الانتقال إلى المحتوى الرئيسي
خادم MCP البعيد هو مجرد نقطة نهاية HTTP يستدعي وكلاؤك الأدوات عليها — ومعظمها يجلس خلف رمز، أو عميل OAuth، أو مصادقة basic. عندما تسجّل ذلك الخادم خلف بوابة MCP في جدار الحماية، تسلّم OrcaRouter الاعتماد مرة واحدة، وتختار كيف يصادق، وتحقنه البوابة وقت الإرسال. السرّ مشفّر في حالة السكون ولا يسافر أبداً إلى النموذج أو كود وكيلك. تغطي هذه الصفحة جانب المصادقة في تسجيل خادم: أشكال auth_mode الأربعة وما يحدث لاعتمادك. لكل ما تفعله البوابة بكل tools/call بعد قيام الاتصال — السياسة لكل استدعاء، ومساحة الأسماء، وحماية SSRF — انظر مرجع بوابة MCP.

​
1. لماذا المصادقة عند البوابة

دون بوابة، كل وكيل يتحدث إلى خادم MCP يحمل نسخته الخاصة من رمز ذلك الخادم، مبعثرة عبر التكوينات والمطالبات. وجّه الخادم عبر OrcaRouter بدلاً من ذلك ويعيش الاعتماد في مكان واحد بالضبط:
  • سرّ واحد مخزّن لكل خادم. تسجّل الاعتماد مرة واحدة، على سجل مساحة العمل. يتصل الوكلاء بالبوابة بمفتاح OrcaRouter — لا يرون أبداً رمز الخادم العلوي.
  • مشفّر في حالة السكون، مقنّع عند القراءة. الاعتماد مشفّر عند تخزينه. كلما قرأت الخادم عبر وحدة التحكم أو SDK، يعود السرّ مقنّعاً — لا توجد واجهة تعيده بوضوح.
  • محقون عند الإرسال. تفكّ البوابة الاعتماد فقط في لحظة تمرير tools/call إلى الخادم الحقيقي، ثم ترفقه بذلك الطلب الصادر. لا يُردَّد أبداً إلى النموذج أو العميل.
الاعتماد الذي لا يمكنك قراءته من جديد ميزة، وليس فجوة. لأن القراءات دائماً مقنّعة، فجلسة وحدة تحكم مسرّبة أو رمز SDK لا يمكنه تسريب أسرار خادم MCP الخاص بك — لا يمكنه إلا إعادة توجيهها أو تدويرها.

​
2. اختَر auth_mode

كل تسجيل خادم يحمل auth_mode. إنها مجموعة مغلقة من أربع قيم، وتقرر شكل الاعتماد الذي تورّده في auth_json:
الخادم مفتوح (أو يثق بالبوابة شبكياً). اترك auth_json فارغاً. هذا هو الافتراضي عندما لا تضبط auth_mode.
الحالة الأكثر شيوعاً لخوادم MCP المستضافة. ورّد رمزاً واحداً؛ ترسله البوابة كاعتماد bearer في كل استدعاء.
{ "token": "ghp_…" }
للخوادم المحميّة بـ OAuth. ورّد access_token سكَكته بالفعل؛ ترسله البوابة كاعتماد bearer، تماماً مثل bearer. تبادل client-credentials التلقائي (مقايضة client_id/client_secret برمز جديد) غير متاح بعد — تسجيل oauth بلا access_token يُرفض.
{ "access_token": "…" }
مصادقة HTTP basic.
{ "username": "…", "password": "…" }
auth_json مطلوب كلما كان auth_mode أي شيء غير none. تسجيل خادم bearer/oauth/basic باعتماد فارغ يُرفض — لن تُبقي البوابة اتصالاً مُكوَّناً جزئياً.

