Piloter Coffrify avec un assistant IA

Le serveur MCP (Model Context Protocol) de Coffrify permet à un assistant IA comme Claude ou Cursor d'appeler l'API Coffrify directement, en langage naturel. Vous demandez « crée un transfert chiffré pour Sarah, expiration 48 h » et l'assistant déclenche l'outil correspondant, scopé à votre workspace. Cette recette montre comment créer un jeton cof_mcp_, configurer votre client, formuler vos premières demandes, puis sécuriser et faire tourner le jeton. Aucun build local n'est nécessaire : tout passe par un serveur hébergé sur HTTPS, et le mode de bout en bout reste respecté car l'assistant n'opère que sur les métadonnées et déclenche les flux côté serveur.

Étape 1 : créer un jeton MCP

Un jeton MCP est distinct d'une clé API classique : il vit dans son propre registre, avec son propre suivi d'activité et sa propre révocation, mais il partage le même catalogue de scopes. Créez-le avec l'appel ci-dessous. Le champ scopes détermine exactement ce que l'assistant pourra faire : limitez-le au strict nécessaire.

curl -X POST https://api.coffrify.com/v1/mcp/tokens \
  -H "Authorization: Bearer cof_live_votre_cle" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Claude Desktop poste Marie",
    "environment": "live",
    "scopes": ["transfers:read", "transfers:write"],
    "client_hint": "claude-desktop"
  }'

La réponse contient le jeton en clair dans le champ token, sous la forme cof_mcp_live_… (ou cof_mcp_test_… si vous avez passé environment: "test"), accompagné d'un avertissement : il ne sera plus jamais réaffiché. Copiez-le immédiatement et conservez-le dans votre gestionnaire de secrets.

Étape 2 : configurer le client

Déclarez le serveur Coffrify dans le fichier de configuration MCP de votre client. La structure est identique pour tous les clients compatibles : un bloc mcpServers avec l'URL du serveur hébergé et l'en-tête d'autorisation portant votre jeton. Remplacez <workspace> par l'identifiant de votre workspace et collez votre jeton cof_mcp_live_… complet.

{
  "mcpServers": {
    "coffrify": {
      "url": "https://mcp.coffrify.com/<workspace>",
      "headers": {
        "Authorization": "Bearer cof_mcp_live_…"
      }
    }
  }
}

L'emplacement de ce fichier dépend du client. Voici les chemins usuels. Après modification, redémarrez complètement le client pour qu'il recharge la configuration.

Étape 3 : demander en langage naturel

Tout est prêt. Adressez vos demandes à l'assistant comme à un collègue. Il choisit l'outil adéquat, appelle l'API avec votre jeton et vous restitue le résultat. Les noms d'outils suivent la convention coffrify_<action>, ce qui les rend lisibles dans la trace de la conversation.

• « Liste mes dix derniers transferts » déclenche coffrify_list_transfers et affiche les résultats paginés de votre workspace.
• « Crée un transfert du fichier rapport.pdf pour sarah@exemple.fr, expiration 48 h, mot de passe obligatoire » déclenche coffrify_create_transfer et renvoie le lien de partage.
• « Donne-moi les détails du transfert tr_aR9k2P » déclenche coffrify_get_transfer avec ses fichiers, son statut et son expiration.
• « Supprime ce transfert » déclenche coffrify_delete_transfer et invalide aussitôt le lien de partage.

Selon les scopes accordés, l'assistant peut aussi piloter les coffres, les réceptions, les collections, les webhooks ou l'audit. Si vous lui demandez une action hors de ses scopes, l'API la refuse et l'assistant vous explique quel droit manque : il suffit alors d'élargir les scopes du jeton.

Sécuriser le jeton

Un jeton MCP donne à l'assistant un accès programmatique à votre workspace. Traitez-le comme un mot de passe. Le serveur applique automatiquement, à chaque appel, le cycle de vie du jeton : révocation, expiration, liste d'IP autorisées et plafond d'utilisations. Quelques règles simples renforcent la posture de sécurité.

• Un jeton par poste ou par personne. Vous pourrez révoquer finement sans couper tout le monde.
• Le moins de scopes possible. Commencez en lecture seule, n'ajoutez l'écriture que si l'usage l'exige.
• Restreignez par IP via allowed_ips pour un serveur ou un poste à adresse fixe.
• Posez une expiration avec expires_in_days pour les usages temporaires ou les démonstrations.
• Ne committez jamais le jeton dans un dépôt : utilisez un gestionnaire de secrets ou une variable d'environnement.

Pour faire tourner un jeton sans interruption, utilisez la rotation : Coffrify émet un remplaçant et laisse l'ancien valable pendant une fenêtre de grâce (sept jours par défaut, ajustable), le temps de mettre à jour vos configurations clients.

curl -X POST https://api.coffrify.com/v1/mcp/tokens/{id}/rotate \
  -H "Authorization: Bearer cof_live_votre_cle" \
  -H "Content-Type: application/json" \
  -d '{ "grace_days": 7 }'

La rotation renvoie un nouveau jeton (new_token, là aussi affiché une seule fois) et la date de fin de grâce. Si un jeton est compromis, ne faites pas de rotation : révoquez-le immédiatement avec DELETE /v1/mcp/tokens/{id}, ce qui refuse tous les appels suivants sans délai. Vous pouvez aussi ajuster les scopes ou les IP d'un jeton existant avec PATCH /v1/mcp/tokens/{id}, ou lister vos jetons actifs avec GET /v1/mcp/tokens.