Karzoun Docs

ترث وكلاء MCP صلاحيات رمز التطبيق الذي تستخدمه بالضبط. عامل MCP كوصول إنتاجي للواجهة البرمجية، وليس بيئة معزولة.

نظافة الرموز

افعل	لا تفعل
خزّن الرموز في متغيرات البيئة، مديري الأسرار، أو أسرار CI	لا ترفع الرموز إلى Git أو تشاركها في Slack
أنشئ تطبيقات منفصلة لكل بيئة (تطوير/تجريب/إنتاج)	لا تعيد استخدام رمز واحد عبر الفرق والبوتات
دوّر عند مغادرة شخص أو فقدان جهاز محمول	لا تضمّن الرموز في قواعد Cursor أو شيفرة العميل
استخدم الحد الأدنى من النطاقات في المطوّر ← التطبيقات	لا تمنح وصول جميع المستخدمين إلا عند الحاجة

يُعرض JWT من appsAdd مرة واحدة — نفس قواعد المصادقة.

تعيش الرموز في ~/.cursor/mcp.json أو إعداد Claude Desktop على جهازك
أي شخص يصل إلى جهازك يمكنه قراءتها — استخدم تشفير القرص الكامل ورموز تطوير منفصلة
فضّل تطبيق “MCP تطوير” مخصص بنطاقات للقراءة فقط أثناء الاستكشاف

استدعِ فقط من خوادم موثوقة تتحكم بها
أنهِ TLS عند الحافة؛ لا تخفّض إلى HTTP أبدًا
مرّر x-app-token من جهة الخادم؛ لا ترسله إلى المتصفحات أو تطبيقات الجوال أبدًا
معرّفات الجلسة (mcp-session-id) ليست أسرارًا، لكنها تربط النشاط بخادمك — لا تنشرها

قبل منح الوكيل أدوات الكتابة (customersAdd، tagsRemove، …):

قد تستدعي نماذج اللغة الكبيرة التعديلات بشكل غير متوقع. التخفيفات:

الطريقة	تعرّض بيانات الاعتماد	الأفضل لـ
MCP stdio	الجهاز المحلي	إنتاجية المطوّر
MCP المستضاف	الخلفية فقط	وكلاء الإنتاج
GraphQL مباشرة	خدمتك	تكاملات حتمية
خطافات الويب	سر التوقيع على خادمك	مدفوعة بالأحداث، بدون نموذج لغة

إذا تسرّب رمز: