Endpoints

Servidor MCP

Entorno	URL
Producción	https://mcp.inbox.kobana.com.br
Sandbox	https://mcp.inbox.sandbox.kobana.com.br

La URL del servidor es la raíz del host — esa es la dirección completa que pegas en un cliente MCP. También es el resource identifier de OAuth, y por eso no lleva path.

Rutas servidas

Método	Path	Propósito
POST	/	Un mensaje JSON-RPC por solicitud. Toda la superficie de tools.
GET	/.well-known/oauth-protected-resource	Metadatos del recurso protegido (RFC 9728). Público, sin autenticación.
GET	/	405 — este servidor es stateless y no abre stream servidor→cliente.
DELETE	/	204 — no hay sesiones que terminar.
cualquiera	cualquier otra ruta	404 con { "error": { "code": "not_found", "message": "not_found" } } — JSON, nunca una página HTML.

Documentación

	URL
Documentación	https://docs.inbox.kobana.com.br

tip

Cada entorno tiene su propio host, base de datos y audience: un token emitido para el servidor MCP de un entorno es rechazado por otro — ver Autenticación.

:::info Host propio, a propósito El servidor MCP tiene host propio en vez de un path en el host de la API o de la app. El host de la API exige mTLS, que ningún cliente MCP puede cumplir; el documento de descubrimiento de OAuth debe vivir en la raíz del host; y ninguna cookie del dashboard llega a este origen, lo que elimina por construcción toda una clase de problemas de confused deputy. :::

Desarrollo local

En desarrollo, el endpoint responde en /mcp en el host de la app (http://localhost:3028/mcp), y el documento de descubrimiento en /.well-known/oauth-protected-resource. Fuera de desarrollo, la lista de hosts permitidos oculta el endpoint (404) fuera de mcp.inbox.*.