Безпека Bubble MCP: що лишати вимкненим після першого підключення

Офіційний manual Bubble MCP закриває лише перший крок. Він дає URL сервера https://mcp.bubble.io/mcp і пояснює OAuth та Developer mode. Ще він заспокоює: агент сам не може задеплоїти зміни в live чи змерджити гілки. На старті MVP цього вистачає. Ви підключаєте AI-асистента, просите зібрати чернетку сторінки, налаштовуєте workflow і швидко перевіряєте гіпотезу. Схожий розбір: Bubble MCP: account-wide чи per-app.

Але між першим підключенням і безпечною щоденною роботою є помітний розрив. 7 жовтня 2026 року на форумі Bubble вийшов публічний дайджест. У ньому було п’ять питань безпеки, на які документація прямо не відповідає. Співробітники Bubble частину з них прояснили в коментарях. Решта їхніх відповідей фактично підтвердила: нетехнічному фаундеру безпечніше тримати деякі функції вимкненими. Нижче пишу, як я ці відповіді розумію. Поруч із цим: Copilot + Entra: NL-збірка з.

1. Доступ до бази даних: ізоляція типів чи загальні права?

Документація створює враження тонкого контролю. Інструменти на кшталт grant_agent_data_access наводять на думку, що асистенту можна відкрити лише окремі типи даних. Команда Bubble уточнила, що це не так. Це загальний доступ collaborator до даних, а не окремий дозвіл для MCP на кожен data type.

Якщо асистент має доступ до бази, він бачить усі робочі записи розробки. Тому не наповнюйте тестову базу реальними даними клієнтів чи платіжними деталями. Усе, що читає MCP, йде до провайдера ШІ.

2. Посилання на прев’ю та impersonation: посилання без відкликання

Щоб перевірити інтерфейс, асистент може згенерувати посилання на прев’ю застосунку. Серед них є й посилання з авторизацією під користувачем (run-as-user). За словами співробітників Bubble, посилання діє близько години, поки по ньому не клікнули. Після відкриття сесія прев’ю живе до одного дня. Відкликати (revoke) згенероване посилання зараз не можна. Застарілий impersonation token при цьому прибирають.

У спільному чаті чи командному просторі таке посилання може випадково скомпрометувати тестову сесію. Поки перевіряєте реальні акаунти, не генеруйте прев’ю-посилання від імені користувачів.

3. Секрети та API Connector: що потрапляє в контекст моделі

У швидких MVP сторонні сервіси часто підключають через API Connector. У Bubble пояснили, як це працює з агентом. Параметри й заголовки API Connector без позначки Private агент бачить через get_node. Значення з галочкою Private і ключі плагінів лишаються прихованими. Схожий розбір: Bubble MCP server: три значення.

Правило тут одне. Кожен API-ключ, токен чи секретний хедер у налаштуваннях інтеграцій має бути позначений як Private. Якщо прапорця немає, агент вичитує секрет, і той потрапляє в контекст великої мовної моделі.

4. Журнал дій: аудит запису без логування читань

Коли проєкт змінюють кілька людей або агентів, потрібен чіткий слід подій. У Bubble сказали, що планують адаптувати changelog, щоб у ньому краще було видно операції запису MCP. А от операції читання (reads) Bubble на своєму боці не логує взагалі. Які саме запити робив агент, зараз видно лише в робочому просторі вашого AI-провайдера.

Є ще одна пастка. Видалення записів (delete_thing) у dev-базі не скасувати звичною кнопкою Undo в редакторі. Тому перед кожною сесією активного вайбкодінгу з MCP робіть точку відновлення (savepoint) у Bubble.

5. Область авторизації OAuth: доступ до всього акаунта

Зараз OAuth-підключення MCP прив’язується до всього акаунта Bubble. Окремого режиму «тільки для читання» немає. Обмежити підключення одним застосунком (per-app sign-in scope) теж не можна. Розробники Bubble лише розглядають таку конфігурацію на майбутнє. Manual радить прямо вказувати назву застосунку в текстовому промпті. Це допомагає, але не обмежує права доступу.

Якщо у вашому робочому акаунті лежать чужі проєкти або клієнтські застосунки, широкий OAuth створює зайвий ризик. Агент може відредагувати не той проєкт.

Що соло-білдеру лишити вимкненим: чекліст самозахисту

Поки Bubble розвиває інструменти адміністрування MCP, я тримаюся чотирьох консервативних правил. Вони дозволяють запускатися швидко і без зайвого ризику:

Прод-критичні застосунки: не підключайте MCP напряму до акаунтів, де живуть чужі чи робочі бізнес-проєкти. Якщо MCP потрібен, заведіть для тестів окремий акаунт розробника.
Реальні дані в dev: заповнюйте базу розробки лише вигаданими сутностями без конфіденційної інформації.
Неприватні заголовки API: перевірте API Connector. Усі чутливі значення мають бути позначені як Private.
Швидкі сесії без бекапу: не запускайте генерацію складних змін, поки не зробили savepoint гілки.

Область	Чого уникати	Що робити
Прод-критичні застосунки	Підключати MCP напряму до акаунтів з чужими чи робочими бізнес-проєктами	Завести окремий акаунт розробника для тестів, якщо MCP потрібен
Реальні дані в dev	Заповнювати базу розробки конфіденційною інформацією	Заповнювати лише вигаданими сутностями
Неприватні заголовки API	Залишати чутливі значення без позначки Private	Перевірити API Connector і позначити чутливі значення як Private
Швидкі сесії без бекапу	Запускати генерацію складних змін без savepoint гілки	Спочатку зробити savepoint гілки