Zum Hauptinhalt springen

​
Was ist MCP?

Das Model Context Protocol ermöglicht es KI-Assistenten, Tools mit strukturierten Argumenten aufzurufen. Der MCP-Server von Ovra stellt den vollständigen agentischen Payment-Lifecycle über 10 konsolidierte Tools bereit — jedes mit mehreren Aktionen.

​
Unterstützte Clients

​
Tool-Überblick

ToolAktionenBeschreibung
ovra_agentlist, create, get, update, fund, token_list, token_create, token_revokeAI-Agents und deren begrenzte Auth-Tokens verwalten
ovra_intentlist, create, get, approve, deny, cancel, verifyPayment-Intents deklarieren und verwalten
ovra_checkoutexecute, token, detect, fillZero-knowledge Checkout — Browser-Fill und API-execute
ovra_cardlist, freeze, unfreeze, close, rotate, spend_limit, sensitive (deprecated), access_list, access_get, access_requestVirtuelle Cards verwalten und Zugriffs-Audit-Trail
ovra_policyget, update, simulate, template_list, template_create, template_delete, template_applyAusgaberegeln und Guardrails konfigurieren
ovra_transactionlist, get, memo, evidence_list, evidence_attachZahlungshistorie einsehen und Belege anhängen
ovra_disputelist, get, create, resolve, rejectZahlungsstreitigkeiten einreichen und verwalten
ovra_customerget, update, gdpr_export, gdpr_consent, gdpr_deleteKontoprofil und GDPR-Compliance
ovra_merchantresolve, explain, list_mcc, suggestMerchant-Intelligence für Policy-Allowlists
ovra_configkey_list, key_create, key_revoke, webhook_list, webhook_create, webhook_deleteAPI keys und Webhooks
Jedes Tool nutzt einen action-Parameter zur Auswahl der Operation. Dieses konsolidierte Design hält die Gesamtzahl der Tools niedrig (10 statt 30+), um die Nutzung des LLM-Kontextfensters zu minimieren, und deckt gleichzeitig die gesamte API-Oberfläche ab.

​
Checkout-Pfade

  • Browser: ovra_checkout mit action: "token" → action: "detect" (optional) → action: "fill" mit { token, cdpBaseUrl }. Ovra injiziert Card-Credentials über DevTools HTTP — der Agent sieht sie nie.
  • API execute: ovra_checkout mit action: "execute" für API-seitige Belastung gegen eine HTTPS-targetUrl mit genehmigtem Intent.
Mit dem Übergang zu Visa Network Tokens sind injizierte oder serverseitig aufgelöste Credentials Visa-ausgestellte Network Tokens mit Transaktionskryptogrammen — keine rohen PANs.

​
Sicherheitsmerkmale

  • Input-Validierung — Pflichtparameter werden vor API-Aufrufen geprüft; IDs werden gegen Path-Traversal bereinigt
  • Response-Redaction — PAN, CVV, API keys und Webhook-Secrets werden maskiert, bevor sie in den Modellkontext gelangen
  • Bestätigungsschwellen — destruktive Aktionen (card/close, gdpr_delete, key_revoke) erfordern confirm: true
  • URL-Validierung — Webhook-URLs und die targetUrl bei execute müssen HTTPS nutzen; private/lokale Adressen sind wo zutreffend blockiert
  • Tool-Annotationen — jedes Tool trägt Metadaten readOnlyHint, destructiveHint, idempotentHint für sichere Client-UX