SMOC är nu ett API: MCP, REST och valfria skrivningar

Skriven av: Kristoffer Kvam
September 11, 2026

Ett företagsomfattande anropslager driver nu två ytor: AI-klienter använder MCP, pipelines använder REST v2, och den äldre kontakt-endpointen finns kvar. Standardnycklar är skrivskyddade. Markera Tillåt begränsade skrivningar när du skapar en nyckel, så kan samma verktyg uppdatera kontakter, listor och taggar — och skicka ett textinboxsvar.

Vad som släpptes

SMOC hade redan en Streamable HTTP MCP-server på samma worker som det publika API:et. Varje domänverktyg kan anropas på två sätt:

MCP på https://api.smoc.ai/mcp för Claude, Cursor, VS Code och andra MCP-klienter
REST v2 på POST /api/v2/{toolName} med samma JSON-body

Policy, hyresgästhantering, hastighetsbegränsningar, bekräftelse och idempotens körs en gång. En skrivning som blockeras på MCP blockeras även på REST.

GET /api/company/mongocontact är oförändrad. Zapier-nycklar förblir skrivskyddade och behåller samma sökväg, token-header och svarsmall.

Vad du kan läsa

Kundnycklar täcker företaget, inte bara kontakter:

Kontakter, statistik, taggar och prospektlistor
Företagsprofil, tillgångar och CPCS-crawlstatus
Studio-katalog — versioner, teman, inriktningsportföljer, genererings- och översättningsjobb
Flödesanalys
LinkedIn-inkorgstrådar och meddelandeflödeskonversationer

En kundtoken kan inte välja ett annat företag. Superanvändarnycklar skickar fortfarande companyId när det behövs.

Vad skrivaktiverade nycklar kan göra

Skapa nyckeln under Inställningar → Integrationer → MCP eller API och markera Tillåt begränsade skrivningar. Befintliga skrivskyddade nycklar får inte skrivbehörighet förrän du skapar en ny med den rutan markerad.

Kontakter och listor

Skapa eller uppdatera en kontakt
Skapa eller byt namn på en tagg, tilldela eller ta bort den
Skapa eller byt namn på en prospektlista, lägg till eller ta bort en kontakt

Företag och crawl

Uppdatera fält i företagsprofilen
Uppdatera grundläggande företagsresurser
Lägg till en CPCS-URL för crawl

Studio-metadata

Byt namn på ett flödesschema
Uppdatera status för en rekommendation (applicera / avvisa — inte publicera)

Inkorg

Arkivera en tråd, markera som oläst eller markera obesvarad som hanterad
Skicka ett endast text-svar med inbox_threads_send

Skicka kräver threadId, body och idempotencyKey. Nyckeln måste först kunna ladda den tråden; en saknad eller annan företags-tråd returnerar "hittades inte". Försök igen med samma nyckel skickar inte dubbelt. Hastighetsbegränsning är 10 sändningar per minut. Inga bilagor.

Vad som fortfarande inte är tillåtet för kundnycklar

Skrivaktiverad betyder inte fullständig admin.

Kundnycklar kan fortfarande inte:

Ta bort kontakter, taggar, listor, företag eller tillgångar
Publicera ett flöde eller slå på det live (flowcharts_set_active)
Skapa eller duplicera ett flödesschema
Ändra inriktning
Starta kreditkrävande jobb (generering, ändringar i crawl-schema)
Starta en LinkedIn-outreachkampanj

Dessa är fortfarande endast för superanvändare. Det är gränsen mellan "din AI kan arbeta i ditt företag" och "din AI kan ta produkten live".

Hur du väljer

Zapier / befintliga synkar: behåll GET /api/company/mongocontact
Pipelines och skript: POST /api/v2/{toolName} (Bearer eller token)
AI-klienter: MCP, sedan skills_search om verktygsnamnet inte är uppenbart

OpenAPI finns på GET /api/v2/openapi.json.

Så aktiverar du skrivningar

Console → Inställningar → Integrationer → MCP (eller API).
Generera en nyckel. Markera Tillåt begränsade skrivningar.
Kopiera den en gång. Förvara den som en annan hemlighet.
Rikta klienten mot https://api.smoc.ai/mcp med Authorization: Bearer <key>, eller anropa POST /api/v2/{toolName}.
Be klienten köra whoami, sedan mcp_capabilities. Kapacitetslistan visar vilka skrivningar den nyckeln kan se.

Om ett verktyg saknas, namnger mcp_capabilities behörigheten. Inkorgssändning kräver inbox:write på en skrivaktiverad nyckel. Äldre nycklar utan inkorgsbehörigheter behöver roteras.

Varför denna utformning

Vi öppnade läsningar först så att Claude och Cursor kunde se företaget utan ett andra API. Vi öppnade skrivningar endast där ett misstag är återställbart: en tagg, ett listmedlemskap, en företags-URL, ett textsvar med en idempotensnyckel.

Vi öppnade inte publicering, live-toggling, borttagningar eller kampanjutskick. Dessa förbrukar krediter eller ändrar vad prospekt ser. De förblir bakom en människa i Console — eller en superanvändartoken.

Samma verktyg finns på REST v2, så ett skript och en MCP-klient kan inte glida isär.