MCP-токены: уровни доступа, сроки и ограничения

MCP-токен даёт внешнему AI-клиенту доступ к серверам команды. Токен ограничен ресурсами, которые вы в нём выбрали, и не может получить больше прав, чем роль его создателя. Выпускать токены могут владелец, администратор и разработчик.

Выпустить токен

1. Откройте Настройки → MCP и нажмите Новый токен.
2. Введите Имя токена, например по названию клиента.
3. Выберите Срок действия.
4. В блоке Области доступа отметьте серверы, сайты или базы и уровень на каждом.
5. Нажмите Создать токен.

Секрет показывается один раз. Скопируйте его сразу.

Уровни доступа

• Серверы и сайты: Читать (данные панели, без SSH), Управление (деплой, перезапуски, безопасные действия), Sudo (произвольные команды, файрвол, запись в .env).
• Базы: Читать (видно только, что база существует), Выбрать только (SELECT, SHOW, EXPLAIN), Полный (запись SQL).

Пункт Все серверы даёт уровень на все серверы команды, включая добавленные позже. Его выбирают владелец, администратор и разработчик.

Срок действия

Выберите срок от одного часа до одного года или Не истекает. Бессрочным может быть только токен с уровнем Читать. Токен с управлением или sudo выпускается на срок.

Ограничения

• Ограничить инструменты: отметьте, какие инструменты MCP может вызывать токен. Базовые инструменты, без которых клиент не найдёт серверы и не прочитает результат задачи, включены всегда.
• Откуда работает токен: укажите адреса или подсети. С других адресов токен отклоняется до получения списка инструментов. Облачный агент работает с адресами своего провайдера, а не с вашими.

Защита от опасных команд

Защита блокирует команды вроде rm -rf, DROP DATABASE и mkfs. Её можно выключить на странице MCP для всей команды или для одного токена: По умолчанию для команды, Всегда включено или Отключено для этого токена. Выключение требует подтверждения личности. Защита работает по шаблонам, поэтому не полагайтесь на неё одну.

Sudo только ключом

Включите Запереть sudo ключом безопасности, и sudo откроется только касанием ключа. Нужен зарегистрированный ключ. После этого sudo открывается кнопкой в списке токенов на 15 минут, час или восемь часов. Для автоматизации без присмотра этот режим не подходит.

Подтверждение и отзыв

Токены с sudo, токены на все серверы и выключение защиты требуют подтверждения паролем или ключом.

Кнопка Перевыпустить создаёт новый токен с теми же настройками. Отметьте Отозвать старый токен после создания, если старый нужно закрыть. Кнопка Отозвать закрывает доступ сразу.

Тариф задаёт число активных токенов: на Pro два, на Business без лимита. На Starter MCP недоступен.