Registro de auditoría de MCP y privacidad

El sitio registra la actividad de MCP y OAuth para que los administradores puedan investigar los accesos y los cambios. La ejecución delegada en la red se registra en el registro de MCP del sitio principal, con el ID del blog de destino, la operación y la herramienta en el resumen de la solicitud. La delegación no requiere una configuración de OAuth o de auditoría independiente en cada destino.

Campos registrados

Una entrada de auditoría incluye la marca de tiempo UTC, el ID del usuario de WordPress que actúa cuando está disponible, el tipo de autenticación, el ID del cliente OAuth cuando está presente, el nombre de la acción, el estado, los resúmenes de solicitud y respuesta redactados y un hash unidireccional de la IP de la solicitud.

El registrador reemplaza de forma recursiva los valores cuyas claves parecen sensibles. Las cadenas largas se truncan después de 600 bytes; las colecciones anidadas o grandes se resumen, y cada resumen de solicitud o respuesta almacenado se limita a 16 KiB. Esto reduce la exposición, pero no sustituye a la minimización de entradas: un secreto colocado bajo una clave inesperada o dentro de un texto ordinario podría no ser reconocido.

Las consultas de estado correctas de pom_get_task no crean entradas de auditoría. Las consultas fallidas conservan el registro de errores, y la solicitud de operación original conserva su entrada de auditoría normal. Usa el recibo de la tarea para inspeccionar su resultado de ejecución.

El periodo de retención de registros configurado es de 30 días por defecto y no puede establecerse por debajo de un día. La limpieza elimina las entradas más antiguas que ese periodo junto con los registros OAuth caducados o revocados.

Guía de integración

• Usa IDs de cliente claros e identidades de servicio separadas.
• Mantén los secretos y los datos personales innecesarios fuera de los argumentos.
• No dependas del registro de auditoría como copia de seguridad del contenido.
• Restringe el acceso a los diagnósticos a administradores autorizados.
• Comparte con el soporte solo la acción, la hora, el estado y los códigos de error estables redactados.

El registro de auditoría de POM AI cubre el servidor MCP local del sitio y las ejecuciones de red delegadas iniciadas a través de la conexión del sitio principal. El cliente de IA externo puede conservar su propio historial bajo una política de privacidad independiente.

Guías relacionadas: privacidad, información segura para el soporte y autenticación MCP.