A resposta curta
Comece só com leitura e libere só o que cada tarefa precisa. Há quatro níveis: somente leitura, perguntar antes de cada alteração, perguntar antes de apagar ou enviar e agir sozinha. Você os define no app de IA, no servidor MCP e na conta do serviço. Cada limite reduz o que um erro pode custar; nenhum torna o acesso inofensivo.
Neste guia
Quais são os quatro níveis de acesso?
Escolha um nível por ferramenta e comece pelo primeiro. Esses nomes são nossos: cada ferramenta abaixo oferece alguns deles com as próprias palavras.
-
Somente leituraComece aqui
Sua IA consegue consultar e resumir as coisas. Não consegue alterar nada.
Bom paraUm primeiro teste, ou um serviço que você não pode quebrar.
-
Perguntar antes de cada alteração
Sua IA lê à vontade. Cada alteração espera a sua permissão, depois que você a viu.
Bom paraUma tarefa nova, ou qualquer coisa que importe.
-
Perguntar antes de apagar ou enviar
Sua IA faz alterações comuns por conta própria. Apagar e enviar esperam a sua permissão.
Bom paraFerramentas em que uma edição é fácil de conferir e de desfazer.
-
Agir sozinha
Sua IA altera coisas sem perguntar.
Bom paraTrabalho que você pode revisar depois e reverter.
Onde definir um nível no Claude, Cursor e VS Code?
O app de IA é o primeiro interruptor. Cada um deixa você decidir ferramenta por ferramenta, com as próprias palavras.
| App de IA | Como definir | Bom saber |
|---|---|---|
| Claude Code | Escreva regras allow, ask e deny, para um servidor inteiro ou para uma ferramenta: mcp__github, mcp__github__get_*. Liste-as com /permissions. | Deny vence ask, e ask vence allow, por mais específica que seja a regra de allow. No modo padrão, o Claude Code pede confirmação no primeiro uso de cada ferramenta. |
| Claude (claude.ai) | Desligue as ferramentas que você não usa no menu Search and tools. Nos planos Team e Enterprise, os proprietários definem as Tool permissions de um conector para a organização inteira: Always allow, Needs approval ou Blocked. | A ajuda do Claude diz para aprovar uma ferramenta em definitivo só quando você confia que ela roda sem supervisão. No modo de pesquisa, o Claude pode chamar ferramentas de conectores sem aprovação adicional, então desligue antes as ferramentas de escrita. |
| Cursor | Em Settings, Agents, Approvals & Execution, escolha Auto-review, Allowlist ou Run Everything. Libere ferramentas por server:tool em permissions.json, como linear:list_issues. | A página de MCP do Cursor diz que ele pede antes de usar uma ferramenta MCP por padrão. A página de Run Modes recomenda o Auto-review, em que um classificador pode deixar rodar sem perguntar a você uma chamada que não está na lista. Para pedir confirmação em cada chamada, o Cursor diz para usar o Allowlist com a lista vazia. O Run Everything roda cada chamada. O Cursor diz que o Auto-review não é uma fronteira de segurança, e que as allowlists não são garantia de segurança. |
| VS Code | No chat, abra Configure Tools para ligar ou desligar as ferramentas de um servidor, uma a uma. Um servidor de outra fonte pede a sua confiança quando inicia pela primeira vez. | O VS Code avisa que servidores MCP locais podem executar qualquer código na sua máquina. Adicione só servidores de fontes em que você confia. |
No Claude Code, o nome do servidor em uma regra é o que você deu ao servidor quando o adicionou.
Como limitar o servidor e a conta por trás dele?
Limite o próprio acesso, e um ajuste frouxo no app de IA faz menos estrago. O servidor e a conta por trás dele são o segundo e o terceiro interruptor.
| Ferramenta | Como limitar | Bom saber |
|---|---|---|
| GitHub | Rode o servidor MCP do GitHub com --read-only (ou GITHUB_READ_ONLY=1). Escolha o que ele oferece com --toolsets ou --tools, e remova ferramentas com --exclude-tools. No servidor remoto, use o cabeçalho X-MCP-Readonly ou a URL /readonly. | O modo somente leitura vence todas as outras opções. Dê ao servidor um token de granularidade fina: limitado aos repositórios escolhidos, com permissões mínimas e com data de expiração. |
| Notion | O MCP hospedado do Notion funciona como você e alcança o que você alcança. Para limitá-lo, desligue as ferramentas de escrita no seu app de IA. Com o servidor self-hosted do Notion, crie uma conexão interna só com as capacidades que a tarefa precisa: ler, atualizar, inserir conteúdo. Ele não vê nenhuma página até você compartilhar uma, e compartilhar uma página compartilha também as subpáginas. | O Notion recomenda ativar a confirmação antes de ações que alteram conteúdo. Ele não mantém mais ativamente o servidor self-hosted. |
| Seus arquivos | Inicie o servidor de sistema de arquivos do MCP com as pastas que ele pode usar. Ele funciona só dentro delas. No Docker, acrescente ro a um mount para deixar essa pasta somente leitura. | A ferramenta write_file sobrescreve um arquivo que já existe. Nossa dica: mantenha a pasta no Git ou com backup. |
Como começar em somente leitura e liberar passo a passo?
