Synapse MCPは、広告・EC・分析などの媒体データをAIクライアントから参照するための接続ハブです。担当先ごとにプロジェクトを分け、接続媒体、MCPキー、閲覧権限を管理します。
AIへ渡るのは、接続済み媒体から取得したレポート結果や、選択したドキュメント・シートの本文です。媒体のAPIキーやOAuthトークンなどの認証情報は、MCPの応答に含めません。
経営としての取り組み方針は情報セキュリティ基本方針に定めています。取引先審査でご確認が必要な場合は、あわせてご参照ください。
- MCPはURLだけでは利用できません
- 媒体の認証情報は暗号化して保存します
- MCPキー本体はサーバー側に保存しません
- 参照範囲はプロジェクト単位で分かれます
- 不要なキーや接続は削除できます
データの扱い
プロジェクト単位で分離
接続媒体、MCPキー、MCPリンクはプロジェクトに紐づきます。あるプロジェクト用のMCP認証情報から、別プロジェクトの接続先を読む設計ではありません。
MCPの入口を認証
Claude CodeやCursor向けのMCP URLはBearerキーが必要です。claude.ai / Desktop向けのMCPリンクは、リンクに加えてOAuth認証とプロジェクト閲覧権限を確認します。
認証情報はAIに返さない
媒体APIを呼び出すためのOAuthトークン、APIキー、client secretはサーバー側で扱います。MCPツールの返答にこれらの秘密情報を含めません。
参照系ツールとして提供
公開しているMCPツールは、接続一覧、広告・EC・分析レポート、選択済みDocs/Sheetsの読み取りなど参照用途です。広告配信や注文処理を変更するMCPツールは提供していません。
実装上の管理
| 媒体の認証情報 | 接続クレデンシャルは暗号化してデータベースに保存します。取得時はサーバー側で復号し、媒体APIの呼び出しに使います。 |
|---|---|
| MCP Bearerキー | キー本体は発行時だけ表示します。サーバー側にはキーのハッシュを保存し、照合に使います。 |
| MCPリンク | Web/Desktop用リンクのトークンもハッシュで保存します。利用時はOAuthトークンを検証し、ユーザーが該当プロジェクトを閲覧できるか確認します。 |
| アクセスログ | MCPツールから媒体データへアクセスした時、プロジェクト、媒体、利用者またはキー、時刻を記録します。 |
| 失効と削除 | MCPキー、MCPリンク、媒体接続はプロジェクト画面から失効・削除できます。媒体側で発行したAPIキーやOAuth連携は、媒体管理画面でも無効化できます。 |
よくある確認
担当先の情報が外に漏れませんか？
管理画面はログインと組織権限で制御し、MCPはキーまたはOAuth付きリンクで認証します。ただし、AIクライアントに接続した媒体レポートや選択済みDocs/Sheetsの内容は、質問への回答としてAI側に渡ります。接続する媒体・ファイルは必要な範囲に絞ってください。
APIキーやOAuthトークンはどう保管されますか？
媒体接続に必要な秘密情報は、暗号化して弊社管理環境に保存します。MCPキーについては、キー本体ではなくハッシュを保存します。
MCPのURLを知っていれば誰でも使えますか？
使えません。Bearerキー方式ではURLに加えてキーが必要です。Web/Desktop用リンクでは、リンクに加えてOAuth認証とプロジェクト閲覧権限が必要です。
支援会社のメンバーなら誰でも見られますか？
組織メンバーであることに加え、ロールやプロジェクト権限で利用範囲を管理します。担当外のプロジェクトを見せたくない場合は、プロジェクト権限を分けてください。
運営側は何を扱いますか？
サービス提供、接続確認、障害調査、サポート対応に必要な範囲で、権限を持つ担当者が管理情報を扱う場合があります。媒体の認証情報をAIへ開示する運用ではありません。
Bearerキーはパスワードに近い扱いです。チャットやチケットに貼らず、担当変更時は失効してください。Google DocsやSheetsを接続する場合は、AIに読ませてよいファイルだけを選択してください。