Il connettore ha un proprio dialogo
Aggiungere TransformPipe a un assistente apriva prima il dialogo delle chiavi API — una schermata intitolata «API keys» con un generatore di chiavi in alto, così chi aveva scelto «MCP connector» doveva capire di essere nel posto giusto. Ora è un dialogo a sé, con l’indirizzo, il comando a una riga e gli assistenti già connessi.
Apri il menu dell'account, scegli il connettore, e la schermata riguarda una cosa sola: collegare un assistente. Prima era il dialogo delle chiavi API, con l'argomento che entrambi fossero vie d'accesso allo stesso account — ed era l'argomento sbagliato, perché chi aveva appena scelto «MCP connector» finiva su una schermata intitolata «API keys» con un generatore di chiavi in alto, e doveva capire se fosse nel posto giusto.
Il dialogo
L'indirizzo da aggiungere, che è /api/mcp sull'origine su cui ti trovi davvero e non un nome host scritto da qualche parte — una distribuzione di anteprima ne fornisce uno proprio. Il comando a una riga, per un client che lo accetta. E gli assistenti attualmente connessi, ciascuno con la data e un modo per interrompere il collegamento. Nulla qui genera una chiave, e collegare un assistente non richiede più di incollarne una.
La pagina a cui l'assistente rimanda
Un client che supporta OAuth rimanda qui per l'approvazione, e quello che arriva è una pagina resa dal server, senza alcuno script al suo interno. Indica il nome dell'account per conto del quale agirebbe, e poi dice, in frasi semplici: che può leggere i documenti di questo account e i loro link di condivisione; se può salvare, condividere ed eliminare, oppure no; che condividere pubblica una pagina che chiunque abbia il link può aprire; e che non può raggiungere il tuo account, il tuo accesso o le tue chiavi API. L'indirizzo a cui verrai rimandato è riportato. Se il client ha pubblicato propri metadati, è riportato anche da dove sono stati letti.
Se ogni indirizzo a cui vuole essere rimandato si trova su questa stessa macchina, la pagina lo dice e spiega perché conta: qualsiasi programma sul tuo computer può chiedere di essere rimandato lì, e nessun server può distinguerli. È l'unica cosa, in questa pagina, che solo la persona davanti alla tastiera può valutare.
Solo lettura è davvero solo lettura
Una connessione con documents:read e senza documents:write viene respinta su qualsiasi cosa modifichi qualcosa — un 403, con un'intestazione insufficient_scope che dice cosa sarebbe servito. Il controllo si trova sulla credenziale e non sulle singole rotte, e lavora a partire da un elenco di metodi sicuri piuttosto che da un elenco di quelli rischiosi, così una rotta aggiunta più avanti è coperta di default. La prima versione aveva le cose al contrario.
Un'approvazione, inoltre, non può essere avviata da un altro luogo. Una richiesta in sospeso viene registrata insieme alla sessione del browser a cui è stata mostrata e può essere approvata solo da quella; l'endpoint che approva controlla Origin e Sec-Fetch-Site; e una richiesta che nessuno approva scade dopo mezz'ora. Qualsiasi concessione può essere ritirata dal menu dell'account.
Da leggere: convertire documenti da un assistente, e convertire documenti con un'API.