Endpoints

Servidor MCP

Ambiente	URL do servidor	Authorization server
Produção	https://mcp.banking.kobana.com.br	https://account.kobana.com.br
Sandbox	https://mcp.banking.sandbox.kobana.com.br	https://account.sandbox.kobana.com.br

A URL do servidor é a raiz do host, e é esse endereço inteiro que você cola no cliente MCP. Ela é também o resource identifier OAuth (RFC 8707): o token emitido para o MCP carrega essa URL como resource, e é por isso que ela não tem caminho.

:::tip Comece pelo sandbox Cada ambiente tem banco de dados e authorization server próprios. Um token emitido em sandbox não vale em produção, e o contrário também não. As tools destrutivas cancelam boletos, pagam contas e transferem dinheiro de verdade, então faça a primeira exploração no sandbox. :::

Rotas servidas

Método	Caminho	Para quê
POST	/	Uma mensagem JSON-RPC por requisição. Toda a superfície de tools, resources e prompts.
GET	/.well-known/oauth-protected-resource	Metadata do recurso protegido (RFC 9728). Pública, sem autenticação.
GET	/	405: o servidor é stateless e não abre stream do servidor para o cliente.
DELETE	/	200: não há sessão para encerrar.

A autenticação vem antes do método: sem token, GET / e DELETE / respondem 401, como o POST.

O documento de metadata também responde em /.well-known/oauth-protected-resource/mcp, porque há cliente que sonda esse caminho. O conteúdo é o mesmo.

Documentação e API

	URL
Documentação	https://docs.banking.kobana.com.br
API REST (produção)	https://api.kobana.com.br
API REST (sandbox)	https://api.sandbox.kobana.com.br

:::info Host separado, de propósito O servidor MCP tem host próprio, em vez de um caminho no host da API ou do painel. Com o recurso na raiz do host, a URL não tem caminho e o documento de descoberta fica no endereço well-known padrão. E nenhum cookie de sessão do painel é enviado para essa origem, o que elimina por construção uma classe de ataques de confused deputy. :::