MCP — Sécurité

Ce que l'IA peut voir, et comment reprendre le contrôle.

Les champs sensibles (hash de mot de passe, jetons de vérification/réinitialisation) ne sont jamais renvoyés par MCP.
Chaque application connectée est listée sur /mcp et révocable (mcp_remove_connected_app ou DELETE /api/connected-apps/{app_id}).
Les jetons expirent (7 jours par défaut).
Le serveur n'accepte que les hôtes et origines autorisés (protection DNS-rebinding).

Un jeton donne les mêmes droits que votre mot de passe sur ce qu'il couvre : ne le collez pas dans un chat public.