Connecteurs (serveurs MCP)¶

Un connecteur apporte les actions d'un service externe dans votre organisation : un système de tickets, une base de connaissances ou toute autre application qui propose un serveur MCP. MCP (Model Context Protocol) est une norme par laquelle un programme propose des actions qu'un modèle d'IA peut appeler. Cette page montre comment ajouter un connecteur, autoriser son adresse, choisir les actions que l'IA peut utiliser et en faire des outils que les personnes et les assistants utilisent.

Qui gère les connecteurs¶

Ajouter, modifier et actualiser des connecteurs est possible pour qui peut configurer les outils de l'organisation : les administrateurs de l'organisation (org-admin) et un rôle personnalisé avec write sur toolbox. Supprimer un connecteur demande delete sur toolbox. Seul un administrateur peut autoriser l'adresse d'un nouveau connecteur (plus bas).

Ouvrez Salle des machines et choisissez l'onglet Connecteurs. Depuis l'AI Toolbox, vous y arrivez aussi avec Connecteurs dans la barre du haut. Vous voyez un tableau avec, pour chaque connecteur, le Nom, l'URL du serveur, l'Authentification et les Actions : Toutes · 12 quand l'IA peut utiliser chaque action, 8 sur 12 quand vous en avez choisi une partie, ou Pas encore récupérées et Inaccessible tant qu'OS ne connaît pas les actions. Quand un connecteur ne propose aucune action parce qu'une adresse n'est pas autorisée, c'est indiqué au-dessus du tableau et à côté du nom du connecteur (plus bas). Un connecteur installé par un abonnement ne peut qu'être consulté ici.

Ajouter un connecteur¶

1. Choisissez Ajouter un connecteur.
2. Remplissez :
   • Nom : lettres minuscules, chiffres, - et _, 32 caractères au plus. Il est fixé dès que le connecteur existe.
   • Titre et Description : le nom du connecteur dans OS.
   • URL du serveur : l'adresse du serveur MCP, par exemple https://mcp.example.com/mcp.
   • Région (facultatif) : où se trouve le serveur, comme eu ou nl.

3. Sous Identifiant, à Se connecter avec, choisissez comment le connecteur se connecte au serveur :

   Choix	Quand
   Aucune	Le serveur ne demande pas de connexion.
   Jeton Bearer	Le serveur vous donne un jeton fixe. Saisissez le jeton et, si le serveur l'attend dans un autre en-tête que Authorization, le nom de cet en-tête.
   OAuth — toute l’organisation	Le connecteur obtient lui-même un jeton avec un identifiant client et un secret client, pour toute l'organisation. Saisissez l'Endpoint de jeton, le Client ID, le Client secret et au besoin les Scopes et l'Audience (facultatif).
   OAuth — par utilisateur	Chaque personne se connecte au service avec son propre compte, et les actions fonctionnent avec ce compte (plus bas).

4. Ajoutez au besoin des En-têtes envoyés à chaque appel, et des Valeurs d’installation : des valeurs fixes pour cette organisation. Une valeur d'installation que vous marquez comme Secret n'est plus jamais affichée. Dans un en-tête, {$nom} représente la valeur d'installation de ce nom.

5. Choisissez Ajouter un connecteur.

Les secrets s'écrivent seulement. Un jeton, un secret client et une valeur d'installation secrète sont stockés chiffrés et ne sont plus jamais montrés à personne, pas même à vous. En modifiant (Modifier sur la page du connecteur), vous laissez un tel champ vide pour garder ce qu'il contient (Enregistré ; laissez vide pour le garder), ou vous choisissez Remplacer l'identifiant pour en saisir de nouveaux. Si vous choisissez un autre mode de connexion, vous saisissez aussi à nouveau son secret. Enregistrez une modification avec Enregistrer les modifications.

OS refuse un en-tête qui contournerait ou divulguerait la connexion : Cookie, Proxy-Authorization, Authorization à côté d'un identifiant, ou l'en-tête que l'identifiant utilise lui-même. Un secret dans l'URL du serveur est aussi refusé. Le message nomme le champ, jamais la valeur.

Autoriser l'adresse¶

Les fonctions d'IA de votre organisation n'appellent aucune adresse externe que l'organisation n'a pas autorisée. Cela vaut aussi pour un connecteur : tant que l'adresse du serveur, ou l'endpoint de jeton d'une connexion OAuth, n'est pas autorisée, le connecteur ne propose aucune action.

La page du connecteur indique sous Hôtes chaque adresse qu'il utilise, avec Non autorisé ou Bloqué par le déploiement le cas échéant. Un administrateur autorise une adresse dans le document de règles :

1. Choisissez Vers les règles sur la page du connecteur, ou ouvrez Gestion des utilisateurs et choisissez Document de règles.
2. Choisissez Ajouter une règle. Donnez un nom à la règle sous Nom, par exemple systeme-tickets, laissez Effet sur permit : autorise et choisissez egress_host sous Type.
3. Sous Conditions, choisissez la cellule Tout élément, toute personne. Sous Noms, saisissez l'adresse, par exemple mcp.example.com, ou *.example.com pour toute adresse en dessous : une adresse par ligne. Choisissez Terminé.
4. Choisissez Enregistrer le document de règles.

Si vous ne pouvez pas modifier les règles vous-même, demandez à un administrateur : autoriser une adresse décide où vont les données de l'organisation.

