Уточните способ входа
В описании сервера определите: вход не нужен, требуется OAuth, API-ключ в окружении локального процесса или HTTP-заголовок. Не переносите ключ из примера другого сервера.
Ограничьте полномочия
По возможности создайте ключ только для чтения и нужного набора данных. При OAuth проверьте запрошенные области доступа; если серверу не нужна запись, не выдавайте её.
Храните секрет вне общего файла
Проектные mcp.json и .mcp.json могут попадать в репозиторий. Используйте поддерживаемую клиентом подстановку переменной окружения, безопасный ввод или личную конфигурацию. Не вставляйте значение токена в публикацию и переписку.
Проверьте действие
Перед первым вызовом посмотрите имя инструмента и его параметры. Для операций записи, отправки и удаления оставьте подтверждение. Если доступ больше не нужен, отключите сервер или отзовите ключ у поставщика.