Endpoints

Servidor MCP

En el mismo dominio que la API, con el prefijo mcp:

Entorno	URL del servidor MCP	API REST
Producción	https://mcp.finance.kobana.com.br	https://api.finance.kobana.com.br/v1
Sandbox	https://mcp.finance.sandbox.kobana.com.br	https://api.finance.sandbox.kobana.com.br/v1

La URL del servidor es la raíz del host — esa es la dirección que pegas en un cliente MCP, nada más: el workspace se elige en cada llamada, con el argumento workspace_id de las tools. ?workspace_id=<uuid> se sigue aceptando, pero solo define un workspace predeterminado para la conexión — ver Autenticación → El workspace. La raíz es también el resource identifier OAuth, y por eso no lleva ningún camino.

Rutas servidas

Método	Camino	Para qué
POST	/	Un mensaje JSON-RPC por solicitud. Toda la superficie de tools.
GET	/.well-known/oauth-protected-resource	Metadata del recurso protegido (RFC 9728). Pública, sin autenticación.
GET	/	405 — este servidor es stateless y no abre stream servidor→cliente.
DELETE	/	204 — no hay sesión que cerrar.

tip

Cada entorno tiene base de datos y Authorization Server propios: un token emitido en sandbox no vale en producción. Empieza por el sandbox: las tools destructivas borran títulos y envían pagos al banco de verdad.

:::info Host separado, a propósito El servidor MCP tiene host propio en lugar de un camino en el host de la API o de la app. El documento de descubrimiento OAuth tiene que vivir en la raíz del host, y ninguna cookie del panel se envía a este origen — lo que elimina por construcción toda una clase de problemas de confused deputy. :::

Desarrollo local

En desarrollo el endpoint responde en /mcp en el host de la app (http://localhost:3029/mcp), y el documento de descubrimiento en /.well-known/oauth-protected-resource. En sandbox y producción, fuera de mcp.finance.*, el endpoint responde 404.