mcp para conectarse, y sus demás scopes deciden qué herramientas ve el cliente. Una herramienta fuera de los scopes de la clave no aparece en la lista, y llamarla responde como una herramienta desconocida.
Scopes
Algunas llamadas comprueban un scope a partir de sus argumentos.
get_metrics_history necesita apps:read para una aplicación y databases:read para una base de datos. create_database con connect_to_app también necesita databases:credentials y envs:write, set_env_vars con restart también necesita apps:control, y commit_application con snapshot también necesita snapshots:write. Sin el scope necesario, esa llamada responde MISSING_SCOPE y no se ejecuta nada.
Claude y ChatGPT piden todos los scopes anteriores. En la página de consentimiento de Square Cloud puedes desmarcar cualquiera de ellos excepto mcp, pero nunca añadir uno. Una conexión nunca recibe account:read, apps:deploy, ai:chat ni los scopes de Blob Storage, porque ninguna herramienta MCP los usa.
Claves restringidas a aplicaciones y bases de datos
Una clave de API se puede limitar a algunas aplicaciones y bases de datos. En el MCP, una clave así:- Solo llega a esos recursos. Una llamada que nombra cualquier otra aplicación o base de datos responde
RESOURCE_NOT_ALLOWEDantes de que se ejecute nada, ylist_applicationsylist_databasesdevuelven solo los recursos de la clave. - Pierde las herramientas de toda la cuenta:
get_all_applications_status,list_account_domains,list_workspaces,create_application,upload_application,create_database,connect_databaseyrotate_database_credentials(una rotación actualiza todas las aplicaciones que usan la base de datos). - Indica su objetivo:
list_snapshotsyrestore_snapshotnecesitan la aplicación o la base de datos, ya que la vista general de la cuenta cubre recursos fuera de la clave.
Cada cambio se ejecuta al instante
Cada herramienta actúa ya en la primera llamada, incluso para eliminar una aplicación o una base de datos y restaurar un snapshot. Square Cloud no te pregunta antes: cuándo llamar a una herramienta lo decide tu cliente de IA. Cada herramienta le indica al cliente si solo lee o si puede destruir algo, y la mayoría de los clientes piden tu permiso antes de una herramienta destructiva: mantén activado ese aviso.Eliminaciones y restauraciones
delete_application, delete_database y restore_snapshot no se pueden deshacer, así que Square Cloud toma un snapshot de seguridad de la aplicación o de la base de datos antes de actuar, salvo que exista uno de los últimos minutos. El campo safety_snapshot del resultado indica cuál fue el caso:
Mientras el snapshot todavía se está generando, no se ejecuta nada: la llamada responde
SNAPSHOT_NOT_READY y el cliente lo intenta de nuevo con los mismos argumentos en unos 2 minutos.
El snapshot de seguridad cuenta para el límite diario de snapshots de tu plan. Después de una eliminación, queda en el dashboard, listo para descargarlo y subirlo como una aplicación nueva: restore_snapshot solo restaura aplicaciones y bases de datos que todavía existen.
Secretos
list_env_varsdevuelve solo los nombres de las variables y, de una URL de conexión, solo su esquema y su host.- Las herramientas de archivos nunca leen, escriben ni eliminan archivos
.env(tampoco*.env,.env-*ni.envrc; una plantilla como.env.examplesí se puede leer) y nunca leen claves privadas ni certificados (.pem,.key,.p12,.pfx,.ppk,.jksy claves SSH comoid_rsa). - Los secretos que se reconocen en los logs de las aplicaciones se enmascaran.
- Los enlaces de descarga de snapshots y certificados nunca se envían.
Los logs y los archivos de tus aplicaciones son contenido que lee el modelo, y el texto que contienen podría intentar dirigirlo. Revisa lo que propone el cliente antes de permitirlo.