SMOC est maintenant une API : MCP, REST et écritures sur activation

Une seule couche d'invocation à l'échelle de l'entreprise alimente désormais deux interfaces : les clients IA utilisent MCP, les pipelines utilisent REST v2, et l'ancien point de terminaison contacts reste en place. Les clés par défaut sont en lecture seule. Cochez Autoriser les écritures limitées lors de la création d'une clé, et les mêmes outils peuvent alors mettre à jour les contacts, les listes et les tags — et envoyer une réponse textuelle à la boîte de réception.

Ce qui a été livré

SMOC disposait déjà d'un serveur MCP HTTP Streamable sur le même worker que l'API publique. Chaque outil de domaine est appelable de deux façons :

• MCP à https://api.smoc.ai/mcp pour Claude, Cursor, VS Code et autres clients MCP
• REST v2 à POST /api/v2/{toolName} avec le même corps JSON

La politique, la gestion des locataires, les limites de débit, la confirmation et l'idempotence ne s'exécutent qu'une seule fois. Une écriture bloquée sur MCP est également bloquée sur REST.

GET /api/company/mongocontact reste inchangé. Les clés Zapier restent en lecture seule et conservent le même chemin, l'en-tête token et la même forme de réponse.

Ce que vous pouvez lire

Les clés client couvrent l'entreprise, pas seulement les contacts :

• Contacts, statistiques, tags et listes de prospects
• Profil de l'entreprise, ressources et statut du crawl CPCS
• Catalogue Studio — versions, thèmes, portefeuilles de ciblage, tâches de génération et de traduction
• Analyses des parcours
• Fils de discussion LinkedIn et conversations de parcours de messages

Un jeton client ne peut pas sélectionner une autre entreprise. Les clés super-utilisateur continuent de transmettre companyId si nécessaire.

Ce que les clés avec écriture activée peuvent faire

Générez la clé dans Paramètres → Intégrations → MCP ou API et cochez Autoriser les écritures limitées. Les clés existantes en lecture seule ne gagnent pas l'écriture tant que vous n'en créez pas une nouvelle avec cette case cochée.

Contacts et listes

• Créer ou mettre à jour un contact
• Créer ou renommer un tag, l’assigner ou le désassigner
• Créer ou renommer une liste de prospects, ajouter ou retirer un contact

Entreprise et crawl

• Mettre à jour les champs du profil de l'entreprise
• Mettre à jour les informations de base d'une ressource de l'entreprise
• Ajouter une URL CPCS à crawler

Métadonnées Studio

• Renommer un parcours
• Mettre à jour le statut d’une recommandation (appliquer / rejeter — pas publier)

Boîte de réception

• Archiver un fil, le marquer comme non lu ou comme traité sans réponse
• Envoyer une réponse texte uniquement avec inbox_threads_send

L’envoi nécessite threadId, body et idempotencyKey. La clé doit pouvoir charger ce fil au préalable ; un fil manquant ou appartenant à une autre entreprise renvoie « non trouvé ». Les tentatives répétées avec la même clé ne doublent pas l’envoi. Limite de débit : 10 envois par minute. Pas de pièces jointes.

Ce qui reste inaccessible aux clés client

L’activation de l’écriture ne signifie pas l’accès administrateur complet.

Les clés client ne peuvent toujours pas :

• Supprimer des contacts, tags, listes, entreprises ou ressources
• Publier un parcours ou le mettre en ligne (flowcharts_set_active)
• Créer ou dupliquer un parcours
• Modifier le ciblage
• Lancer des tâches consommatrices de crédits (génération, modifications de planification de crawl)
• Lancer une campagne de prospection LinkedIn

Ces actions restent réservées aux super-utilisateurs. C’est la frontière entre « votre IA peut travailler dans votre entreprise » et « votre IA peut mettre le produit en ligne ».

Comment choisir

• Zapier / synchronisations existantes : conservez GET /api/company/mongocontact
• Pipelines et scripts : POST /api/v2/{toolName} (Bearer ou token)
• Clients IA : MCP, puis skills_search si le nom de l’outil n’est pas évident

OpenAPI est disponible à GET /api/v2/openapi.json.

Comment activer l’écriture

1. Console → Paramètres → Intégrations → MCP (ou API).
2. Générez une clé. Cochez Autoriser les écritures limitées.
3. Copiez-la une fois. Stockez-la comme tout autre secret.
4. Pointez le client vers https://api.smoc.ai/mcp avec Authorization: Bearer <key>, ou appelez POST /api/v2/{toolName}.
5. Demandez au client d’exécuter whoami, puis mcp_capabilities. La liste des capacités vous indique quelles écritures cette clé permet.

Si un outil manque, mcp_capabilities indique la permission. L’envoi dans la boîte de réception nécessite inbox:write sur une clé avec écriture activée. Les anciennes clés sans droits sur la boîte de réception nécessitent une rotation.

Pourquoi cette forme

Nous avons d’abord ouvert la lecture pour que Claude et Cursor puissent voir l’entreprise sans une seconde API. Nous avons ouvert l’écriture uniquement là où une erreur est récupérable : un tag, une appartenance à une liste, une URL d’entreprise, une réponse texte avec une clé d’idempotence.

Nous n’avons pas ouvert la publication, la mise en ligne, les suppressions ou l’envoi de campagnes. Ces actions consomment des crédits ou modifient ce que voient les prospects. Elles restent derrière une action humaine dans la Console — ou un jeton super-utilisateur.

Les mêmes outils sont disponibles sur REST v2, donc un script et un client MCP ne peuvent pas diverger.

En savoir plus

• eGuide MCP
• eGuide REST
• Référence REST v2
• Boîte de réception pour les réponses LinkedIn
• Intégrations
• Catégorie FAQ apis-mcp

Livré ce mois-ci — journal des versions de septembre 2026.