mcp para conectar, e os outros escopos dela decidem quais ferramentas o cliente vê. Uma ferramenta fora dos escopos da chave não aparece na lista, e chamá-la responde como uma ferramenta desconhecida.
Escopos
Algumas chamadas verificam um escopo a partir dos argumentos.
get_metrics_history precisa de apps:read para uma aplicação e de databases:read para um banco de dados. create_database com connect_to_app também precisa de databases:credentials e envs:write, set_env_vars com restart também precisa de apps:control, e commit_application com snapshot também precisa de snapshots:write. Sem o escopo exigido, essa chamada responde MISSING_SCOPE e nada roda.
Claude e ChatGPT pedem todos os escopos acima. Na página de consentimento da Square Cloud, você pode desmarcar qualquer um deles, exceto mcp, mas nunca adicionar um. Uma conexão nunca recebe account:read, apps:deploy, ai:chat nem os escopos do Blob Storage, porque nenhuma ferramenta do MCP os usa.
Chaves restritas a aplicações e bancos de dados
Uma chave de API pode ser limitada a algumas aplicações e bancos de dados. Pelo MCP, uma chave assim:- Só alcança esses recursos. Uma chamada que cita qualquer outra aplicação ou banco de dados responde
RESOURCE_NOT_ALLOWEDantes de qualquer coisa rodar, elist_applicationselist_databasesretornam apenas os recursos da chave. - Perde as ferramentas da conta inteira:
get_all_applications_status,list_account_domains,list_workspaces,create_application,upload_application,create_database,connect_databaseerotate_database_credentials(uma troca de credenciais atualiza todas as aplicações que usam o banco de dados). - Precisa indicar o alvo:
list_snapshotserestore_snapshotprecisam da aplicação ou do banco de dados, já que a visão geral da conta inteira cobre recursos fora da chave.
Toda mudança roda na hora
Toda ferramenta age já na primeira chamada, inclusive para excluir uma aplicação ou um banco de dados e restaurar um snapshot. A Square Cloud não pergunta a você antes: quando chamar uma ferramenta é decisão do seu cliente de IA. Toda ferramenta informa ao cliente se ela só lê ou se pode destruir algo, e a maioria dos clientes pede sua permissão antes de uma ferramenta destrutiva: mantenha esse aviso ligado.Exclusões e restaurações
delete_application, delete_database e restore_snapshot não podem ser desfeitos, então a Square Cloud tira um snapshot de segurança da aplicação ou do banco de dados antes de agir, a menos que já exista um dos últimos minutos. O safety_snapshot do resultado diz qual foi o caso:
Enquanto o snapshot ainda está sendo gerado, nada roda: a chamada responde
SNAPSHOT_NOT_READY e o cliente tenta de novo com os mesmos argumentos em cerca de 2 minutos.
O snapshot de segurança conta para o limite diário de snapshots do seu plano. Depois de uma exclusão, ele fica no dashboard, pronto para baixar e enviar como uma nova aplicação: restore_snapshot só restaura aplicações e bancos de dados que ainda existem.
Segredos
list_env_varsretorna apenas os nomes das variáveis e, de uma URL de conexão, só o esquema e o host.- As ferramentas de arquivos nunca leem, escrevem ou excluem arquivos
.env(nem*.env,.env-*e.envrc; um arquivo de exemplo como.env.examplepode ser lido) e nunca leem chaves privadas nem certificados (.pem,.key,.p12,.pfx,.ppk,.jkse chaves SSH comoid_rsa). - Segredos reconhecidos nos logs das aplicações são mascarados.
- Links de download de snapshots e de certificados nunca são enviados.
Os logs e os arquivos das suas aplicações são conteúdo que o modelo lê, e um texto neles pode tentar direcioná-lo. Revise o que o cliente propõe antes de permitir.