Autenticação MCP - WovePay

O MCP usa a mesma autenticação da API pública: API key wp_live_.... Passe a key no header Authorization: Bearer wp_live_... ou X-API-Key na configuração do cliente MCP. A key é repassada para api.wovepay.com como X-API-Key. Nunca é logada pelo servidor MCP.

Permissões recomendadas

Use o princípio do menor privilégio. Para integração via agente:

Tarefa	Permissões mínimas
Consultar saldo	`account/balance`
Criar cobrança PIX	`payment-pix/create`, `payment-pix/get`
Webhooks	`webhooks/create`, `webhooks/list`
Loja / checkout	`products/create`, `payment-links/create`

Crie a key em app.wovepay.com → Integrações → API. Tutorial: Criar API Key.

Segurança

Não commite API keys no repositório. Use variáveis de ambiente ou secrets do Cursor.

Rotas só são executáveis via operationId do OpenAPI — impossível chamar paths arbitrários
Validação de body via Ajv antes de cada request
Respostas HAR-like redactam X-API-Key nos logs retornados ao agente