L'adresse s'applique après quelques secondes. Choisissez ensuite Actualiser le connecteur sur la page du connecteur. Bloqué par le déploiement n'est pas à votre portée : l'opérateur du déploiement n'autorise cette adresse pour aucune organisation.

Récupérer les actions¶

Après l'ajout et après chaque modification, OS récupère la liste des actions auprès du serveur, généralement en moins d'une minute, puis toutes les heures. La page du connecteur indique à Actions où cela en est :

Choisissez Actualiser le connecteur pour récupérer la liste tout de suite. Tant que la récupération échoue, le connecteur ne propose aucune action.

Choisir les actions que l'IA peut utiliser¶

Un nouveau connecteur ne propose encore rien : vous choisissez d'abord. Sous Gérer les actions figure chaque action que le serveur propose, avec sa description. Choisissez en haut :

• Choisir : seulement les actions que vous activez. Une action que le serveur ajoute plus tard n'arrive que lorsque vous l'activez. Ainsi, un connecteur ne gagne pas une capacité sans que vous le remarquiez.
• Tout, y compris ce qui viendra : chaque action, y compris celles que le serveur ajoutera.

Choisissez Enregistrer. Une action activée est disponible : un assistant peut la recevoir et vous pouvez en faire un outil. Une action désactivée ne peut être utilisée par personne dans l'organisation. Une action activée que le serveur ne propose plus reste affichée avec Non trouvée lors de la dernière récupération ; désactivez-la pour la retirer.

Versions de test des actions¶

Sous les actions se trouve la carte Versions de test. Chaque action proposée par le connecteur peut recevoir une version de test : une réponse fixe ou un autre outil, qui répond à la place de l’action dans les exécutions d’une évaluation et dans les essais. Une conversation utilise toujours la vraie action. Choisissez pour chaque action ce qui répond, puis Enregistrer les versions de test ; c’est une nouvelle version du connecteur. Un connecteur installé par un abonnement affiche les versions de test en grisé.

Mettre une action dans la boîte à outils¶

Une action disponible n'est pas encore un outil de l'AI Toolbox. Choisissez Ajouter à la boîte à outils à côté de l'action. L'écran Créer un nouvel outil s'ouvre avec Préréglage déjà choisi, sur cette action :

1. Sous Pour qui est-il ?, choisissez Pour les personnes ou Uniquement pour les assistants, puis Continuer.
2. Le Nom est proposé, et la Description est celle du serveur. Saisissez un Titre et adaptez le reste si vous le souhaitez.
3. Choisissez Créer l'outil.

L'action affiche ensuite Outil : nom, avec un lien vers l'outil.

Le formulaire avec lequel quelqu'un exécute l'outil suit le serveur : quand le serveur modifie l'entrée d'une action, le formulaire change avec elle. Quand le serveur retire l'action, l'outil n'est plus disponible.

Configurer la connexion par utilisateur¶

Avec OAuth — par utilisateur, chaque action fonctionne avec le compte de la personne qui l'utilise. Enregistrez d'abord OS comme application auprès du service (le fournisseur), puis saisissez dans OS :

• l'Endpoint d'autorisation et l'Endpoint de jeton du fournisseur ;
• le Client ID et, si le fournisseur le demande, le Client secret (facultatif). Un client public n'utilise pas de secret ;
• les Scopes, séparés par des espaces, et au besoin l'Audience (facultatif).

Le formulaire affiche l'URI de redirection. Copiez-la avec Copier et enregistrez-la auprès du fournisseur : c'est là qu'une personne revient après s'être connectée. Autorisez aussi l'adresse de l'endpoint de jeton (plus haut).

Ensuite, chaque personne connecte son propre compte sur la page Mes connexions. Tant qu'elle ne l'a pas fait, un outil sur une telle action lui demande de se connecter d'abord. Quand vous retirez quelqu'un de l'organisation, OS oublie sa connexion de lui-même.

Une app d'IA qu'un membre connecte à un groupe de l'AI Toolbox ne peut pas utiliser une telle action : l'app fonctionne avec une clé, pas avec le compte de la personne (Connecter une app d'IA à un groupe).

Versions et restauration¶

Chaque modification de l'adresse, des en-têtes, des valeurs d'installation ou des actions choisies est une nouvelle version. Elles figurent sous Versions, la plus récente en premier, avec l'heure, l'adresse, les noms des en-têtes et les actions. Chaque modification s'applique tout de suite ; il n'y a pas de brouillons.

Choisissez Restaurer à une version plus ancienne pour faire de son adresse, de ses en-têtes, de ses valeurs d'installation et de ses actions les plus récents. Les valeurs d'installation secrètes gardent ce que contient la dernière version : si un secret était différent alors, vous le saisissez à nouveau. La connexion du connecteur appartient au connecteur lui-même, pas à une version, et reste telle quelle lors d'une restauration.

Supprimer un connecteur¶

Choisissez Supprimer à côté du connecteur dans le tableau et confirmez. OS refuse tant que :

• un outil porte sur l'une de ses actions. Supprimez d'abord ces outils ;
• un assistant utilise l'une de ses actions. Retirez d'abord l'action de cet assistant.

Après la suppression, personne ne peut plus utiliser les actions du connecteur.

Par l'API¶

Tout ce qui est sur cette page est aussi possible par l'API d'OS, sous /api/v1/organisations/{id}/toolbox/mcp-servers. Un administrateur peut aussi autoriser une adresse avec POST /api/v1/organisations/{id}/allowed-hosts et {"host": "mcp.example.com"} ; cela ajoute la règle au document de règles (Le document de règles).