Sécurité des tunnels MCP

L'architecture de tunnel fournit des paramètres par défaut robustes (connectivité sortante uniquement, chiffrement de bout en bout et validation des adresses IP), mais la sécurité globale de votre pile de tunnel dépend également de la manière dont vous la configurez et l'exploitez. Cette page couvre les recommandations de renforcement, la réponse aux violations et la procédure de mise hors service d'un tunnel.



Bonnes pratiques

• Exigez OAuth sur chaque serveur MCP. Configurez chaque serveur MCP en amont pour qu'il exige OAuth, comme décrit dans la spécification d'autorisation MCP. OAuth fournit une défense en profondeur en complément de l'authentification de transport du tunnel et permet une autorisation au niveau de l'utilisateur dans la couche de données.
• Activez le SSO pour votre organisation. Les tunnels, les règles de fédération et les comptes de service sont gérés dans la Claude Console. Le SSO applique les contrôles de session de votre fournisseur d'identité aux administrateurs qui peuvent les modifier.
• Restreignez upstream.allowed_ips. Utilisez les plages CIDR les plus petites possibles couvrant vos serveurs MCP. Il s'agit de la principale défense du proxy contre les attaques SSRF.
• Surveillez les journaux. Configurez des alertes sur les avertissements, les erreurs et les schémas de trafic inhabituels provenant de la pile de tunnel.
• Effectuez la rotation des identifiants. Renouvelez régulièrement le certificat serveur et le jeton de tunnel, et immédiatement si vous suspectez une compromission.
• Maintenez les images à jour. Suivez les nouvelles versions du proxy et épinglez les images par empreinte SHA-256.
• Limitez la portée réseau. Le proxy et cloudflared ne doivent pouvoir atteindre que les destinations listées dans les exigences réseau. Utilisez NetworkPolicy (Kubernetes) ou des règles de pare-feu hôte (Compose).
• Limitez le périmètre des serveurs MCP. Chaque serveur ne doit exposer que les outils et les données nécessaires à sa fonction.
• Protégez les identifiants au repos. Appliquez les pratiques de gestion des secrets de votre organisation aux clés privées et aux jetons de tunnel.



Répondre à une violation suspectée

Si vous pensez que votre jeton de tunnel, vos clés TLS ou votre hôte proxy ont été compromis :



Démanteler un tunnel

Suivez ces étapes pour mettre un tunnel hors service et supprimer tous les identifiants stockés.