Códigos 2FA para os seus agentes de IA, sem lhes confiar o segredo

Código público no GitHub. O conector MCP e a skill 2FA para agentes instalam-se em poucos minutos com um token da sua conta.

O problema

Um agente de IA que inicia sessão num serviço protegido por 2FA esbarra no código de seis dígitos. Nenhum dos remendos habituais serve. Colar a semente TOTP na configuração do agente é dar-lhe uma credencial permanente que não se pode revogar. Pô-lo à espera de que um humano copie o código tira o sentido à automatização.

O que faz o conector

Expõe o cofre da equipa através do protocolo MCP, sob a forma de duas ferramentas:

• list_otp_secrets lista as contas da equipa, com uma pesquisa opcional, sem qualquer dado sensível;
• get_otp_code devolve o código atual de uma conta, indicada pelo seu identificador ou pelo seu nome exato.

O agente obtém o código no momento em que precisa dele. Nunca recebe a semente, que fica cifrada no cofre.

Instalar o conector

É necessário o Node.js 20 ou mais recente.

1. Clone o repositório e instale as suas dependências: git clone https://github.com/ShareAuth/mcp-server.git, depois npm ci.
2. No seu perfil Share Auth, na secção Tokens de API, crie um token com as permissões secrets:list e secrets:generate.
3. Declare o servidor no seu cliente. Para o Claude Desktop, o Codex CLI e os outros clientes locais, o comando é node src/index.js, com o token na variável OTP_API_TOKEN.

Para um cliente remoto como o ChatGPT, execute o servidor em modo HTTP atrás de HTTPS, na sua própria infraestrutura; o ponto de acesso é /mcp. O README do repositório descreve em detalhe os dois modos.

A skill para agentes

Para um agente que saiba ler uma skill e executar comandos, como o Claude Code, a skill 2FA (shareauth-otp) clona-se na sua pasta de skills. Chama a API com Bash e curl para encontrar uma conta e obter o seu código atual, nunca a semente. Token: secrets:list e secrets:generate.

Um acesso limitado e registado

O conector e a skill autenticam-se com um token de API que cria a partir do seu perfil. Esse token só tem as permissões escolhidas, por uma duração de 1, 7, 30 ou 90 dias, e pode revogá-lo a qualquer momento.

Cada código obtido fica anotado no registo de acessos da equipa, tal como um código consultado no site. O proprietário vê que conta foi usada, quando, e em nome de quem.

Boas práticas

• Um token por pessoa e por aparelho, para poder revogar apenas um.
• Mantenha ativa a confirmação humana para get_otp_code no seu cliente: a sua resposta é um elemento de autenticação.
• Mande chamar primeiro list_otp_secrets quando o nome da conta for incerto.
• Não registe em logs nem os cabeçalhos dos pedidos MCP, nem os resultados das ferramentas.