MCP Gateway

• Name: a chave do gateway
• Servers: os MCP Servers vinculados, como uma pilha de avatares de servidores, com uma contagem +N quando a lista é longa
• Exposed tools: quantas ferramentas o gateway expõe aos clientes
• Access: quais projetos podem usar o gateway
• Public URL: o endpoint ao qual os clientes se conectam, com um controle para copiar

​

Como funciona

​

Casos de uso

• Expor vários servidores MCP por meio de um único endpoint para clientes que não conseguem gerenciar várias conexões.
• Criar aliases para as ferramentas dos servidores com nomes consistentes, para que os clientes não quebrem quando os nomes das ferramentas upstream mudarem.
• Governar o acesso a ferramentas por equipe: os administradores montam um MCP Gateway a partir de um subconjunto selecionado de ferramentas de vários MCP Servers, para que as equipes de Marketing e de Pesquisa possam compartilhar os mesmos servidores acessando ferramentas diferentes.

​

Configurar um MCP Gateway

curl -X POST https://router.toqan.ai/eu/v2/mcp-gateways \
  -H "Authorization: Bearer $TOQAN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "key": "support-tools",
    "display_name": "Support tools",
    "mode": "MCP_GATEWAY_MODE_CODE",
    "tool_naming": "MCP_TOOL_NAMING_PREFIX_WITH_SERVER_KEY"
  }'

​

Após a criação

• Overview: o tráfego do MCP Gateway e a seção Connect, com o comando que os clientes usam para acessá-lo.
• MCP Servers: os servidores vinculados e as ferramentas que cada um expõe.
  • Filtre com Search servers and tools…. Cada linha mostra N / M ferramentas expostas; expanda-a para ver a lista de ferramentas, Select all e o contador N of M tools exposed.
  • As caixas de seleção são aplicadas imediatamente. Cada ferramenta tem um selo Open world, Read only, Idempotent ou Destructive.
  • O painel lateral mostra Traffic, o prefixo Alias e os detalhes de Connection.
• Clients: os clientes MCP autorizados por OAuth, com a opção de revogar o acesso deles.
• Settings: a descrição do MCP Gateway, as configurações de ferramentas, plugins e limites de execução e o acesso por projeto, editáveis após a criação.

​

Funções e permissões

​

Acesso por projeto

curl -X PATCH https://router.toqan.ai/eu/v2/mcp-gateways/<gateway-id> \
  -H "Authorization: Bearer $TOQAN_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "sharing": {
      "selected": { "project_ids": ["proj_01HZXW2K7Y8Q9M0N1P2R3S4T5V"] }
    }
  }'

​

Excluir um gateway

curl -X DELETE https://router.toqan.ai/eu/v2/mcp-gateways/<gateway-id> \
  -H "Authorization: Bearer $TOQAN_API_KEY"

​

Configurações de segurança

​

Plugins

​

Guardrails

• Input: verifica o nome e os argumentos da ferramenta antes que a chamada chegue ao MCP Server upstream. As leituras de recursos também são verificadas nesta etapa.
• Output: verifica o resultado da ferramenta antes que ele retorne ao cliente.
• Both: é executado nas duas etapas.

​

Limites de execução

​

Delimitar ferramentas

​

Dar a uma equipe suas próprias ferramentas

​

Delimitação de ferramentas por usuário

​

Conectar um cliente

• OAuth (padrão): login pelo navegador. Use para clientes interativos.
• Client credentials: um cliente pré-registrado obtém tokens de curta duração sem a presença de um usuário. Use para serviços e automações.
• Autorização gerenciada pela empresa: o provedor de identidade da empresa emite um ID-JAG que o cliente troca por um token, sem tela de consentimento.
• Chave de API: um token bearer na configuração do cliente. Use para clientes headless que não conseguem executar um fluxo OAuth.

​

OAuth

npx add-mcp https://router.toqan.ai/eu/v3/mcp/<gateway-key> --name <gateway-key>

claude mcp add --transport http <gateway-key> https://router.toqan.ai/eu/v3/mcp/<gateway-key>

{
  "mcpServers": {
    "<gateway-key>": {
      "url": "https://router.toqan.ai/eu/v3/mcp/<gateway-key>"
    }
  }
}

codex mcp add <gateway-key> --url https://router.toqan.ai/eu/v3/mcp/<gateway-key>

{
  "servers": {
    "<gateway-key>": {
      "url": "https://router.toqan.ai/eu/v3/mcp/<gateway-key>",
      "type": "http"
    }
  }
}

