Tworzenie serwerów MCP dla produktów, z których mają korzystać agenci AI

Tworzymy serwery MCP, które dają agentom AI kontrolowany dostęp do Twojego produktu. Serwer powstaje na API, które już masz, a reguły obowiązujące agentów egzekwuje on sam. Ta praca jest częścią naszego tworzenia oprogramowania AI.

Model Context Protocol (MCP) to otwarty standard, który łączy aplikacje AI z zewnętrznymi danymi i narzędziami. Według komunikatu Anthropic z grudnia 2025 roku obsługują go ChatGPT, Cursor, Gemini, Microsoft Copilot i Visual Studio Code, a od tego czasu protokół należy do fundacji Agentic AI Foundation, działającej w ramach Linux Foundation.

Serwery MCP budujemy dla CTO i product ownerów, których produkt ma już API, a użytkownicy albo zespoły chcą z nim pracować przez asystenta AI.

Od 9 lipca 2026 roku prowadzimy produkcyjny serwer MCP dla opartego na Wagtailu CMS-a, na którym działa ta strona. 20 października 2026 roku miał 164 narzędzia: strony, treści, SEO i GEO (widoczność w wyszukiwaniu AI), schema.org, media, menu, przekierowania, analitykę Search Console i GA4 oraz leady. Razem z publicznym endpointem MCP, opisanym niżej, to całe nasze dotychczasowe wdrożenie MCP. Serwer CMS-a szczegółowo opisujemy w artykule MCP vs API: czego nauczyliśmy się, prowadząc serwer MCP na produkcji.

Serwer MCP budujemy jako cienką warstwę nad Twoim istniejącym REST API. W naszym serwerze każde narzędzie MCP wywołuje endpoint API CMS-a pod adresem /ai-api/. Walidacja i uprawnienia są więc w jednym miejscu, w API, i nie trzeba ich pisać drugi raz w serwerze MCP.

Serwer działa na oficjalnym SDK MCP dla Pythona (FastMCP, pakiet mcp 1.28.1). Lokalnie komunikuje się przez stdio, a na produkcji przez transport streamable HTTP.

Każde żądanie niesie token jednej osoby albo jednej integracji w nagłówku Authorization: Bearer. API sprawdza ten token i zapisuje go w logu, a administrator zarządza tokenami i przegląda log wywołań w panelu Wagtaila.

Własny serwer MCP działa tylko wtedy, gdy model wybiera właściwe narzędzie. Serwer MCP publikuje listę narzędzi, każde z nazwą, opisem i typowanym schematem danych wejściowych. Klient AI pyta, co jest dostępne, i przekazuje te opisy modelowi, a model wybiera. Model nigdy nie widzi kodu narzędzia, więc to opisy i schematy decydują, czy zostanie ono wywołane we właściwym momencie.

W naszym wdrożeniu lista narzędzi idzie za zakresem. Serwer CMS-a, który wymaga tokenu, ma 164 narzędzia do stron, treści, SEO, mediów, menu, przekierowań, analityki i leadów, a każde z nich wywołuje endpoint API CMS-a. Publiczny endpoint, z którego każdy może korzystać bez tokenu, ma tylko dwa narzędzia: jedno pokazuje nasze case studies, drugie wysyła zapytanie o projekt. Każdy zapis w CMS-ie wymaga tokenu.

Na naszym serwerze MCP reguły, których agent nie może złamać, to kody odpowiedzi i walidacja po stronie serwera. Instrukcja w prompcie tylko je objaśnia. O tym, co agent może utworzyć, zapisać i opublikować, decydują trzy bramki:

1. Bez briefu strategii nie ma strony. Wywołanie create_page bez briefu strategii, który przypisuje stronę do celu w naszym planie treści i do jej roli w lejku sprzedaży, kończy się błędem HTTP 400. Bramka dotyczy stron tworzonych przez API i MCP; tworzenie strony w panelu Wagtaila nie jest nią objęte.
2. Bez zatwierdzenia przez człowieka nie ma treści. Zapis treści, gdy człowiek nie zatwierdził briefu strategii, kończy się błędem HTTP 409. Zmiany tytułu, sluga i pól SEO bramka przepuszcza.
3. Bez czystego audytu nie ma publikacji. Publikacja zwraca HTTP 409, gdy audyt znajdzie m.in. fakty spoza listy zatwierdzonej przez człowieka w briefie strategii, nazwy klientów objęte NDA albo brak werdyktu niezależnego agenta-krytyka.

Żadne narzędzie na serwerze nie ma parametru, który pozwalałby ominąć te bramki. Są dwa wyjątki. Tryb poprawki stron już opublikowanych publikuje szkic tylko wtedy, gdy audyt nie znajdzie w nim nic gorszego niż w wersji na żywo. Człowiek może też opublikować stronę ręcznie w panelu Wagtaila.

Część zabezpieczeń serwera MCP jest wbudowana w protokół, a reszta zależy od Twojego serwera. Host, czyli aplikacja AI, w której pracuje użytkownik, egzekwuje zgody użytkownika i zasady, a serwer nie widzi ani całej rozmowy, ani innych serwerów.

Oficjalny przewodnik MCP „Security Best Practices” (wersja 2026-07-28) opisuje ataki takie jak zdezorientowany pośrednik (confused deputy), przekazywanie cudzego tokenu (token passthrough), fałszowanie żądań po stronie serwera (SSRF) i przejęcie lokalnego serwera MCP. Zaleca też minimalizację zakresów: najpierw najmniejszy zakres, a szersze uprawnienia dopiero przy operacji, która ich wymaga.

Rozdzielamy zakresy. Po stronie uwierzytelnionej każde żądanie niesie token jednej osoby albo integracji, a API zapisuje każde wywołanie, więc z logu widać, który token co zrobił. Nasz publiczny endpoint MCP pod adresem https://ordergroup.co/mcp działa od 8 października 2026 roku, nie wymaga tokenu i pozwala tylko na odczyt i kontakt. Służą do tego dwa narzędzia: list_case_studies i submit_project_enquiry. Zapis w CMS-ie wymaga tokenu. Endpoint jest wpisany do oficjalnego rejestru MCP jako co.ordergroup/public (status „active”, wersja 1.0.0, opublikowany 8 października 2026 roku).

Publiczny endpoint jest bezstanowy: każde wywołanie to jeden POST z wiadomością JSON-RPC albo paczką wiadomości i odpowiedź JSON, bez sesji. Zapytanie wysłane przez MCP przechodzi przez tę samą funkcję i ten sam limit zapytań co formularz kontaktowy REST. Endpoint deklaruje wersje protokołu 2025-06-18, 2025-03-26 i 2024-11-05.

Projekt serwera MCP zaczynamy od bezpłatnej konsultacji albo warsztatu discovery, na którym omawiamy Twoje API, użytkowników, którzy będą pracować przez asystentów AI, i reguły, których agenci nie mogą łamać.

Potem projektujemy listę narzędzi, budujemy serwer MCP nad Twoim API i przenosimy Twoje reguły na serwer. Jeśli chcesz, dodajemy publiczny zakres tylko do odczytu. Autorskie prawa majątkowe do kodu, który dla Ciebie piszemy, przechodzą na Ciebie z każdą płatnością, na polach eksploatacji określonych w umowie, a Ty dostajesz kod źródłowy. Na wiadomość z formularza odpowiadamy w ciągu 48 godzin w dni robocze.