MCP — usar o Picasi no assistente de IA
O que é o MCP
O Model Context Protocol (MCP) é um protocolo aberto que estabelece como os assistentes de IA acedem a ferramentas e dados externos. Em vez de cada fornecedor ter de construir a sua própria integração, todos seguem o mesmo padrão.
O Claude Code, o Claude.ai, o ChatGPT e outros assistentes que suportam MCP podem ligar-se a qualquer serviço compatível com MCP — e o Picasi é um deles.
O que o MCP vos dá
A monitorização de concorrência torna-se realmente útil quando a informação está disponível onde vocês trabalham — não numa app separada que têm de abrir à parte.
Quando escrevem uma análise de concorrência no Claude e a meio do trabalho querem saber o que a Muster AG comunicou na semana passada, perguntam simplesmente ao Claude. O Claude interroga o Picasi em segundo plano via MCP — e vocês veem os dados de imediato no chat, sem trocar de contexto.
Como funciona a ligação
Há duas formas de ligar o Picasi a um assistente de IA:
Token de API — para o Claude Code, o Cursor e agentes próprios. Criam um token no Picasi, colocam-no na configuração do assistente e este já tem acesso. O token tem um papel que determina o âmbito de acesso.
OAuth — para o Claude.ai e o ChatGPT. Autorizam o assistente diretamente através da vossa conta Picasi, sem gestão de tokens. A ligação fica associada à vossa conta pessoal.
O que o assistente pode fazer
Com acesso de leitura, o assistente pode:
- Pesquisar e ler Updates
- Listar fontes e canais
- Aceder a relatórios
- Consultar o contexto de equipa (contexto de IA)
Com acesso de escrita (token de Admin ou OAuth com scope de escrita), o assistente pode adicionalmente:
- Criar, editar e apagar fontes
- Criar, editar e desativar canais
- Criar e editar tags
Níveis de scope OAuth
Quando configuram uma ligação OAuth — por exemplo, com o Claude.ai ou o ChatGPT — escolhem no passo de autorização um nível de permissão (nível de permissão). Esse nível funciona como um teto: limita o que o assistente pode fazer através desta ligação, independentemente do vosso papel no Workspace.
| Nível | Permitido | Não permitido |
|---|---|---|
| Read-only | Ler Updates, aceder a fontes e relatórios, consultar contexto de equipa | Criar, editar ou apagar fontes ou canais |
| Read & Write (padrão) | Tudo o de Read-only mais gerir fontes, canais e Inbox | Gerir definições da equipa e definições de IA |
| Admin | Todas as operações MCP, incluindo definições da equipa | Gerir faturação |
Os níveis que podem escolher são limitados pelo vosso próprio papel no Workspace. Um membro sem permissão de Admin não vê a opção Admin.
O scope escolhido fica permanentemente associado à ligação. Após a autorização é visível como badge na lista de ligações. Para alterar o scope, é necessário revogar a ligação e configurá-la de novo.
Recomendação: escolham o scope que baste para o objetivo concreto — ou seja, não mais acesso do que o necessário. Para consultas e análises basta Read-only.
Quanto tempo é válida uma ligação
Tokens de API não têm data de expiração. Permanecem válidos até que os revoguem no Picasi em Definições → Tokens de API ou até que o membro associado saia do Workspace. Um token revogado torna-se inválido de imediato; é preciso gerar um novo e guardá-lo no cliente.
Ligações OAuth trabalham com dois tokens:
- Um token de acesso, com validade curta, que autoriza a chamada individual da ferramenta.
- Um token de renovação, utilizável enquanto a ligação existir — o cliente troca-o em segundo plano por novos tokens de acesso.
Enquanto o assistente aceder regularmente, renova-se sozinho. Se a ligação ficar inutilizada por mais de cerca de duas semanas, o token de renovação pode expirar — nesse caso o assistente apresenta um erro de autorização e vocês configuram a ligação de novo através de Definições → Ligar o assistente de IA.
Um endereço para todos os Workspaces
O servidor MCP tem um endereço fixo, https://picasi.app/mcp. Já não contém nenhum Workspace. Que Workspace uma chamada quer dizer depende daquilo com que se autenticam.
Com token de API, o token pertence exatamente a um Workspace, e por isso o Workspace fica definido antes da primeira chamada. O assistente não consegue ver mais nada.
Com OAuth, a ligação pertence à vossa conta, não a um Workspace. Abrange todos os Workspaces de que são membros; na lista de ligações aparece Todos os Workspaces. O assistente pergunta primeiro com list_workspaces quais existem e indica o pretendido em cada chamada seguinte. Sem essa indicação, o Picasi recusa a chamada.
Em ambos os casos decide a pertença. Um Workspace de que não são membros não aparece, mesmo que alguém diga o nome no chat.
Ligar vários Workspaces em simultâneo
Se têm vários Workspaces do Picasi (por ex. agência com várias contas de cliente), têm dois caminhos:
- OAuth: basta uma ligação. Abrange todos os vossos Workspaces, e no chat indicam qual querem.
- Token de API: gerar um token próprio por Workspace. Na configuração do cliente, registar cada token com um nome de servidor MCP próprio (
picasi-cliente-a,picasi-cliente-b). O assistente vê então as ferramentas como conjuntos separados. É o caminho quando um assistente deve ver deliberadamente apenas um Workspace.
A chamada get_team_context mostra a qualquer momento no campo team.name contra que Workspace o assistente está a trabalhar — assim exclui-se qualquer troca.
O endereço mais antigo com o código do Workspace no fim (https://picasi.app/mcp/t-...) continua válido. As ligações existentes continuam a funcionar, não têm de mudar nada.
Segurança e controlo
Vocês mantêm o controlo. Cada ligação é visível no Picasi e pode ser revogada individualmente a qualquer momento — de imediato e sem resíduos. Onde fica decorre de a quem pertence:
- As ligações pessoais estão em Definições pessoais → Ligações. Aí acaba tudo o que nasceu do endereço geral. Cada pessoa vê e revoga as suas.
- As ligações ligadas ao Workspace e os tokens de API estão em Definições → Ligações de IA e tokens. Essa página é vista por admins e owners.
Uma ligação pessoal não aparece na lista do Workspace, porque não pertence a nenhum Workspace. Para terminar o acesso de um membro ao vosso Workspace, retirem-no do Workspace: isso vale também para a ligação pessoal dele, porque o que decide é a pertença.
Os tokens estão limitados por papel: um token de Leitor não pode criar fontes, independentemente de como o assistente o utilize. Nas ligações OAuth vale adicionalmente o scope escolhido como teto.