Configuración MCP: entiende la estructura, la conexión y los permisos
Organizar MCP en tres pasos facilita el diagnóstico: revisa la estructura, prueba la conexión y evalúa el servidor y los permisos solicitados. La comprobación de estructura cubre el primer paso; la conectividad y la confianza requieren verificaciones separadas.
Son 3 preguntas diferentes
¿Puede la aplicación leer la configuración? ¿Funciona la conexión? ¿Son adecuados el origen y los permisos para tus datos? Responder sí a la primera no resuelve las otras.
MCP conecta un cliente con un servidor que ofrece capacidades. Puede ser un programa local mediante stdio o un servicio mediante HTTP; el transporte cambia lo que debes revisar.
Referencias: Model Context Protocol — Clients, servers and transports
Comprueba el formato de tu cliente
ToolRoof revisa un subconjunto JSON bajo mcpServers: command con args y env opcionales, o url con headers opcionales. Incluir command y url en la misma entrada es un error; los campos desconocidos generan advertencias.
No es el formato de todas las aplicaciones MCP. Consulta la documentación de tu cliente antes de eliminar opciones válidas que el comprobador no cubre. No se ejecutan comandos, visitan direcciones ni prueban credenciales.
Una advertencia no es un detector completo de secretos
Argumentos, variables de entorno y cabeceras pueden contener información sensible. Señalar esos lugares no prueba que cada valor sea secreto ni que su ausencia garantice un archivo sin secretos.
No publiques una configuración real en un informe de soporte. Usa un ejemplo depurado y revisa origen y permisos al conectar. HTTPS y JSON válido no establecen confianza por sí solos.
Ejemplo: un resultado válido con un significado limitado
{"mcpServers":{"notes":{"url":"https://example.com/mcp","type":"http"}}} describe un servidor en el subconjunto admitido. Que pase solo confirma la estructura; example.com es una dirección ilustrativa, no un servidor MCP comprobado.
Añadir command a esa entrada falla por transporte ambiguo. En cambio, añadir headers con {"X-Mode":"demo"} mantiene válida la estructura, pero produce una advertencia de revisión. No significa que demo sea una credencial secreta.