Trate um novo acesso como um teste. Cada passo dá à sua IA um pouco mais, e você pode parar em qualquer um deles.
- Conecte em somente leituraSomente leitura
Use o modo somente leitura do servidor, uma capacidade somente leitura ou um mount somente leitura. Peça à sua IA um resumo de verdade. Se for só isso que você precisa, pare aqui.
- Compartilhe só o que a tarefa precisaSomente leitura
Liste as pastas, os repositórios ou as páginas que importam, e deixe o resto de fora. Uma conexão self-hosted do Notion não vê nada que você não tenha compartilhado, e o servidor de arquivos fica dentro das pastas que você listou.
- Permita alterações, com uma pergunta de cada vezPerguntar antes de cada alteração
Ligue a escrita, mas deixe o app de IA perguntando. Leia cada alteração antes de dizer sim, primeiro numa cópia ou numa página de teste. No Claude Code, adicione regras ask para as ferramentas de escrita e regras deny para as que você nunca quer.
- Deixe as partes seguras rodarem sozinhasPerguntar antes de apagar ou enviar
Depois de algumas boas tarefas, libere as leituras e as alterações que você consegue desfazer. Mantenha a pergunta para apagar e enviar. No Claude Code, libere um padrão como
mcp__github__get_*, que cobre as ferramentas chamadasget_…. No Cursor, acrescentelinear:list_issuesamcpAllowlist. Confira o que mudou depois de cada tarefa.
O que as permissões não impedem?
As permissões limitam o que um erro pode custar. Elas não tornam um acesso inofensivo.
- Um acesso concedido é um acesso. O Notion diz que um cliente conectado pode usar o MCP do Notion para alcançar o conteúdo que você alcança. Uma permissão de escrita permite que sua IA escreva.
- O que sua IA lê pode dar ordens a ela. Uma página, um ticket ou um servidor pode esconder instruções no que devolve. O conselho do Notion é tratar o conteúdo devolvido pelas ferramentas como não confiável.
- Somente leitura ainda pode vazar dados. O Notion avisa que um cliente conectado pode enviar a sistemas fora do Notion o conteúdo devolvido pelo MCP do Notion.
- Os rótulos são dicas. A especificação do MCP permite que uma ferramenta diga que é somente leitura (
readOnlyHint) ou destrutiva (destructiveHint). Os clientes devem tratar esses rótulos como não confiáveis, a menos que o servidor seja confiável.
As permissões funcionam antes de uma alteração. Desfazer uma depois é outra tarefa, à parte: Como desfazer alterações de IA
Dá para definir os níveis uma vez só, para todas as suas ferramentas?
Dá, para as ferramentas que passam pelo Delta MCP. O Delta MCP é um app gratuito que fica entre seus apps de IA e os servidores MCP deles. Cada conector recebe um dos quatro modos: somente leitura, perguntar antes de cada alteração, perguntar antes de apagar ou enviar, ou alterar sozinho.
- Um modo por conector. Escolha-o na tela Connectors, na seção When your AI wants to change something. A leitura nunca pede confirmação. A mudança chega às conversas abertas na próxima chamada da sua IA, sem reiniciar nada.
- Ações isoladas à parte. Em Advanced, defina uma ação como Like the connector, como um dos quatro modos ou como Off. Uma ação em Off some da visão da sua IA, e uma chamada para ela é recusada.
- Um cartão antes de uma alteração que você precisa aprovar. Ele mostra cada alteração, antes e depois, e o que pode ser desfeito. Um cartão fechado sem resposta é uma recusa: nada é feito.
- Activity depois. Seja qual for o modo, cada tarefa aparece com cada alteração, antes e depois. O Undo devolve o que consegue e diz, antes de você clicar, o que não consegue, como uma mensagem já enviada.
Apagar e enviar são reconhecidos pelo nome da ação. Uma ação com nome estranho conta como alteração comum, e o modo decide como faria com qualquer outra. Quando precisar ter certeza, escolha Perguntar antes de cada alteração, ou desligue a ação. E, como qualquer permissão aqui, os modos protegem você dos erros da sua IA: ela continua agindo com os seus direitos.
Conectores que rodam dentro do Claude, como o Gmail, o Google Calendar e o Google Drive, ficam no Claude, atrás do próprio login. Defina os níveis deles no Claude, como na tabela acima.
Perguntas
Qual é o jeito mais seguro de conectar uma IA ao Notion ou ao GitHub?
Comece só com leitura. No GitHub, rode o servidor MCP com --read-only e use um token de granularidade fina, limitado aos repositórios escolhidos. O MCP hospedado do Notion funciona como você, então desligue as ferramentas de escrita no seu app de IA. Um servidor self-hosted do Notion pode ser limitado às capacidades e às páginas compartilhadas que você escolher. Mantenha seu app de IA perguntando antes das alterações e libere um passo de cada vez.
Existe um modo somente leitura para servidores MCP?
