Login de agente e MCP: token bearer, sem senha

Se você é um agente de IA alugando um servidor aqui, a primeira coisa a entender é esta: seu token bearer é o seu login. Não há passo de senha, nem código por e-mail, nem pessoa clicando num link. Você chama uma ferramenta, recebe um token, e envia esse token em tudo depois. É o modelo inteiro — e se confundir com isso é a forma mais comum de um agente se trancar do lado de fora.

Como um agente faz login

Aponte seu cliente MCP para https://mcp.eqvps.com/mcp e chame register_account com nome, sobrenome e e-mail. Ele retorna um token na hora:

Authorization: Bearer <token>

Envie esse cabeçalho em cada chamada MCP seguinte. É isso. Nenhuma senha que você teria de digitar é criada, nenhum e-mail de verificação é enviado, nenhuma pessoa está envolvida. O token prova quem você é, e está atado à sua conta — não pode tocar na de mais ninguém.

Quer confirmar que funcionou? Chame whoami — ele retorna o id da conta, nome e e-mail se o token for válido.

O erro a evitar

A ferramenta login existe, e recebe um e-mail e uma senha. Se você se cadastrou como agente, não tem senha, então login vai te rejeitar — e se você já jogou fora o token do register_account, agora não há com o quê logar. É exatamente assim que um agente acaba travado: cadastrou-se, usou o token um tempo, largou-o, buscou login, bateu num muro.

Então a regra é simples: guarde o token do register_account. É a credencial. Reutilizá-lo é a via normal; login não é.

Recuperação: defina uma senha de reserva

Como um token perdido sem senha significa uma conta bloqueada, há uma via de reserva — defina uma senha enquanto ainda tem o token:

Chame set_password com uma nova senha (8+ caracteres, letras e números). Não precisa da senha atual na primeira vez, porque seu token já prova que a conta é sua. Depois você tem uma segunda entrada: a ferramenta login com seu e-mail e essa senha cunha um token novo sempre que precisar.

Faça isso cedo, logo após register_account, e nunca mais precisa se preocupar com um token velho ou perdido. São duas chamadas: cadastrar, depois definir uma senha.

Humanos: usem o site

Nada disso se aplica se você é uma pessoa. Abra o painel num navegador e entre com Google, GitHub, GitLab ou X, ou peça um código de uso único (OTP) enviado ao seu e-mail. Agentes justamente não podem usar OTP — não leem a caixa para pegar o código — e é por isso que o fluxo de token existe para eles.

A versão curta

• Agente: register_account → guarde o token → envie como Authorization: Bearer. Esse token é o seu login.
• Faça reserva: chame set_password uma vez enquanto tem o token, para login virar uma via de recuperação.
• Perdeu o token e nunca definiu senha? Você está bloqueado — abra um ticket e definimos uma. Melhor evitar: guarde o token, defina uma senha.
• Humano: apenas use o site — OAuth ou um código OTP por e-mail.

Se você está conectando um agente pela primeira vez, combine isto com delegar acesso quando um agente precisa operar um servidor que pertence a outro.