Esta página pone un endpoint MCP detrás de MCP Shield en modo registro, enseña dónde leer lo que anota y repasa qué comprobar antes de pasar a aplicar.
Antes de empezar
- El dominio está activo en OpenWAF y el nombre que sirve tu servidor MCP (por ejemplo
mcp.example.com) pasa por el proxy. - Tu servidor MCP habla Streamable HTTP: JSON-RPC por
POSTy, si acaso,GETpara el flujo SSE del servidor yDELETEpara cerrar la sesión. - Tienes un token o una cuenta del panel con rol
techo superior. - Bots y agentes de IA está activado en el dominio o en el nombre. Empieza en modo registro, que es lo que quieres de momento.
Un endpoint MCP solo necesita dos valores: el prefijo de ruta de tu servidor (por ejemplo /mcp) y el tipo mcp. El resto toma un valor por defecto: los doce métodos MCP estándar permitidos, todas las herramientas permitidas, un tope de 256 KiB por petición, la revisión de peticiones y de respuestas en log y sin límite por token. La página de ajustes los recoge uno a uno.
Añadir el endpoint
- Abre el dominio y ve a Control de rastreadores IA → MCP Shield.
- Elige el ámbito: Todo el dominio o el nombre que sirve tu servidor MCP.
- Añade un endpoint MCP: su prefijo de ruta, los métodos HTTP (
POST,GET,DELETE) y, si quieres cambiarlos, los métodos JSON-RPC permitidos, las herramientas permitidas y denegadas, el tamaño de la petición, la revisión de peticiones y de respuestas (off,logoblock) y las peticiones por minuto por token. - Guarda con un motivo. El cambio es una versión nueva del dominio, como cualquier otro ajuste.
La misma pantalla enseña los contadores por endpoint y por herramienta, los tipos de evento, las detecciones principales, los eventos MCP recientes y los eventos de seguridad MCP Shield en directo.
openwaf-cloud ctl zones set example.com --host mcp.example.com \
ai_agents.enabled=true --reason "Bots y agentes de IA en registro"
openwaf-cloud ctl zones set example.com --host mcp.example.com \
ai_agents.endpoints:='[{"kind":"mcp","path_prefix":"/mcp"}]' --reason "MCP Shield en registro"ai_agents.endpoints es una lista y se sustituye entera: incluye los endpoints de IA que ya tenga el nombre, o se borran. Sin --host, el endpoint vale para todo el dominio.
El mismo cambio es un JSON merge patch de los ajustes de borde del dominio, con su motivo:
curl -X PATCH "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/edge" \
-H "Authorization: Bearer $OPENWAF_TOKEN" -H "X-Change-Reason: MCP Shield en registro" \
-H "Content-Type: application/json" \
-d '{"ai_agents": {"enabled": true, "endpoints": [{"kind": "mcp", "path_prefix": "/mcp"}]}}'Unos ajustes no válidos se rechazan con un error 400 y no cambia nada.
Con el servidor MCP de OpenWAF conectado, pide a tu asistente que proteja el endpoint MCP. Usa la herramienta ai_agents_settings con un parche como el de la API: primero una simulación con la diferencia y después el cambio, cuando lo apruebas.
Míralo en modo registro
Pasa tráfico real por el endpoint (initialize, tools/list, las herramientas que usan tus clientes) durante unos días y lee el informe:
openwaf-cloud ctl ai mcp example.com --range 7d
openwaf-cloud ctl ai report example.com --view events --kind mcp_blocked_tool,mcp_injection_response,mcp_dlpEl informe da, por endpoint, las peticiones, los mensajes JSON-RPC, cuántos se habrían bloqueado, cuántos tuvieron alguna detección y cuántas respuestas pasaron sin revisar; por herramienta, sus llamadas, bloqueos y detecciones; y las detecciones por id. Desde tu asistente, la herramienta ai_agents_report tiene la misma vista mcp. Cada evento lleva el método, la herramienta, los ids de los detectores y una huella del token, nunca el token.
Pasa a aplicar
- Ajusta la política al uso real. Quita de los métodos permitidos lo que tu servidor no implementa, deniega las herramientas que ese endpoint no debe ofrecer (o enumera las únicas que sí) y pon un límite por token por encima de tu pico legítimo.
- Revisa la política de Bots y agentes de IA. En modo aplicar se aplica a las peticiones del endpoint MCP antes que MCP Shield. Los clientes MCP hechos con los SDK de Node.js o Python suelen contar como
unverified_automation, y las plantillas Solo verificados y Bloquear todo lo automatizado no verificado les pondrían el reto o los bloquearían. - Cambia el modo a aplicar. La política de métodos, herramientas, tamaño y ritmo se aplica desde ese momento. La revisión en
logsigue solo anotando. - Pon la revisión en
blocksolo después de revisar sus eventos. Un resultado de herramienta que cita con razón un texto de ataque, como un registro de seguridad o una documentación, se sustituiría por un error. Dejar la revisión de respuestas enlogy tratar sus eventos como alertas es una opción válida.