Depende do servidor. O servidor MCP do GitHub tem um: --read-only, ou o cabeçalho X-MCP-Readonly no servidor remoto. A especificação do MCP permite que uma ferramenta se rotule como somente leitura com readOnlyHint. Os clientes não devem confiar nesse rótulo vindo de um servidor não confiável. Para um servidor sem opção somente leitura, desligue as ferramentas de escrita no seu app de IA.
Como impedir que o Claude Code use uma ferramenta de escrita de um servidor MCP?
Adicione uma regra deny com o nome da ferramenta, como mcp__github__merge_pull_request, pelo /permissions ou pelas suas configurações. As regras deny vencem as regras ask e allow. Uma ferramenta citada em uma regra deny é retirada do que o Claude vê.
Somente leitura quer dizer que meus dados não podem sair?
Não. Somente leitura impede alterações, não o que sua IA faz com o que lê. O Notion avisa que um cliente conectado pode enviar a sistemas fora do Notion o conteúdo devolvido pelo MCP do Notion. O conteúdo que sua IA lê também pode trazer instruções. Trate o que as ferramentas devolvem como não confiável.
Devo deixar minha IA rodar ferramentas MCP sem perguntar?
Para leituras, muitas vezes sim. Para alterações, a especificação do MCP diz que um humano deve estar sempre no processo, podendo recusar chamadas de ferramenta. Um caminho do meio: libere as leituras e mantenha a pergunta para as alterações. Libere mais só onde você consegue revisar cada alteração e desfazê-la.
O Delta MCP consegue deixar um conector somente leitura?
Sim, para os conectores que passam por ele. Defina o modo do conector como Somente leitura: sua IA pode ler, nunca alterar, e cada alteração é recusada. Os outros modos são perguntar antes de cada alteração, perguntar antes de apagar ou enviar e alterar sozinho. Conectores que rodam dentro do Claude, como o Gmail, ficam no Claude e são definidos lá.
Fontes
- Claude Code, Configure permissions Regras allow, ask e deny e sua ordem; nomes de regras MCP como mcp__github__get_*; o comando /permissions; o modo padrão.
- Claude Help Center, Use connectors to extend Claude's capabilities Tool permissions por conector (Always allow, Needs approval, Blocked) e quem pode defini-las.
- Claude Help Center, Get started with custom connectors using remote MCP O menu Search and tools; o modo de pesquisa roda ferramentas de conectores sem aprovação adicional; instruções escondidas em servidores maliciosos.
- Cursor, Model Context Protocol (MCP) Por padrão, o Cursor pede aprovação antes de usar ferramentas MCP.
- Cursor, Run Modes Os três Run Modes e onde defini-los. O Auto-review é o padrão recomendado, não uma fronteira de segurança. Uma Allowlist vazia pergunta sempre.
- Cursor, permissions.json reference O formato server:tool da allowlist do MCP; allowlists não são garantia de segurança.
- VS Code, Add and manage MCP servers in VS Code Configure Tools liga e desliga ferramentas individuais; a caixa de confiança para servidores de outras fontes.
- GitHub, GitHub MCP Server Toolsets, ferramentas individuais e a opção somente leitura.
- GitHub, Server Configuration Guide O modo somente leitura como opção, cabeçalho e URL; ferramentas excluídas; o modo somente leitura vence todas as outras opções.
- GitHub Docs, Managing your personal access tokens Tokens de granularidade fina: repositórios escolhidos, permissões mínimas, validade.
- Notion, Internal connections Uma conexão nova não tem acesso a páginas; compartilhar uma página compartilha as subpáginas; as capacidades de uma conexão.
- Notion, Notion MCP O servidor MCP hospedado do Notion lê e atualiza o conteúdo a que você tem acesso.
- Notion, Hosting Notion MCP locally O servidor de código aberto não é mais mantido ativamente e precisa da sua própria conexão com o Notion e do seu token de API.
- Notion, Security best practices Um cliente conectado alcança o que você alcança; prompt injection; conteúdo que sai do Notion; confirmação antes das alterações.
- Model Context Protocol, Filesystem MCP Server Acesso limitado aos diretórios permitidos; mounts somente leitura com ro; dicas das ferramentas; write_file sobrescreve arquivos existentes.
- Model Context Protocol, Tools (specification 2026-07-28) Um humano no processo, capaz de recusar chamadas de ferramenta; as anotações das ferramentas não são confiáveis, a menos que venham de servidores confiáveis.
- Delta MCP, Modes Os quatro modos, as ações isoladas à parte, o cartão de aprovação e como se reconhece apagar e enviar.
- Delta MCP, Activity and Undo Cada alteração, antes e depois, em Activity, e o que o Undo devolve e o que não consegue.
Continue lendo
- Como desfazer alterações de IA no Notion, GitHub e arquivosUma IA alterou ou apagou algo? Veja o que mudou, como desfazer alterações de IA no Notion, no GitHub e nos seus arquivos, e o que não tem volta.
- Gateway MCP vs proxy vs Delta MCP: qual você precisa?Gateway MCP vs proxy: o que cada um faz, onde roda e para quem é, mais um app local que confere cada tarefa e registra cada alteração.
