Un assistente che legge la posta, crea caselle e corregge il DNS può far risparmiare molto lavoro. Ma può anche eliminare la casella sbagliata perché ha frainteso quale volevi rimuovere.
La domanda principale su un server MCP per la posta, quindi, non è che cosa sappia fare l’agente, ma che cosa succeda quando sbaglia. Permessi e restrizioni intorno al server determinano buona parte delle conseguenze. Non basta affidarsi alle capacità del modello.
Vediamo che cos’è un server MCP, quali attività consente su una piattaforma di posta e quali misure riducono il rischio: token separati, permessi minimi, conferme per le operazioni distruttive e un registro delle attività. Nessuna di queste misure, da sola, garantisce un funzionamento autonomo sicuro.
Che cos’è un server MCP
Il Model Context Protocol definisce un modo comune con cui un client IA individua e richiama gli strumenti di un sistema esterno. Il server MCP pubblica gli strumenti con nome, descrizione e schema degli argomenti. Il client presenta queste informazioni al modello. Quando il modello sceglie uno strumento, il client esegue la chiamata e restituisce il risultato.
Il vantaggio è non dipendere da un solo client. Lo stesso server può funzionare con Claude Desktop, Claude Code, Cursor, Windsurf e altre applicazioni compatibili. Occorre comunque verificare il trasporto, l’autorizzazione e le funzioni supportate. Il protocollo riduce il lavoro specifico per ogni applicazione, ma non elimina la configurazione della connessione.
Per una piattaforma di posta, questa struttura è naturale: molte operazioni sono già disponibili tramite API. Il server MCP le descrive come strumenti sopra l’API REST. Le restrizioni, quindi, non dipendono soltanto dall’agente. Devono farle rispettare l’API, il server e l’integrazione del client.
Che cosa può fare un agente tramite il server MCP
La versione descritta nel testo originale offre oltre 200 strumenti, suddivisi all’incirca nei gruppi seguenti. Quelli effettivamente disponibili dipendono da versione, configurazione, permessi e piano:
| Area | Esempi |
|---|---|
| Domini e DNS | Aggiungere domini, consultare i record necessari, avviare verifiche DNS, applicare configurazioni tramite Cloudflare e riprovare la configurazione DKIM |
| Caselle di posta | Creare, elencare, aggiornare, sospendere, cambiare password, gestire alias e inoltri e ripristinare dal cestino |
| Messaggi | Leggere, cercare, inviare, rispondere, inoltrare, preparare bozze, programmare invii, spostare, contrassegnare e segnalare spam o messaggi legittimi |
| Cartelle e regole | Creare e rinominare cartelle, gestire filtri, caricare codice Sieve e impostare risposte automatiche |
| Contatti e calendario | Creare e aggiornare contatti e gruppi, importare ed esportare e creare e aggiornare eventi |
| Drive | Esplorare, caricare, spostare, condividere, eseguire operazioni in blocco e gestire password per i dispositivi di sincronizzazione |
| Migrazione | Provare connessioni, avviare importazioni, seguire l’avanzamento per cartella, annullare e riprovare |
| Recapitabilità | Consultare riepiloghi di invio e consegna e mancati recapiti per destinatario con la risposta SMTP del server ricevente |
| Identità del marchio | Configurare il marchio personalizzato per dominio, ottenere i CNAME necessari e verificare il DNS |
| Assistenza e fatturazione | Consultare ticket, fatture e stato del piano |
Alcuni strumenti evitano di fornire segreti al modello. Le impostazioni del client di posta si possono ottenere come dati strutturati: server, porte e nomi utente per Outlook, senza la password della casella. Sono disponibili anche profili di configurazione per Apple Mail. L’agente può aiutare un dipendente a configurare la posta senza conoscere la sua password. Altri strumenti possono trattare credenziali: controllane separatamente permessi e risposte.
