kl_live_ é a sessão do assistente. Ela pertence a um usuário numa empresa e carrega as permissões dessa pessoa.
O segredo completo volta só na resposta de criação. A listagem mostra o prefixo, o nome e o status.
Criar
A criação usa o JWT normal da KingLog, o mesmo da sessão logada no produto.COMPANY_ID e USER_ID são UUIDs. O nome tem de 1 a 80 caracteres.
A resposta traz três partes:
key: id, nome, prefixo, status e, se houver, as permissões restritassecret: a chavekl_live_..., exibida uma vezconfigs: o JSON para colar no Cursor e no Claude, já com a URL do assistente e a chave
secret nesse momento. Uma listagem depois devolve o prefixo, nunca o segredo de novo. Cole o configs como está em MCP Server. Se a URL dentro dele ainda for um texto de exemplo, use a URL que a KingLog passou para o seu ambiente.
Restringir o que a chave faz
Semgrants, a chave age com as permissões atuais da conta na empresa.
Com grants, ela fica limitada àquele conjunto. Cada item é um par resource e action. A API recusa uma permissão que a conta não tem, com o código MCP_API_KEY_GRANT_FORBIDDEN.
O catálogo do que a conta pode conceder está em:
Listar
id, name, prefix, createdAt, lastUsedAt, status (active ou revoked) e limited.
Há no máximo 10 chaves ativas por usuário na empresa. Ao passar disso, a criação responde MCP_API_KEY_LIMIT.
Uso
from, to e q são opcionais. Cada linha guarda método, caminho, status HTTP e data. O corpo da requisição não entra no log.
Revogar
Troca pela sessão
O cliente MCP chama isto sozinho. Você não cola o JWT curto em lugar nenhum.companyId e userId. Chave ausente, malformada ou revogada responde MCP_API_KEY_INVALID.