​
3. سجّل خادم MCP آمن — مثال واحد

تسجيل خادم MCP إجراء وحدة التحكم: يعمل تحت رمز جلستك / وصولك مقابل /api/workspace/firewall/mcp_servers، وكتابة خادم تتطلب دور Developer+. (هذا يختلف عن مفتاح ترحيل sk-orca-… الذي تستخدمه لاستدعاءات النموذج /v1/* — ذلك المفتاح لا يدير أبداً تكوين مساحة العمل.) سجّل خادم مصادقة bearer من وحدة تحكم جدار الحماية، أو برمز جلستك مباشرةً: 
curl https://api.orcarouter.ai/api/workspace/firewall/mcp_servers \
  -H "Authorization: Bearer <your-session-token>" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "github",
    "endpoint": "https://api.githubcopilot.com/mcp",
    "auth_mode": "bearer",
    "auth_json": "{\"token\":\"ghp_x\"}",
    "enabled": true
  }'
name فريد لكل مساحة عمل (المكرّر يعيد HTTP 409)، ولا يمكن أن يحتوي على . — فذلك الحرف يضع مساحة أسماء للأدوات كـ<server>.<tool>. عند الدخول، تشفّر OrcaRouter auth_json وتخزّن النص المشفّر فقط. عندما تقرأ الخادم من جديد، تحصل على الشكل المقنّع.
أعِد القيمة المقنّعة كما هي عند التحديث للإبقاء على السرّ المخزّن دون تغيير — أرسِل auth_json حقيقياً فقط عندما تريد فعلاً تدويره. انظر تدوير الاعتمادات لتدفّق التدوير.

​
4. أثبِت أن الاتصال يعمل

المصادقة لا تكتمل حتى تستطيع البوابة فعلاً الوصول إلى الخادم بالاعتماد الذي خزّنته. افحصه: 
curl -X POST \
  https://api.orcarouter.ai/api/workspace/firewall/mcp_servers/42/probe \
  -H "Authorization: Bearer <your-session-token>"
تتصل البوابة بنقطة النهاية باستخدام الاعتماد المفكوك، وتسرد أدوات الخادم، وتسجّل status قابلية الوصول:
statusالمعنى
okتم الوصول والمصادقة؛ الأدوات مُكتشَفة.
degradedقابل للوصول لكن ليس صحيحاً بالكامل.
downتعذّر الاتصال أو المصادقة.
نتيجة down بعد التسجيل مباشرةً تعني دائماً تقريباً اعتماداً سيئاً أو auth_mode خاطئاً — أصلِح auth_json وافحص مجدداً. الفحص إجراء Developer+؛ الخادم المُرفَق داخل العملية بلا نقطة نهاية وليس قابلاً للفحص.
الخادم المعطّل هو مفتاح الإيقاف النظيف: تختفي أدواته من البوابة ولا يُفكّ اعتماده أبداً. عطّل خادماً بينما ترتّب مصادقته، ثم أعِد تفعيله بمجرد أن يعود الفحص ok.

​
5. قراءة الخوادم من وكيل

وكلاؤك لا يقرؤون الاعتمادات. عندما يحتاج وكيل SDK إلى سجل التشغيل يستدعي GET /api/v1/firewall/mcp_servers بمفتاح ضمن نطاق بوابة جدار الحماية — مفتاح مخصّص، وليس مفتاح الترحيل ولا جلستك. ذلك المسار يقدّم الخوادم المفعّلة فقط، والبوابة لا تزال تملك حقن الاعتماد من البداية إلى النهاية. توصيل وكيل بنقطة نهاية MCP الموحَّدة مغطّى في مرجع البوابة.

​
6. إلى أين تذهب بعد ذلك

وصّل خادمك الأول

شرح التسجيل الكامل، من مساحة عمل فارغة إلى أداة حية.

تدوير الاعتمادات

بدّل سرّاً مسرّباً أو منتهياً دون إسقاط الاتصال.

قائمة سماح أدوات MCP

قرّر أي أدوات الخادم يجوز لوكلائك استدعاؤها فعلاً.

حدّ الخروج

قيّد أين يُسمَح لأدوات خادم بالوصول على الشبكة.
للمفاهيم وراء هذا — كيف تجلس البوابة في مسار الطلب ولماذا لا تلمس الاعتمادات النموذج أبداً — انظر كيف يفحص OrcaRouter و تأمين وكلاء الذكاء الاصطناعي. للتهديدات التي يغلقها هذا، انظر تسميم أدوات MCP و تسريب البيانات.