Verbinde dich völlig ohne Zugangsdaten mit deinem MCP-Server und sieh genau, was er herausgibt. Es ist selten das, was man annimmt.
Wenn der Transport stimmt, bleibt das Problem, dass niemand sieht, was dein Server kann. MCP Showcase macht aus derselben URL ein Live-Playground mit Doku für jedes Tool.
Bewusst ohne Token — das ist der Test.
Keine Zugangsdaten, keine Header — genau das, was jemand schicken würde, der deine URL gefunden hat.
Welche Tools aufgelistet werden, ob etwas über unverschlüsseltes HTTP läuft und wie die Oberfläche bewertet wird.
Diese Seite verbindet sich ohne Zugangsdaten mit deinem MCP-Server — kein Token, keine Header,
nichts — und meldet genau, was zurückkommt. Es ist derselbe Handshake und derselbe
tools/list-Aufruf, den jeder MCP-Client beim Verbinden macht; es ist also Verkehr,
den dein Server ohnehin von jedem Agenten akzeptiert, der ihn nutzt.
Die Antwort ist oft nicht die, mit der man rechnet, denn Tool-Liste und Tool-Aufrufe werden meist getrennt geschützt — und nur um das Zweite kümmert sich jemand.
Ein Server, der seine Tools anonym auflistet und nur die Aufrufe ablehnt, hat trotzdem eine
Landkarte herausgegeben: internal_billing_adjust, prod_db_query,
delete_tenant. Das ist eine Beschreibung deiner Systeme, verfügbar für jeden, der die
URL findet. Wenn die Aufrufe geschützt sind, sollte es die Liste meist auch sein.
Sie landen in Konfigurationsdateien, in Logs, in Screenshots und in Support-Tickets. Behandle den Endpunkt als öffentlich und setze die Kontrolle am Server an, statt dich darauf zu verlassen, dass die Adresse unerratbar bleibt — das wird sie nicht.
Ein statisches Bearer-Token authentifiziert, und das ist der größte Teil der Arbeit — aber Rotation und Widerruf werden zu deiner Aufgabe, und es ist nur so sicher wie der Transport, der es überträgt. Ein Token über unverschlüsseltes HTTP ist kein Schutz, sondern eine Zugangsberechtigung, die an alles auf dem Weg gesendet wird. Genau deshalb wird diese Kombination im Ergebnis als kritisch markiert.
Wenn ein Client deinen Server erreicht, bleibt das Problem, dass niemand erkennen kann, was er tut. Eine Tool-Liste ist keine Vorführung, und ein Interessent installiert keinen Client, um es herauszufinden. MCP Showcase richtet sich auf dieselbe URL und erzeugt ein Live-Playground mit generierter Doku für jedes Tool — damit die Bewertung deines Servers einen Klick kostet.