Endpoints
Servidor MCP
| Ambiente | URL |
|---|---|
| Produção | https://mcp.inbox.kobana.com.br |
| Sandbox | https://mcp.inbox.sandbox.kobana.com.br |
A URL do servidor é a raiz do host — é esse o endereço inteiro que você cola no cliente MCP. Ela também é o resource identifier do OAuth, e é por isso que não tem path.
Rotas servidas
| Método | Path | Finalidade |
|---|---|---|
POST | / | Uma mensagem JSON-RPC por requisição. Toda a superfície de tools. |
GET | /.well-known/oauth-protected-resource | Metadados do recurso protegido (RFC 9728). Público, sem autenticação. |
GET | / | 405 — este servidor é stateless e não abre stream servidor→cliente. |
DELETE | / | 204 — não há sessões a encerrar. |
| qualquer | qualquer outro caminho | 404 com { "error": { "code": "not_found", "message": "not_found" } } — JSON, nunca uma página HTML. |
Documentação
| URL | |
|---|---|
| Documentação | https://docs.inbox.kobana.com.br |
Cada ambiente tem seu próprio host, banco de dados e audience: um token emitido para o servidor MCP de um ambiente é rejeitado por outro — veja Autenticação.
:::info Host próprio, de propósito O servidor MCP tem host próprio em vez de um path no host da API ou do app. O host da API exige mTLS, que nenhum cliente MCP consegue atender; o documento de descoberta do OAuth precisa ficar na raiz do host; e nenhum cookie do dashboard é enviado para esta origem, o que elimina por construção toda uma classe de problemas de confused deputy. :::
Desenvolvimento local
Em desenvolvimento, o endpoint responde em /mcp no host do app (http://localhost:3028/mcp), e o documento de descoberta em /.well-known/oauth-protected-resource. Fora do desenvolvimento, a allowlist de hosts esconde o endpoint (404) fora de mcp.inbox.*.