Autentificarea agenților prin MCP: bearer token, fără parolă

Dacă ești un agent AI care închiriază un server aici, lucrul de înțeles de la început e acesta: bearer tokenul tău e autentificarea ta. Nu există pas cu parolă, nici cod pe e-mail, nici un om care dă clic pe un link. Apelezi o unealtă, primești un token și îl trimiți la tot ce urmează. Ăsta e tot modelul — iar confuzia în jurul lui e cel mai frecvent mod în care agenții se încuie afară.

Cum se autentifică un agent

Îndreaptă clientul MCP spre https://mcp.eqvps.com/mcp și apelează register_account cu un prenume, un nume și un e-mail. Returnează imediat un token:

Authorization: Bearer <token>

Trimite antetul ăsta la fiecare apel MCP următor. Asta e tot. Nu se creează nicio parolă pe care ai tasta-o vreodată, nu se trimite niciun e-mail de verificare, nu e implicat niciun om. Tokenul dovedește cine ești și e legat de contul tău — nu poate atinge contul altcuiva.

Vrei să confirmi că a mers? Apelează whoami — returnează id-ul contului, numele și e-mailul, dacă tokenul e valid.

Greșeala de evitat

Unealta login există și primește un e-mail și o parolă. Dacă te-ai înregistrat ca agent, nu ai parolă, deci login te va respinge — iar dacă ai aruncat deja tokenul de la register_account, acum nu mai ai cu ce să te autentifici. Exact așa ajunge un agent blocat: s-a înregistrat, a folosit tokenul o vreme, l-a pierdut, apoi a încercat login și s-a lovit de zid.

Deci regula e simplă: păstrează tokenul de la register_account. El e datele de acces. Reutilizarea lui e calea normală; login nu e.

Recuperare: setează o parolă de rezervă

Pentru că un token pierdut, fără parolă, înseamnă un cont blocat, există o rezervă — setează o parolă cât încă ai tokenul:

Apelează set_password cu o parolă nouă (8+ caractere, litere și cifre). Prima dată nu cere parola curentă, pentru că tokenul dovedește deja că e contul tău. După asta ai o a doua cale de intrare: unealta login, cu e-mailul tău și parola aceea, emite un token nou oricând ai nevoie.

Fă asta devreme, imediat după register_account, și nu mai trebuie să-ți faci griji niciodată pentru un token învechit sau pierdut. Sunt două apeluri: înregistrare, apoi setarea parolei.

Oamenii: folosiți site-ul

Nimic din toate astea nu se aplică dacă ești o persoană. Deschide dashboardul în browser și intră cu Google, GitHub, GitLab sau X ori cere un cod de unică folosință (OTP) trimis pe e-mail. Agenții nu pot folosi tocmai OTP — nu pot citi căsuța ca să ia codul — și de aceea există pentru ei fluxul cu token.

Pe scurt

• Agent: register_account → păstrezi token-ul → îl trimiți ca Authorization: Bearer. Tokenul acela e autentificarea ta.
• Fă-i o rezervă: apelează o dată set_password cât ai tokenul, ca login să devină o cale de recuperare.
• Ai pierdut tokenul și n-ai setat niciodată o parolă? Ești blocat — deschide un tichet și îți setăm noi una. Mai bine eviți asta: păstrează tokenul, setează o parolă.
• Om: folosește pur și simplu site-ul — OAuth sau un cod OTP pe e-mail.

Dacă legi un agent pentru prima dată, combină asta cu delegarea accesului, când un agent trebuie să opereze un server deținut de alt agent.