Cursor, VS Code y otros clientes

Elige: clave o inicio de sesión

El servidor acepta las dos cosas. Sin encabezado, el editor abre ByDomu para que permitas el acceso (queda en Apps conectadas). Con encabezado, usa una clave secreta de solo lectura (Authorization: Bearer domu_sk_live_…) guardada en una variable de entorno. Las claves publicables no sirven.

Qué permisos darle a la clave

Cursor

// ~/.cursor/mcp.json (todos los proyectos) o .cursor/mcp.json (este proyecto)
{
  "mcpServers": {
    "bydomu": {
      "url": "https://mcp.bydomu.com/mcp",
      "headers": { "Authorization": "Bearer ${env:BYDOMU_API_KEY}" }
    }
  }
}
// Sin "headers", Cursor usa el inicio de sesión (OAuth) del servidor.

VS Code (Copilot, modo agente)

// .vscode/mcp.json: VS Code pide la clave la primera vez y la guarda cifrada
{
  "servers": {
    "bydomu": {
      "type": "http",
      "url": "https://mcp.bydomu.com/mcp",
      "headers": { "Authorization": "Bearer ${input:bydomu-key}" }
    }
  },
  "inputs": [
    { "type": "promptString", "id": "bydomu-key", "description": "Clave secreta de ByDomu (solo lectura)", "password": true }
  ]
}
// Sin "headers", VS Code usa el inicio de sesión (OAuth). También: comando «MCP: Add Server».

VS Code pide confiar en el servidor antes de arrancarlo y confirmar las herramientas; puedes desactivar las que no uses en Configure Tools.

Otros clientes MCP

Cualquier cliente con Streamable HTTP y encabezados propios (u OAuth) funciona. Estos están verificados en su documentación:

# Codex CLI: la clave sale de la variable BYDOMU_API_KEY
codex mcp add bydomu --url https://mcp.bydomu.com/mcp --bearer-token-env-var BYDOMU_API_KEY
# o con inicio de sesión:
codex mcp login bydomu

Si algo falla

• 401Falta la clave o no es válida: revisa que la variable exista en el entorno donde corre el editor y que el valor lleve «Bearer ».
• 403Es una clave publicable, le falta el permiso de esa herramienta o el cliente manda un encabezado Origin (como un navegador): con una clave secreta eso se rechaza; usa el inicio de sesión.
• 405El cliente intenta SSE (GET): el servidor solo habla Streamable HTTP por POST. Elige «http» o «Streamable HTTP».
• 429Pasaste el límite por minuto; el error dice en cuántos segundos reintentar.

Qué puede hacer, cómo se revoca y buenas prácticas

El servidor es de solo lectura: la IA puede consultar, pero no crea, cambia ni borra nada, y nunca envía mensajes a tus clientes. Ve solo lo que permiten estos permisos, con el límite de una clave secreta (60 peticiones por minuto).

Con una clave, la IA ve lo que permita esa clave. Para cortar el acceso, pausa o borra la clave en Configuración › API Keys; la siguiente llamada responde 401.