуальную цену, чтобы ассистент мог спросить вас. Только после вашего согласия ассистент вызывает их снова с вашим подтверждением.

Текст, написанный другими людьми

Некоторые инструменты возвращают текст, написанный другими людьми, — заявки из форм на ваших размещённых страницах, заказы магазина, подписи к публикациям, страницы товаров поставщиков. Posty5 просит ассистента считать такой текст данными и никогда — инструкциями, но идеальных ассистентов не бывает. Будьте осторожны, если посреди задачи ассистент вдруг хочет сделать то, о чём вы не просили.

Персональные данные ваших покупателей

Группа store-orders передаёт ассистенту имена, адреса и номера телефонов покупателей, а значит, и компании, которая им управляет. По умолчанию она отключена. Включайте её, только если данные ваших покупателей можно туда передавать.

Как помечаются записи

Всё, что ассистент создаёт через MCP, отмечено как «Создано через MCP» в панели управления и в панели управления магазином — с указанием ассистента и модели, которые это создали. В самой записи фиксируется только создание — изменения и удаления отображаются в журнале действий.

Кем проверено	Что это значит
MCP-сервер Posty5	Вызов пришёл через ваш URL-адрес MCP. Posty5 подтверждает, что это был MCP и какой ассистент подключился, — под тем именем, которым он себя назвал.
Со слов клиента	Вызов пришёл с API-ключом от локального пакета или другой программы, которая называет себя ассистентом. Posty5 записывает то, что ей сообщили, и не проверяет это.

Журнал действий

В разделе «API-ключи» выберите «Активность» у ключа, чтобы увидеть все вызовы, которые его ассистенты сделали через URL-адрес MCP, — инструмент, ассистента, модель и результат, вызов выполнен, отклонён или ограничен по частоте запросов. В журнале хранится краткая сводка каждого вызова — без содержимого страниц, адресов и всего, что похоже на секретные данные. Вызовы хранятся 90 дней. Локальный пакет журнал не ведёт.

При утечке URL-адреса

Откройте «Управление MCP» у ключа и выберите «Обновить URL-адрес». Старый URL-адрес сразу перестаёт работать. Вставьте новый в свои ассистенты.
Если мог утечь сам API-ключ, вместо этого отзовите ключ. Это остановит и URL-адрес.
Проверьте «Активность» ключа на наличие вызовов, которые вы не узнаёте.