Un token de API ya se puede crear solo para purgar: queda limitado a una zona y solo puede purgar la caché de esa zona y listar sus purgas. Cualquier otra ruta, MCP incluido, responde 403 token_scope. Es el token que conviene darle a un trabajo de CI que purga después de cada despliegue.
Mira la documentación de caché.