• Descoberta: uma requisição não autenticada ao gateway retorna 401 com um header WWW-Authenticate que aponta para os documentos de metadados do gateway. O documento de recurso protegido em /.well-known/oauth-protected-resource/v3/mcp/<gateway-key> indica o servidor de autorização; o documento do servidor de autorização em /.well-known/oauth-authorization-server/v2/auth/mcp, que atende todos os gateways, lista seus endpoints.
• Registro dinâmico de clientes: o cliente se registra no endpoint de registro do servidor de autorização, então nenhum client ID ou secret precisa ser provisionado com antecedência.
• Authorization code com PKCE: o login usa o fluxo authorization code com Proof Key for Code Exchange (PKCE) e o método de desafio S256, que vincula o código de autorização ao cliente que o solicitou.

​

Client credentials

curl -X POST https://router.toqan.ai/eu/v2/auth/mcp/token \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d grant_type=client_credentials \
  -d resource=https://router.toqan.ai/eu/v3/mcp/<gateway-key> \
  -d "scope=mcp:tools mcp:resources"

import { Client } from '@modelcontextprotocol/sdk/client/index.js';
import { ClientCredentialsProvider } from '@modelcontextprotocol/sdk/client/auth-extensions.js';
import { StreamableHTTPClientTransport } from '@modelcontextprotocol/sdk/client/streamableHttp.js';

const authProvider = new ClientCredentialsProvider({
  clientId: process.env.TOQAN_MCP_CLIENT_ID!,
  clientSecret: process.env.TOQAN_MCP_CLIENT_SECRET!,
  expectedIssuer: 'https://router.toqan.ai/eu/v2/auth/mcp',
});

const transport = new StreamableHTTPClientTransport(
  new URL('https://router.toqan.ai/eu/v3/mcp/<gateway-key>'),
  { authProvider },
);
const client = new Client({ name: 'nightly-sync', version: '1.0.0' });
await client.connect(transport);

import { PrivateKeyJwtProvider } from '@modelcontextprotocol/sdk/client/auth-extensions.js';

const authProvider = new PrivateKeyJwtProvider({
  clientId: process.env.TOQAN_MCP_CLIENT_ID!,
  privateKey: process.env.TOQAN_MCP_CLIENT_PRIVATE_KEY!,
  algorithm: 'RS256',
  expectedIssuer: 'https://router.toqan.ai/eu/v2/auth/mcp',
});

import httpx

response = httpx.post(
    "https://router.toqan.ai/eu/v2/auth/mcp/token",
    auth=(CLIENT_ID, CLIENT_SECRET),
    data={
        "grant_type": "client_credentials",
        "resource": "https://router.toqan.ai/eu/v3/mcp/<gateway-key>",
        "scope": "mcp:tools mcp:resources",
    },
)
access_token = response.json()["access_token"]

​

Autorização gerenciada pela empresa

curl -X POST https://router.toqan.ai/eu/v2/auth/mcp/token \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer \
  -d assertion=$ID_JAG \
  -d resource=https://router.toqan.ai/eu/v3/mcp/<gateway-key>

​

Chave de API

npx add-mcp https://router.toqan.ai/eu/v3/mcp/<gateway-key> \
  --name <gateway-key> \
  --header "Authorization: Bearer $TOQAN_API_KEY"

claude mcp add --transport http <gateway-key> https://router.toqan.ai/eu/v3/mcp/<gateway-key> --header "Authorization: Bearer ${TOQAN_API_KEY}"

{
  "mcpServers": {
    "<gateway-key>": {
      "url": "https://router.toqan.ai/eu/v3/mcp/<gateway-key>",
      "headers": {
        "Authorization": "Bearer YOUR_TOQAN_API_KEY"
      }
    }
  }
}

codex mcp add <gateway-key> --url https://router.toqan.ai/eu/v3/mcp/<gateway-key> --bearer-token-env-var TOQAN_API_KEY

{
  "inputs": [
    {
      "type": "promptString",
      "id": "toqan-api-key",
      "description": "Toqan Router API Key",
      "password": true
    }
  ],
  "servers": {
    "<gateway-key>": {
      "url": "https://router.toqan.ai/eu/v3/mcp/<gateway-key>",
      "type": "http",
      "headers": {
        "Authorization": "Bearer ${input:toqan-api-key}"
      }
    }
  }
}

​

Sessões

​

Monitorar o uso

• Tool calls by outcome: volume de chamadas ao longo do tempo, dividido entre sucessos e erros.
• Tools leaderboard: as ferramentas mais chamadas, com a contagem de chamadas e a latência P95, listadas com seus nomes com namespace.

​

Auditar alterações