Checklist de permissions pour connecteur MCP : quoi vérifier avant de connecter des outils IA
Une checklist pour relire le périmètre, les actions, les données et les contrôles avant d’utiliser un connecteur MCP.
14 mai 2026
Un connecteur MCP peut rendre une IA beaucoup plus utile, mais il change aussi le périmètre de confiance. Avant d’exposer un outil ou une source de données, vérifiez ce que l’IA peut lire, écrire et déclencher.
Highlight Reel
Documentez le périmètre avant le pilote
Gardez une note relue sur les données visibles, les actions possibles et la façon de couper l’accès.
Pour un pilote interne, écrivez la fiche de permissions comme une note que produit, engineering et ops peuvent relire : source exposée, action autorisée, compte utilisé, personne responsable et méthode pour couper l’accès.
En bref
Relisez le périmètre de données, les actions disponibles, l’authentification, les journaux, les confirmations humaines et la procédure de retrait avant tout pilote.
| Option | Quand l’utiliser | Point à vérifier |
|---|---|---|
| Données | Quelles sources sont visibles ? | Limiter au minimum utile |
| Actions | Lecture seule ou modification ? | Séparer recherche et écriture |
| Identité | Qui appelle l’outil ? | Traçabilité et révocation |
| Revue | Qui valide les résultats ? | Ne pas automatiser la décision sensible |
Checklist avant pilote
- Le connecteur peut-il lire des documents privés, tickets ou messages ?
- Peut-il créer, modifier ou supprimer quelque chose ?
- Les clés API, jetons et identifiants sont-ils stockés hors des conversations ?
- Les erreurs et actions sont-elles journalisées ?
- Un humain peut-il revoir la sortie avant partage ?
Fiche de permissions à copier
# Revue d’un connecteur MCP
## Outils exposés
| Outil | Lecture | Écriture | Confirmation humaine | Journalisation |
| --- | --- | --- | --- | --- |
| [nom] | oui/non | oui/non | oui/non | où ? |
## Données visibles
- Sources autorisées :
- Sources exclues :
- Données sensibles possibles :
## Identité et accès
- Qui autorise :
- Qui peut révoquer :
- Où sont stockés clés API et jetons :
## Règle de pilote
- Durée :
- Groupe test :
- Critère d’arrêt :
- Personne responsable de la revue :Commencer plus petit
Quand le besoin est seulement de transmettre une décision ou une recherche, préparez une version nettoyée dans Google Docs, Notion, Confluence, Jira ou GitHub issues avant d’envisager un connecteur.
Règle de sécurité pratique
Plus l’IA peut agir, plus la revue humaine, le périmètre et la journalisation doivent être explicites. La facilité d’usage ne doit pas masquer le niveau de permission.
Où Highlight Reel aide
Highlight Reel ne configure pas les permissions MCP. Il aide à documenter le résultat d’un pilote ou à partager une synthèse quand une connexion complète n’est pas nécessaire.
Questions fréquentes
MCP rend-il une connexion sûre par défaut ?
Non. MCP décrit un mode d’exposition d’outils. La sécurité vient de l’implémentation, des permissions et de la revue.
Dois-je éviter les connecteurs ?
Non. Utilisez-les quand le besoin répété justifie le périmètre d’accès.