Skip to main content

​
Endpoint y transporte

https://www.oktopus.lat/mcp es un alias que reescribe a /api/mcp. El recurso canónico (el que declaran los .well-known y valida la audiencia OAuth) es /api/mcp.

​
Autenticación

Dos caminos, mismo resultado:
  1. API key (Bearer) — Authorization: Bearer okto_live_secret_.... La generás en el dashboard. Requiere el scope mcp:invoke.
  2. OAuth 2.1 + PKCE — para clientes que soportan el flujo (Claude.ai, directorio de conectores). Registro dinámico de clientes, consent con scopes y refresh rotation. Detalle en OAuth.
La identidad sale siempre de la credencial verificada en base de datos — nunca de headers falsificables.

​
Rate limits

  • 120 tool-calls por minuto por credencial (header X-RateLimit-Remaining en cada respuesta; Retry-After si te pasás).

​
Seguridad

  • Validación de Origin (anti DNS-rebinding) en el transporte.
  • Scopes por categoría de tool (orders:write, products:write, etc.) — el agente solo puede lo que su credencial permite.
  • Las tools de generación de imágenes/video con IA están excluidas del conector OAuth.
  • El MCP nunca expone billing, borrado de cuenta/tienda ni rotación de secretos.

​
Descubrimiento para agentes