Conecte-se ao seu servidor MCP sem credencial nenhuma e veja exatamente o que ele entrega. Raramente é o que as pessoas supõem.
Com o transporte resolvido, resta o problema de ninguém ver o que o seu servidor faz. O MCP Showcase transforma a mesma URL em um playground ao vivo com documentação para cada ferramenta.
De propósito sem token: é esse o teste.
Sem credenciais, sem cabeçalhos: exatamente o que enviaria alguém que achou a sua URL.
Quais ferramentas são listadas, se algo é servido por HTTP sem criptografia, e que nota essa superfície recebe.
Esta página se conecta ao seu servidor MCP sem credenciais — sem token, sem cabeçalhos, sem nada —
e informa exatamente o que volta. É o mesmo handshake e a mesma chamada
tools/list que qualquer cliente MCP faz ao conectar, então é tráfego que o seu
servidor já aceita de cada agente que o usa.
A resposta muitas vezes não é a que as pessoas esperam, porque a lista de ferramentas e as chamadas de ferramentas costumam ser protegidas separadamente, e só a segunda recebe atenção.
Um servidor que lista as ferramentas anonimamente e só recusa as chamadas ainda entregou um mapa:
internal_billing_adjust, prod_db_query, delete_tenant. Isso
é uma descrição dos seus sistemas, disponível a qualquer um que ache a URL. Se as chamadas estão
protegidas, a lista normalmente também deveria estar.
Elas acabam em arquivos de configuração, em logs, em capturas de tela e em tickets de suporte. Trate o endpoint como público e coloque o controle no servidor em vez de confiar que o endereço seja impossível de adivinhar: ele não vai continuar assim.
Um token bearer estático autentica, que é a maior parte do trabalho, mas rotação e revogação passam a ser suas, e ele só é tão seguro quanto o transporte que o carrega. Um token em HTTP sem criptografia não é proteção: é uma credencial transmitida a tudo que estiver no caminho, e é por isso que essa combinação é marcada como crítica no resultado.
Depois que um cliente consegue alcançar o seu servidor, resta o problema de ninguém conseguir dizer o que ele faz. Uma lista de ferramentas não é uma demonstração, e um prospect não vai instalar um cliente para descobrir. O MCP Showcase aponta para a mesma URL e produz um playground ao vivo com documentação gerada para cada ferramenta, para que avaliar o seu servidor custe um clique.