Perché separare i token
Per i token statici, una decisione importante è separare l’accesso all’infrastruttura da quello al contenuto dei messaggi. Nelle connessioni OAuth contano anche i permessi concessi durante l’autorizzazione.
Token amministrativo (tm_live_) | Token dei messaggi (tm_msg_) | |
|---|---|---|
| Accesso | Domini, caselle, DNS, inoltri, fatturazione e migrazioni, entro i permessi concessi | Contenuto dei messaggi, cartelle, allegati, contatti e calendario, entro i permessi concessi |
| Non consente direttamente | Leggere il corpo di un messaggio tramite l’API dei messaggi | Creare una casella o modificare il DNS |
| Uso abituale | Script di provisioning o assistente amministrativo | Assistente che organizza la posta in arrivo |
La separazione limita la portata di un errore. Un’automazione che crea caselle per i nuovi dipendenti non deve leggerne la posta. Un assistente che prepara risposte non deve eliminare domini. Tuttavia, permessi amministrativi estesi per gestire token dei messaggi, password o inoltri possono aprire una via indiretta di accesso alla posta. Limita i poteri effettivi, non soltanto il tipo di token.
La fuga di un token amministrativo resta quindi un incidente grave. Non legge direttamente il corpo dei messaggi, ma le conseguenze dipendono da ciò che può modificare o creare.
Permessi generali e granulari
All’interno di ogni tipo di token, i permessi restringono ulteriormente l’accesso. OAuth combina gruppi comprensibili per l’utente con controlli più precisi nell’API.
Lo schema originale mostrava cinque gruppi generali di permessi nella schermata di consenso: mail:read, mail:write, mail:admin, messages:read e messages:send. Un elenco breve è più facile da valutare di decine di dettagli. Ora esistono permessi aggiuntivi. Leggi quindi la schermata effettiva: gestire bozze e inviare messaggi, per esempio, sono capacità distinte.
L’API verifica i permessi granulari per ogni operazione. Leggere la configurazione degli inoltri e modificarla richiede, per esempio, autorizzazioni diverse. Gruppi semplici quando si concede l’accesso non devono sostituire controlli precisi durante l’esecuzione.
I permessi dipendono anche dal piano e dalle funzionalità attuali dell’account. Nel testo originale, Nano è limitato alla verifica degli indirizzi, Starter offre lettura e verifica, mentre Pro e Agency consentono più operazioni. I diritti attuali possono includere capacità aggiuntive, come quelle di Drive o di servizi acquistati separatamente. Controlla i permessi disponibili quando emetti il token, anziché basarti solo sul nome del piano.
Regola pratica: emetti un token per ogni automazione con i permessi minimi necessari. Non riutilizzarlo per attività diverse. Un token condiviso da più script ne somma i poteri e rende difficile individuare quale abbia eseguito un’azione. Consulta ambiti e permessi dell’API.
Confermare le operazioni distruttive
Una risposta sicura del modello non significa che abbia scelto la risorsa giusta. Fidarsi di questa sicurezza è particolarmente rischioso quando si elimina qualcosa.
Per eliminare una casella, la prima chiamata crea un’intenzione di eliminazione che non elimina nulla. Descrive ciò che accadrebbe dopo la conferma e restituisce informazioni sulla risorsa e sui rischi, comprese le configurazioni collegate e le migrazioni attive. Per impostazione predefinita, scade dopo dieci minuti. Non presumere che questo procedimento valga per i domini: la loro eliminazione segue un altro flusso.
La chiamata successiva conferma l’intenzione e richiede un’intestazione di conferma esplicita. Controllare le conseguenze tra le chiamate aiuta, ma non garantisce protezione: un agente con entrambi gli strumenti può eseguire entrambi i passaggi. Se serve l’approvazione di una persona, predisponi una verifica indipendente e limita l’accesso alla conferma.
