Tokens MCP por espaço de trabalho: limite um agente de IA a um quadro

Crie um token MCP adicional em Conta → Tokens MCP adicionais, escolha um espaço de trabalho no menu suspenso e esse token só poderá ler e gravar tarefas naquele quadro. Ele chama um conjunto menor de ferramentas, e tudo o que está fora do espaço de trabalho dele volta como “não encontrado”, não como erro de permissão. É o terceiro eixo de restrição de um token do Done, ao lado de somente leitura e de projeto único. Ele existe justamente para o momento em que uma conta passa a pertencer a mais de um espaço de trabalho: sem ele, um token alcança todos os quadros que a conta enxerga, e o agente também.

Por que o escopo de projeto não basta quando você compartilha um espaço de trabalho?

Um token com escopo de projeto já era a opção mais restrita, mas um projeto vive dentro de um único espaço de trabalho. Ele não alcança outros quadros, mas também não consegue cobrir “tudo neste espaço de trabalho compartilhado, incluindo os projetos que forem adicionados depois”. Quando uma conta pertence a mais de um espaço de trabalho, um pessoal e um compartilhado com cada grupo de colaboradores, um token sem nenhum outro escopo alcança todos de uma vez, porque ler não é uma ação que dê para barrar chamada a chamada. É uma propriedade do escopo, não de uma invocação isolada de ferramenta, então precisa ser aplicada no nível da credencial.

Como um token com escopo de espaço de trabalho é aplicado

Do mesmo jeito que o escopo de projeto: uma lista de permissões que nega por padrão (WORKSPACE_TOOLS em lib/mcp.ts), na qual uma ferramenta precisa ser incluída de forma explícita antes que um token com escopo de espaço de trabalho possa chamá-la. Nunca o contrário. project_id e workspace_id são mutuamente exclusivos no mesmo token e recusados juntos na criação. Um token com escopo de projeto já está restrito ao único espaço de trabalho daquele projeto, e juntar os dois só abriria espaço para uma combinação contraditória.

O que um agente ainda pode fazer com um token com escopo de espaço de trabalho

• Todo o ciclo de vida das tarefas naquele quadro: list_tasks, list_my_tasks e next_task (com o filtro de espaço de trabalho forçado para o do token, para que quem chama não consiga ampliá-lo), get_task, update_task, comment_on_task, complete_task, propose_completion, claim_task, decline_task, release_task e o acompanhamento de execuções (start_run, end_run, check_budget).
• create_task, forçada para o espaço de trabalho do token. Assim, ela não consegue criar uma tarefa em um projeto ou em uma tarefa pai que esteja em outro lugar.
• list_projects e list_workspaces, mas filtradas para aquele único quadro. Os nomes dos outros espaços de trabalho da conta nunca aparecem na resposta.

O que é recusado, em vez de receber um escopo pela metade

Tudo o que lê a conta inteira sem um filtro próprio de espaço de trabalho (get_digest, search_activity, list_tags, list_goals, changes_since, list_triggers) é hoje recusado de imediato para um token com escopo de espaço de trabalho, em vez de entregar uma leitura parcial que abrange todos os quadros sem avisar. Uma ferramenta adicionada ao Done mais tarde também não herda acesso por padrão. Ela fica recusada para esses tokens até que alguém decida como restringi-la, e um teste do repositório (tests/scoped-tokens.test.ts) garante que a lista de permissões corresponda exatamente ao que é aplicado. Assim, uma ferramenta nova sem escopo quebra o build em vez de vazar dados em silêncio. A lista de ferramentas anunciada também respeita isso: um cliente com escopo de espaço de trabalho nem chega a ver uma ferramenta que não pode chamar, em vez de vê-la e ser recusado na hora de usar.

O escopo também cobre o fluxo de eventos ao vivo?

Sim. /api/events aceita um token MCP bearer do mesmo jeito que /mcp. Um escopo que cobrisse só as chamadas de ferramentas ainda entregaria a uma credencial com escopo de espaço de trabalho, pelo fluxo, as mudanças de tarefas, os comentários e os pedidos a agentes de todos os outros quadros. Seria o mesmo vazamento por outra porta. A conexão SSE aplica exatamente a mesma verificação de espaço de trabalho.

Como configurar um

Em Conta → Tokens MCP adicionais, o seletor de espaço de trabalho só aparece quando a conta realmente pertence a mais de um espaço de trabalho. Caso contrário, não há o que restringir. Ao escolher um espaço de trabalho, qualquer projeto selecionado é desmarcado, já que os dois são mutuamente exclusivos. O token é exibido uma única vez na criação, como todo token do Done, então copie antes de sair da página.

Preciso de um plano pago para isso?

Não. Do jeito que está hoje, criar um token com escopo de espaço de trabalho não passa por nenhuma verificação de plano em todo o caminho, do painel da Conta à API e à camada de dados. Ou seja, está disponível em qualquer plano. Ele também é útil mais cedo do que “compartilhar um espaço de trabalho com um colega de equipe” faz parecer. O plano gratuito já permite até dois espaços de trabalho por conta, então mesmo quem trabalha sozinho e mantém, por exemplo, um quadro pessoal e outro separado pode ligar um agente a apenas um deles, sem convidar ninguém nem mudar de plano.

Como isso se encaixa com os tokens somente leitura e com escopo de projeto

Os três eixos restringem o que uma credencial pode fazer ou alcançar. Eles não substituem a trava de aprovação, que controla à parte o que um agente pode concluir sem o aval de uma pessoa. Use o escopo de espaço de trabalho quando o que você quer entregar a um agente é “este quadro compartilhado inteiro”, o escopo de projeto quando for algo menor que isso, e somente leitura por cima de qualquer um dos dois quando o agente deve apenas observar. Ter mais de um agente trabalhando em uma conta compartilhada fica mais fácil de entender quando o alcance de cada token está escrito na própria credencial, e não em uma política que ninguém confere de novo.