Recursos para desarrolladores de Wispu: MCP y OAuth

Discovery de MCP

Wispu publica llms.txt, este portal y los metadatos OAuth del recurso protegido para su servidor MCP remoto canónico.

curl https://mcp.wispu.app/.well-known/oauth-protected-resource/mcp

Inicio rápido de MCP

El servidor remoto usa Streamable HTTP en mcp.wispu.app/mcp. Toda solicitud requiere OAuth. Los clientes OAuth usan authorization code con PKCE S256 y solicitan el scope mcp. Ese scope solo abre el transporte. Cada herramienta vuelve a comprobar usuario, workspace, Brand y permisos del producto.

Claude, ChatGPT y Codex

Usa el endpoint remoto en un cliente compatible con MCP. Los clientes JSON compatibles con Claude usan el primer ejemplo. ChatGPT se conecta mediante su interfaz MCP. Codex usa el ejemplo TOML. El cliente completa OAuth; no pegues un token de cliente en un prompt.

{
  "mcpServers": {
    "wispu": { "url": "https://mcp.wispu.app/mcp" }
  }
}

[mcp_servers.wispu]
url = "https://mcp.wispu.app/mcp"

OAuth con PKCE

Lee primero los metadatos del recurso protegido. ChatGPT y Codex usan client ID metadata discovery. Los clientes compatibles con Claude pueden usar dynamic client registration restringido. Todos usan authorization code con un code challenge S256. El scope mcp no concede acceso a workspace ni Brand.

curl https://mcp.wispu.app/.well-known/oauth-protected-resource/mcp

Perfiles de acceso y mínimo privilegio

No se usan tokens API personales. Crea un perfil de acceso con el nombre, Brands y capacidades mínimas que necesita un agente. Revocar el perfil detiene su acceso OAuth y su familia de refresh tokens. El lanzamiento oscuro se limita a las Brands a las que el usuario accede en Kyba Ventures LLC. Los Workspace Guests solo pueden leer. Escribir Context exige Workspace Owner/Admin o un Workspace Member con acceso explícito de Brand Admin. El cliente debe preparar un elemento, mostrar en el chat el borrador completo de antes y después, esperar una confirmación explícita en un mensaje posterior, hacer commit del payload exacto y volver a leerlo. Las confirmaciones nuevas en el chat no abren una página de revisión de Wispu; las preparaciones antiguas conservan su enlace de revisión de diez minutos.

Rate limits

Las solicitudes MCP y OAuth sin autenticar se limitan a 30 por minuto por IP. Las lecturas permiten 120 por minuto por usuario y cliente; Knowledge fetch y cambios de Context preparados permiten 20; los commits de Context permiten 10. Las respuestas incluyen RateLimit y RateLimit-Policy. HTTP 429 también incluye Retry-After. Los errores de herramientas devuelven código tipado, mensaje, resolución y retryable.

Recursos legibles por máquinas

• llms.txt
• MCP endpoint
• OAuth protected-resource metadata