Rotation des identifiants du serveur MCP sans interruption

Le problème

Les configurations des serveurs MCP sont livrées avec des clés d'API codées en dur qui ne sont jamais renouvelées. La clé est intégrée dans un fichier JSON de configuration, commitée dans un dépôt ou incluse dans une image Docker, et tout le monde l'oublie. Six mois plus tard, la clé a été partagée dans douze environnements, trois anciens employés ont toujours accès au dépôt, et personne ne sait quels services se cassent si la clé est révoquée. Les audits de sécurité la signalent, mais la rotation signifie mettre à jour chaque configuration MCP, redémarrer chaque serveur et espérer que rien ne casse en silence. Alors la clé reste.

La solution Scavio

Les clés Scavio peuvent être régénérées instantanément depuis le tableau de bord avec une période de grâce sur l'ancienne clé. Vous générez une nouvelle clé, mettez à jour votre configuration MCP, et l'ancienne clé reste valide pendant une fenêtre configurable pendant que vous propagez le changement. L'API utilise une authentification standard par en-tête, donc la définition de votre outil serveur MCP est un appel HTTP de trois lignes avec la clé extraite d'une variable d'environnement, non codée en dur dans la configuration. La rotation devient une opération d'une minute au lieu d'un projet.

À qui cela s'adresse

Ingénieurs DevOps et équipes de sécurité gérant des déploiements de serveurs MCP où les clés d'API sont intégrées dans les configurations. Toute personne ayant échoué à un audit de sécurité parce qu'une clé d'API de recherche n'a pas été renouvelée depuis plus d'un an.

Avantages clés

• Clés extraites de variables d'environnement, jamais codées en dur dans les configurations MCP
• Période de grâce sur les anciennes clés signifie rotation sans interruption
• La régénération via le tableau de bord prend quelques secondes, pas un sprint
• Des clés par environnement isolent le rayon d'explosion d'un identifiant compromis
• Le tableau de bord d'utilisation montre quelle clé est encore active pendant la migration

Exemple Python

import os
import requests

# Key from env, never hardcoded in MCP config
API_KEY = os.environ["SCAVIO_API_KEY"]

def mcp_search_tool(query: str, platform: str = "google") -> dict:
    """MCP tool definition for search. Key rotates via env without config changes."""
    res = requests.post(
        "https://api.scavio.dev/api/v1/search",
        headers={"x-api-key": API_KEY},
        json={"platform": platform, "query": query},
        timeout=10,
    )
    res.raise_for_status()
    return res.json()

# Test the tool
result = mcp_search_tool("mcp server security best practices 2026")
print(f"Results: {len(result.get('organic', []))}")
print(f"Using key ending in: ...{API_KEY[-4:]}")

Exemple JavaScript

const API_KEY = process.env.SCAVIO_API_KEY;

async function mcpSearchTool(query, platform = "google") {
  // Key from env - rotate without touching MCP config
  const res = await fetch("https://api.scavio.dev/api/v1/search", {
    method: "POST",
    headers: { "x-api-key": API_KEY, "content-type": "application/json" },
    body: JSON.stringify({ platform, query }),
  });
  if (!res.ok) throw new Error(`scavio ${res.status}`);
  return res.json();
}

const result = await mcpSearchTool("mcp server security best practices 2026");
console.log(`Results: ${result.organic?.length ?? 0}`);
console.log(`Using key ending in: ...${API_KEY.slice(-4)}`);

Plateformes utilisées