Recursos para desarrolladores de Wispu: MCP y OAuth

01

Discovery de MCP

Wispu publica llms.txt, este portal y los metadatos OAuth del recurso protegido para su servidor MCP remoto canónico.

curl https://wispu.app/.well-known/oauth-protected-resource/api/mcp

02

Inicio rápido de MCP

El servidor remoto usa Streamable HTTP en wispu.app/api/mcp. Toda solicitud requiere OAuth. Los clientes OAuth usan authorization code con PKCE S256 y solicitan el scope mcp. Ese scope solo abre el transporte. Cada llamada a una herramienta vuelve a comprobar el usuario, el workspace, la Brand y los permisos del producto.

Claude, ChatGPT y Codex

Usa el endpoint remoto en un cliente compatible con MCP. Los clientes JSON compatibles con Claude usan el primer ejemplo. ChatGPT se conecta mediante su interfaz MCP. Codex usa el ejemplo TOML. El cliente completa OAuth; no pegues un token de cliente en un prompt.

{
  "mcpServers": {
    "wispu": { "url": "https://wispu.app/api/mcp" }
  }
}

[mcp_servers.wispu]
url = "https://wispu.app/api/mcp"

03

OAuth con PKCE

Lee primero los metadatos del recurso protegido. ChatGPT y Codex usan client ID metadata discovery. Los clientes compatibles con Claude pueden usar dynamic client registration restringido. Todos usan authorization code con un code challenge S256. El scope mcp no concede acceso a workspace ni Brand.

curl https://wispu.app/.well-known/oauth-protected-resource/api/mcp

04

Perfiles de acceso y mínimo privilegio

No se usan tokens API personales. Crea un perfil de acceso con nombre y solo las Brands y capacidades que necesita el agente. Revocar el perfil detiene su acceso OAuth y su familia de refresh tokens. Un perfil pertenece a un solo workspace y cubre solo las Brands a las que el usuario accede ahí, comprobadas de nuevo en cada solicitud. Los Workspace Guests solo pueden leer. Escribir Context exige Workspace Owner/Admin o un Workspace Member con acceso explícito de Brand Admin. Una respuesta en el chat no es una aprobación. El agente prepara un cambio y muestra el borrador completo. Después, una persona con permiso de escritura en la Brand lo aprueba o lo rechaza en Approvals de Wispu. Aprobar aplica exactamente el payload que la persona vio; el agente no puede aplicarlo. La misma regla cubre los cambios de Context, las publicaciones y las plantillas del Vault. El agente consulta el resultado con get_approval_status.

05

Rate limits

Las solicitudes MCP y OAuth sin autenticar se limitan a 30 por minuto por IP. Las lecturas permiten 120 por minuto por usuario y cliente; las lecturas de Knowledge, los análisis y las propuestas permiten 20; los guardados permiten 10. Las respuestas incluyen RateLimit y RateLimit-Policy. HTTP 429 también incluye Retry-After. Los errores de herramientas devuelven un código tipado, un mensaje, una resolución y el indicador retryable.

06

Recursos legibles por máquinas

• llms.txt/llms.txt
• MCP endpointwispu.app/api/mcp
• OAuth protected-resource metadata/.well-known/oauth-protected-resource/api/mcp