Dónde corresponde cada credencial
El límite de autenticación separa el consentimiento de OAuth, el almacenamiento de tokens bearer, las cabeceras de identidad no secretas y la propia decisión de acceso. Mezclarlos es la causa más común de una filtración de tokens.
- El consentimiento de OAuth vive en el cliente; XMemo nunca ve un token pegado por esa vía.
- XMEMO_KEY vive en el entorno o en un almacén de secretos compatible, nunca en un archivo de configuración versionado en git.
- Las cabeceras de identidad son etiquetas simples y se pueden escribir sin riesgo en la configuración.
- El descubrimiento público es de solo lectura y no contiene secretos.
Configuración de cliente basada en tokens
Referencia la variable de entorno desde la configuración del cliente para que el valor real nunca aparezca en el archivo.
{
"mcpServers": {
"XMemo": {
"type": "http",
"url": "https://xmemo.dev/mcp",
"headers": {
"Authorization": "Bearer ${env:XMEMO_KEY}"
}
}
}
}Cómo se ve una solicitud rechazada
Una credencial ausente o insuficiente se rechaza antes de leer cualquier memoria. Un conjunto de resultados vacío es una respuesta válida cuando no hay coincidencias y no indica un problema de autorización.
401 — no valid bearer token or API key was supplied.
403 — the credential is valid but lacks memory:read or memory:write.
200 with zero results — authorized, nothing matched.Controles de la consola de memoria
XMemo no es sólo un punto final MCP. La Consola de memoria es el lugar orientado al usuario para revisar, corregir, eliminar y exportar la memoria mientras mantiene la atribución de agente visible.
- Memoria de vista y búsqueda — Abra la consola para ver las memorias guardadas, inspeccione las rutas y los tipos de memoria, y confirme si una memoria debería haber devuelto un elemento específico.
- Editar o corregir entradas — Corrija los hechos rancios, mueva los elementos a rutas más claras o reemplace las notas obsoletas para que los futuros asistentes recuerden el último contexto aprobado por el usuario.
- Suprimir y exportar — Utilice los flujos de trabajo de la cuenta para eliminar memorias que ya no desea y para localizar rutas de exportación para la revisión de la memoria con alcance de cuenta.
Fuente: Seguridad pública