Dein Assistent sieht nie mehr als der Actor-User hinter dem API-Key. Mit Parametern an der Adresse engst du die Auswahl zusätzlich ein. Weniger Werkzeuge helfen dem Assistenten, manche Clients arbeiten nur mit einer begrenzten Zahl zuverlässig.
Was die Rechte festlegen
- Die Namen entsprechen der Referenz nach App, nur mit Unterstrich statt Punkt: aus
crm.konto.listwirdcrm_konto_list. - Dein Assistent sieht nur Werkzeuge der aktivierten Apps, für die der Actor-User Rechte hat. Werkzeuge für Daten der Datenklasse D fehlen.
- Werkzeuge, die Daten anlegen, ändern oder löschen, sind entsprechend gekennzeichnet. Clients wie Claude Code fragen vor solchen Aufrufen nach, solange du sie nicht dauerhaft freigibst.
- Werkzeuge, die löschen, gibt es über den Key nur, wenn an ihm Löschen erlaubt an ist: Code-Mode einschalten und absichern.
Auswahl an der Adresse einengen
| Parameter | Wirkung | Beispiel |
|---|---|---|
apps | nur die Werkzeuge dieser Apps (App-Kennungen aus der Referenz) | ?apps=crm,auftraege |
nur=lesen | nur Werkzeuge, die nichts verändern | ?nur=lesen |
wertelisten | Wertelisten: aus, lesen (Standard) oder alle | ?wertelisten=alle |
modus=suche | dein Assistent sieht nur zwei Werkzeuge: search_tools zum Suchen und call_tool zum Ausführen | ?modus=suche |
Die Parameter lassen sich kombinieren, zum Beispiel https://deine-instanz.example/api/mcp?apps=crm&nur=lesen. Sie können die Rechte nur einschränken, nie erweitern: Was der Actor-User nicht darf, bleibt gesperrt. Bei einem Key im Code-Mode gelten apps und nur=lesen genauso, modus=suche hat dort keine Wirkung.
Viele Werkzeuge: der Such-Modus
Ohne Einschränkung zeigt SynCore deinem Assistenten jedes Werkzeug einzeln, bei vollen Rechten über 1.000. Clients ohne eigene Werkzeugsuche (etwa Claude Desktop, Cursor, VS Code) laden dann alle Beschreibungen in ihren Kontext, das sind rund 90.000 Token, bevor du die erste Frage stellst.
Mit ?modus=suche sieht dein Assistent stattdessen nur zwei Werkzeuge, zusammen rund 450 Token:
search_toolssucht Werkzeuge nach Begriffen, zum Beispiel „konto list“ oder „aufgabe anlegen“, auf Wunsch nur in einer App. Mitstufebestimmt der Assistent, wie viel er je Treffer bekommt: nur den Namen, die Beschreibung (Standard), das Eingabeschema oder eine TypeScript-Deklaration.call_toolführt ein gefundenes Werkzeug aus, mit dem Namen aus der Suche und den Eingaben nach dessen Schema.
Die übrigen Parameter gelten auch im Such-Modus. ?modus=suche&nur=lesen findet und startet also nur lesende Werkzeuge. Rechte, Datenbereich und Audit-Log bleiben dieselben wie beim Einzelaufruf.
Der Such-Modus spart Kontext, aber jeder Schritt bleibt ein eigener Aufruf. Berührt eine Frage viele Datensätze, ist der Code-Mode sparsamer.