La casella eliminata passa prima nel cestino. Può essere ripristinata durante il periodo di conservazione, ma non dopo la rimozione definitiva. I domini non hanno un cestino equivalente. L’API rifiuta di eliminare domini con caselle attive e richiede di risolvere i collegamenti con i domini alias. L’eliminazione dell’account ha conseguenze proprie e non diventa reversibile grazie alla procedura delle caselle.
Invii e migrazioni hanno restrizioni specifiche. Consulta misure di protezione e intenzioni di eliminazione.
Idempotenza e nuovi tentativi
Dopo un timeout, l’agente può ripetere la richiesta, come qualsiasi client. Se l’operazione è già riuscita e si è persa solo la risposta, un nuovo tentativo senza precauzioni può creare di nuovo la risorsa.
Per le operazioni interessate che modificano dati, l’API usa una chiave di idempotenza. Ripeti la stessa richiesta con la stessa chiave finché il risultato resta memorizzato. L’API può così restituire la risposta salvata anziché eseguire di nuovo l’operazione. Cambiare i dati con la stessa chiave genera un conflitto: il meccanismo non è una garanzia senza scadenza contro i duplicati. Conta sia per creare caselle sia per inviare messaggi. Un invio doppio fa una cattiva impressione al cliente.
I limiti possono valere per token, account o casella. Quando una richiesta viene rifiutata per il superamento di un limite, il client deve rispettare Retry-After e attendere. Le operazioni distruttive hanno limiti più severi. Questi frenano un ciclo errato, ma non annullano i danni delle azioni già eseguite.
A che cosa serve il registro di audit
Il pannello mostra eventi di audit con token, operazione, risorsa e data. Il periodo di conservazione predefinito è di 90 giorni. Non significa che ogni chiamata venga registrata: la copertura dipende dall’operazione e dalle impostazioni, e le letture dei messaggi possono essere registrate a campione.
Il registro non serve soltanto per i resoconti. Aiuta a ricostruire le azioni quando non puoi osservare l’agente in continuazione. Per esempio, permette di cercare chi ha impostato un inoltro verso un indirizzo sconosciuto. Non sostituisce però le restrizioni di accesso e non contiene necessariamente informazioni sufficienti per rispondere a qualsiasi domanda.
Aiuta anche a individuare attività inattese di un token. Revocare un token specifico limita le chiamate future di quell’automazione. Le azioni già compiute e le altre credenziali ancora valide vanno controllate separatamente.
Automazioni utili
Le attività più utili sono spesso le meno appariscenti.
Ingresso e uscita dei dipendenti.Un nuovo dipendente ha bisogno di casella, alias, gruppi e istruzioni di configurazione. Quando lascia l’azienda, occorre revocare gli accessi e decidere come gestire inoltri e archiviazione. L’automazione aiuta a seguire una lista di controllo, ma il risultato va comunque verificato. Non garantisce un’esecuzione corretta in ogni caso.
Provisioning dei domini per i clienti di un’agenzia.Aggiungere il dominio, configurare il DNS, creare le caselle, verificare e preparare un rapporto. Le fasi ripetitive di configurazione si prestano all’automazione entro i permessi concordati.
Monitoraggio della recapitabilità.Recuperare i mancati recapiti con la risposta SMTP del server ricevente, raggruppare le cause ed evidenziare probabili errori di configurazione. Un riepilogo settimanale può segnalare problemi con un record SPF, ma non garantisce di rilevare tutti i difetti di consegna.
Supervisione delle migrazioni.Avviare un lotto, seguire l’avanzamento per cartella, esaminare gli errori e preparare un rapporto di verifica. Un’attività conclusa non dimostra che la copia sia completa; vedi migrazione della posta in blocco.
Organizzazione della posta in arrivo con accesso di sola lettura.L’agente può riassumere messaggi e proporre categorie. Il token non permette di inviare, ma nemmeno di cambiare contrassegni senza un permesso di scrittura. Per applicare categorie e contrassegni, concedi solo i diritti necessari, senza autorizzazione all’invio.
