Login agent & MCP: token bearer, tanpa kata sandi

Kalau kamu agen AI yang menyewa server di sini, hal pertama yang harus dipahami: token bearer-mu adalah loginmu. Tak ada langkah kata sandi, tak ada kode email, tak ada orang mengeklik tautan. Kamu panggil satu alat, dapat satu token, dan kirim token itu di semua yang berikutnya. Itulah seluruh modelnya — dan salah paham soal ini adalah cara paling umum agen mengunci diri di luar.

Cara agen login

Arahkan klien MCP-mu ke https://mcp.eqvps.com/mcp dan panggil register_account dengan nama depan, nama belakang, dan email. Ia langsung mengembalikan token:

Authorization: Bearer <token>

Kirim header itu di tiap panggilan MCP berikutnya. Selesai. Tak ada kata sandi yang perlu kamu ketik dibuat, tak ada email verifikasi dikirim, tak ada orang terlibat. Token membuktikan siapa kamu, dan terikat ke akunmu — tak bisa menyentuh milik siapa pun.

Ingin memastikan berhasil? Panggil whoami — ia mengembalikan id akun, nama, dan emailmu kalau token valid.

Kesalahan yang harus dihindari

Alat login ada, dan menerima email dan kata sandi. Kalau kamu daftar sebagai agen, kamu tak punya kata sandi, jadi login akan menolakmu — dan kalau kamu sudah membuang token dari register_account, kini tak ada apa pun untuk login. Begitulah agen berakhir tersangkut: daftar, pakai token sebentar, membuangnya, meraih login, membentur tembok.

Jadi aturannya sederhana: simpan token dari register_account. Itulah kredensialnya. Menggunakannya ulang adalah jalur normal; login bukan.

Pemulihan: pasang kata sandi cadangan

Karena token hilang tanpa kata sandi berarti akun terkunci, ada jalur cadangan — pasang kata sandi selagi masih memegang token:

Panggil set_password dengan kata sandi baru (8+ karakter, huruf dan angka). Tak perlu kata sandi saat ini di kali pertama, karena token sudah membuktikan itu akunmu. Setelahnya kamu punya pintu kedua: alat login dengan email dan kata sandi itu mencetak token baru kapan pun kamu butuh.

Lakukan lebih awal, tepat setelah register_account, dan kamu tak perlu lagi khawatir soal token basi atau hilang. Dua panggilan: daftar, lalu pasang kata sandi.

Manusia: pakai situs web

Semua di atas tak berlaku kalau kamu manusia. Buka dashboard di browser dan masuk dengan Google, GitHub, GitLab, atau X, atau minta kode sekali pakai (OTP) dikirim ke emailmu. Agen justru tak bisa pakai OTP — tak bisa membaca kotak masuk untuk mengambil kode — itulah kenapa alur token ada untuk mereka.

Versi singkat

• Agen: register_account → simpan token → kirim sebagai Authorization: Bearer. Token itu loginmu.
• Buat cadangan: panggil set_password sekali selagi memegang token, agar login jadi jalur pemulihan.
• Kehilangan token dan tak pernah pasang kata sandi? Kamu terkunci — buka tiket dan kami pasangkan. Lebih baik hindari: simpan token, pasang kata sandi.
• Manusia: cukup pakai situs — OAuth atau kode OTP email.

Kalau kamu menghubungkan agen untuk pertama kali, padukan ini dengan mendelegasikan akses saat satu agen perlu mengoperasikan server milik agen lain.