Codici 2FA per i tuoi agenti IA, senza affidare loro il segreto

Codice pubblico su GitHub. Il connettore MCP e la skill 2FA per agenti si installano in pochi minuti con un token del tuo account.

Il problema

Un agente IA che accede a un servizio protetto dalla 2FA si blocca sul codice a sei cifre. Le soluzioni di ripiego sono tutte pessime: incollare il seed TOTP nella configurazione dell’agente significa affidargli una credenziale permanente che non si revoca; fargli aspettare che una persona ricopi il codice significa perdere il senso dell’automazione.

Cosa fa il connettore

Espone la cassaforte del team tramite il protocollo MCP, sotto forma di due strumenti:

• list_otp_secrets elenca gli account del team, con una ricerca facoltativa, senza alcun dato sensibile;
• get_otp_code restituisce il codice corrente di un account, indicato dal suo identificativo o dal suo nome esatto.

L’agente ottiene il codice nel momento in cui gli serve. Non riceve mai il seed, che resta cifrato nella cassaforte.

Installare il connettore

Serve Node.js 20 o più recente.

1. Clona il repository e installa le sue dipendenze: git clone https://github.com/ShareAuth/mcp-server.git, poi npm ci.
2. Nel tuo profilo Share Auth, sezione Token API, crea un token con i permessi secrets:list e secrets:generate.
3. Dichiara il server nel tuo client. Per Claude Desktop, Codex CLI e gli altri client locali, il comando è node src/index.js, con il token nella variabile OTP_API_TOKEN.

Per un client remoto come ChatGPT, avvia il server in modalità HTTP dietro HTTPS, sulla tua infrastruttura; l’endpoint è /mcp. Il README del repository descrive nel dettaglio le due modalità.

La skill per agenti

Per un agente che sa leggere una skill ed eseguire comandi, come Claude Code, la skill 2FA (shareauth-otp) si clona nella sua cartella delle skill. Chiama l’API con Bash e curl per trovare un account e ottenerne il codice corrente, mai il seed. Token: secrets:list e secrets:generate.

Un accesso limitato e tracciato

Il connettore e la skill si autenticano con un token API che crei dal tuo profilo. Questo token ha solo i permessi scelti, con una validità di 1, 7, 30 o 90 giorni, e puoi revocarlo in qualsiasi momento.

Ogni codice ottenuto finisce nel registro degli accessi del team, come un codice consultato sul sito. Il proprietario vede quale account è stato usato, quando e a nome di chi.

Buone pratiche

• Un token per persona e per dispositivo, così da poterne revocare uno solo.
• Lascia attiva nel tuo client la conferma umana su get_otp_code: la sua risposta è un elemento di autenticazione.
• Fai chiamare prima list_otp_secrets quando il nome dell’account è incerto.
• Non registrare nei log né le intestazioni delle richieste MCP, né i risultati degli strumenti.