להפעיל מבחוץ: API ו‑MCP

במסך «מפתחות API» שבהגדרות החשבון מנפיקים מפתח. הוא מתחיל ב־vx_ ומוצג פעם אחת בלבד — אצלנו נשמר רק גיבוב שלו, ולכן אין מסך שאפשר לחזור אליו ולקרוא ממנו את המפתח.

המפתח נשלח בכותרת x-api-key ומזהה אתכם כמשתמשים. כל בדיקת בעלות שקיימת בממשק ממשיכה לחול עליו: מפתח הוא דרך פנימה, לא דרך לעקוף.

ביטול מפתח מפסיק מיד כל דבר שמשתמש בו. מפתח שבוטל ומפתח שמעולם לא היה קיים מקבלים בדיוק את אותה תשובה, כדי שלא ילמדו מהן דבר.

בתוך הפרויקט יש שרת MCP שמאפשר לסוכן — Claude Code, Cursor, כל דבר שמדבר בפרוטוקול — להפעיל את המערכת. הוא לקוח דק מעל אותו API שהדפדפן עובד מולו, ולא מסלול שני אל מסד הנתונים: מסלול שני הוא איך שתי הדרכים נפרדות עד שלאחת מהן חסרה בדיקה שיש לשנייה.

הוא מדבר JSON‑RPC 2.0 מעל stdio, הודעה לשורה, ומקבל את הכתובת והמפתח ממשתני סביבה.

אין כאן ממשק ציבורי לנתונים של האתר שלכם. קריאה וכתיבה של הרשומות מהאתר הבנוי עוברות בדלת נפרדת, שנאכפות בה ההרשאות של כל טבלה לכל מבקר. המפתח שכאן הוא של הבעלים, ולא של המשתמשים שלכם.