Güvenlik ilkeleri
- Varsayılan çalışma yerel olmalı.
- Secret değerleri varsayılan olarak maskelenmeli.
- Riskli tool çağrıları görünür şekilde etiketlenmeli.
- Public URL/tunnel açık risk uyarısıyla sunulmalı.
- Windows release dosyası hash ve imza bilgisiyle yayınlanmalı.
- macOS/Linux hazır olmadan aktif download linki yayınlanmamalı.
Local-first gateway
Varsayılan gateway endpoint:
http://localhost:8787/mcpBu yaklaşım, kişisel kullanımda AI uygulaması ile MCP server’lar arasında yerel kontrol katmanı sağlar. Ürün public bağlantıya bağımlı olmamalıdır.
Secret masking
Aşağıdaki değer tipleri UI ve log içinde açık gösterilmemelidir:
- API key, token, bearer token
- Database URL, connection string
- Password, private key, SSH key
- Webhook secret, OAuth client secret
GITHUB_TOKEN=ghp_********************
DATABASE_URL=postgres://user:****@host:5432/dbTool call görünürlüğü
Her çağrı için minimum kayıt alanları:
| Alan | Açıklama | Güvenlik değeri |
|---|---|---|
| source_app | Claude, Cursor, VS Code | Kaynağı ayırır |
| server | MCP server adı | Yetki alanını gösterir |
| tool | Çağrılan tool adı | Risk sınıflama için gerekir |
| latency/status | Süre ve sonuç | Debug ve performans |
| risk_label | read/write/network/db/shell | Riskli işlemleri öne çıkarır |
Public URL / tunnel
Public URL, lokal MCP gateway’in dışarı açılması anlamına gelebilir. Bu özellik varsayılan kapalı gelmeli ve yalnızca kontrollü demo/test için kullanılmalıdır.
- Public URL aktifken status bar’da görünür uyarı göster.
- URL’i paylaşmadan önce erişim kapsamını açıkla.
- Public URL kapatıldığında token/session temizliği yap.
Download güvenliği
Her release sayfası aşağıdakileri içermelidir:
- Version: vX.Y.Z
- Release date
- Operating system ve mimari: şu an Windows x64
- Dosya boyutu
- SHA256
- Windows code signing durumu
- Changelog linki
Personal / Enterprise ayrımı
Personal lokal, ücretsiz, bireysel MCP yönetim aracıdır. Enterprise merkezi policy, DLP, access control, audit, tenant yönetimi ve governance katmanını kapsamalıdır.