Ambiti

Quando aggiungi Engram come connettore MCP, il client riceve un token di accesso OAuth. Il token porta con sé un ambito (scope) che determina cosa può fare il client sul tuo archivio.

Cosa concede oggi il token

Oggi l’endpoint MCP di Engram prevede un unico ambito monolitico: mcp.

Un token con l’ambito mcp concede al client l’accesso completo a tutte le funzionalità di MCP: lettura delle note, ricerca semantica, scrittura di note, modifica delle cartelle, allegati. Non è suddiviso in permessi specifici per azione, ma è limitato ai vault che scegli nella schermata di consenso quando ti connetti. Puoi selezionare vault specifici, oppure tutti i vault (che includono i vault che crei in seguito).

Gli ambiti granulari sono in programma

Suddividere mcp in ambiti per singola azione (notes:read, notes:search, notes:write, notes:delete, folders:write, metadata:read) è nella roadmap. Quando sarà disponibile, il flusso del connettore ti permetterà di concedere i permessi minimi di cui un agente ha bisogno (“leggere e cercare ma mai scrivere”) invece della concessione tutto o niente di oggi.

Se i permessi granulari ti interessano già adesso, la soluzione alternativa è non collegare agenti di cui non ti fidi per scrivere nel tuo archivio. Al momento non esiste alcun modo, all’interno del protocollo, per restringere la concessione una volta emessa.

Verificare e revocare l’accesso

In Engram, la sezione Impostazioni → Connessioni elenca tutte le connessioni OAuth e le chiavi API attive. Clicca su Revoca per disattivare una di queste.

• Una chiave API revocata smette di funzionare immediatamente.
• Una connessione OAuth revocata non può più rinnovare l’accesso e il suo token di accesso corrente scade entro 15 minuti.

Grammatica degli ambiti (per chi sviluppa SDK)

L’endpoint pubblica gli ambiti supportati tramite /.well-known/oauth-authorization-server. Chi sviluppa SDK dovrebbe leggere quei metadati invece di scrivere a mano le stringhe degli ambiti, perché la suddivisione granulare comparirà prima lì.