Che cosa evitare
Non concedere tutti i permessi a un token solo per semplificare la configurazione. Potrebbe essere ancora attivo anni dopo con poteri eccessivi.
Non lasciare che l’agente invii da solo a destinatari esterni prima di aver valutato la qualità delle bozze. Preparare bozze e inviare richiede permessi distinti, anche se alcuni gruppi generali possono includere entrambe le capacità. Controlla i diritti effettivamente concessi.
Non conservare token nel repository.Usa variabili d’ambiente o un gestore di segreti escluso da Git. Controlla anche che i segreti non compaiano nei registri o nelle risposte degli strumenti.
Non ignorare il registro di audit.Consultalo nella prima settimana. Confronta gli eventi con le azioni attese e individua le operazioni che non vengono registrate.
Non automatizzare l’eliminazione dei domini.Non hanno un cestino. Queste operazioni richiedono una persona che controlli la risorsa e le conseguenze, non che ripeta soltanto la conferma del modello.
Domande frequenti
Quali client IA funzionano con il server MCP?
Applicazioni compatibili con MCP, come Claude Desktop, Claude Code, Cursor e Windsurf. Il protocollo semplifica l’integrazione, ma occorre verificare trasporto, autorizzazione, versione del client e configurazione della connessione.
L’agente può leggere la mia posta?
Per leggere direttamente tramite l’API dei messaggi, serve un token dei messaggi con permesso di lettura oppure un’autorizzazione OAuth adeguata. Un token amministrativo non legge direttamente il corpo dei messaggi. Tuttavia, diritti estesi per creare token, cambiare password o impostare inoltri possono aprire un accesso indiretto. Non concederli senza necessità.
Che cosa impedisce all’agente di eliminare una risorsa importante?
Per le caselle è prevista un’intenzione di eliminazione che scade per impostazione predefinita dopo dieci minuti, seguita da una conferma con intestazione esplicita. La casella è ripristinabile dal cestino prima della rimozione definitiva. Questo non garantisce un controllo umano. L’eliminazione dei domini segue un altro flusso, non ha un cestino e non dovrebbe essere autonoma.
Il server MCP invia la mia posta al fornitore di IA?
I dati ottenuti dall’agente possono arrivare al modello utilizzato, a seconda del client e del luogo di esecuzione. Con un modello cloud, ciò può comportare un trasferimento a un fornitore esterno; l’elaborazione locale è diversa. Limita l’accesso, verifica le condizioni di trattamento dei dati e le vie indirette per ottenere la posta. Impedire la lettura diretta non garantisce da solo l’assenza di fughe di dati.
Serve un token distinto per le operazioni sui messaggi?
I token statici usano tipi diversi per infrastruttura e messaggi. Con OAuth contano anche i permessi concessi e i token creati per la connessione. La separazione riduce il rischio, ma non rende sicuri tutti i diritti amministrativi estesi.
Che cosa succede se l’agente raggiunge un limite?
La richiesta viene rifiutata. Il client deve rispettare Retry-After e riprovare più tardi, se opportuno. I limiti delle operazioni distruttive sono più severi, ma non garantiscono che un ciclo errato si fermi prima di causare danni.
Posso vedere che cosa ha fatto l’agente la settimana scorsa?
Il registro del pannello mostra gli eventi memorizzati, il token e la risorsa interessata. Per impostazione predefinita, restano per 90 giorni. Considera la copertura e il campionamento di alcune letture: non tutte le chiamate compaiono necessariamente nel registro.
L’accesso al server MCP costa di più?
La descrizione originale include API e MCP nel piano: Nano è dedicato alla verifica degli indirizzi, Starter offre operazioni limitate e Pro e Agency ampliano le capacità. Controlla le funzionalità attuali dell’account e i suoi permessi. Servizi aggiuntivi, crediti consumati e uso di un modello esterno possono essere fatturati separatamente.
