Cursor, VS Code e outros clientes

Escolha: chave ou login

O servidor aceita os dois. Sem cabeçalho, o editor abre o ByDomu para você permitir o acesso (fica em Apps conectados). Com cabeçalho, use uma chave secreta somente leitura (Authorization: Bearer domu_sk_live_…) guardada em uma variável de ambiente. Chaves publicáveis não servem.

Quais permissões dar à chave

Cursor

// ~/.cursor/mcp.json (todos los proyectos) o .cursor/mcp.json (este proyecto)
{
  "mcpServers": {
    "bydomu": {
      "url": "https://mcp.bydomu.com/mcp",
      "headers": { "Authorization": "Bearer ${env:BYDOMU_API_KEY}" }
    }
  }
}
// Sin "headers", Cursor usa el inicio de sesión (OAuth) del servidor.

VS Code (Copilot, modo agente)

// .vscode/mcp.json: VS Code pide la clave la primera vez y la guarda cifrada
{
  "servers": {
    "bydomu": {
      "type": "http",
      "url": "https://mcp.bydomu.com/mcp",
      "headers": { "Authorization": "Bearer ${input:bydomu-key}" }
    }
  },
  "inputs": [
    { "type": "promptString", "id": "bydomu-key", "description": "Clave secreta de ByDomu (solo lectura)", "password": true }
  ]
}
// Sin "headers", VS Code usa el inicio de sesión (OAuth). También: comando «MCP: Add Server».

O VS Code pede para confiar no servidor antes de iniciá-lo e confirmar as ferramentas; você pode desativar as que não usa em Configure Tools.

Outros clientes MCP

Qualquer cliente com Streamable HTTP e cabeçalhos próprios (ou OAuth) funciona. Estes estão verificados na documentação deles:

# Codex CLI: la clave sale de la variable BYDOMU_API_KEY
codex mcp add bydomu --url https://mcp.bydomu.com/mcp --bearer-token-env-var BYDOMU_API_KEY
# o con inicio de sesión:
codex mcp login bydomu

Se algo falhar

• 401A chave falta ou não é válida: confira se a variável existe no ambiente do editor e se o valor leva «Bearer ».
• 403É uma chave publicável, falta a permissão dessa ferramenta ou o cliente manda um cabeçalho Origin (como um navegador): com chave secreta isso é recusado; use o login.
• 405O cliente tenta SSE (GET): o servidor só fala Streamable HTTP por POST. Escolha «http» ou «Streamable HTTP».
• 429Você passou do limite por minuto; o erro diz em quantos segundos tentar de novo.

O que pode fazer, como revogar e boas práticas

O servidor é somente leitura: a IA pode consultar, mas não cria, muda nem apaga nada, e nunca envia mensagens aos seus clientes. Ela só vê o que estas permissões permitem, com o limite de uma chave secreta (60 requisições por minuto).

Com uma chave, a IA vê o que essa chave permitir. Para cortar o acesso, pause ou apague a chave em Configurações › API Keys; a próxima chamada responde 401.