Token dan izin
Apa yang bisa dan tidak bisa dilakukan asisten AI di MyPlan, tergantung jenis token, akses, peran, dan paket.
Asisten AI yang terhubung lewat MCP tidak punya hak sendiri. Setiap tool memanggil API MyPlan dengan token Anda, jadi hasilnya ditentukan oleh empat lapisan berikut.
1. Jenis token: akun atau workspace
Token akun mpa_ | Token workspace mp_ | |
|---|---|---|
| Didapat dari | OAuth (Izinkan di halaman persetujuan), atau Pengaturan akun → Token API | Pengaturan workspace → CI & GitHub |
| Jangkauan | Semua workspace yang Anda ikuti | Satu workspace |
Parameter workspace di tool | Wajib jika Anda punya lebih dari satu workspace | Tidak perlu |
| Paket | Semua paket | 1 token di paket Free, tanpa batas di Team ke atas |
Pilih token workspace jika Anda ingin asisten tidak bisa menyentuh workspace lain sama sekali.
2. Akses: hanya baca atau baca dan tulis
- Hanya baca: asisten bisa memakai tool baca (misalnya
list_work_items,get_page,workspace_analytics). Tool yang mengubah data gagal dengan pesan bahwa token hanya baca. - Baca dan tulis: semua tool bisa dipakai, dengan batas peran di bawah.
Setiap tool di Referensi tool ditandai Hanya baca atau Menulis. Klien MCP memakai tanda
ini (readOnlyHint) untuk memutuskan kapan meminta konfirmasi Anda.
3. Peran Anda
Asisten tidak bisa melakukan lebih dari Anda. Contohnya:
- Sebagai Pelihat di sebuah proyek, Anda (dan asisten) hanya bisa membaca proyek itu.
- Hanya admin workspace yang bisa mengelola anggota, undangan, dan pengaturan workspace.
- Proyek Terbatas yang tidak Anda ikuti tidak terlihat sama sekali; asisten akan melaporkannya sebagai tidak ditemukan.
Lihat Izin untuk matriks peran lengkap.
4. Paket workspace
Fitur berbayar mengikuti paket workspace. Jika asisten mencoba membuat objek dari fitur yang tidak termasuk paket
(misalnya teamspace di paket Team), MyPlan menolak dengan error 402 plan_required dan asisten akan menyampaikan pesannya.
Batas jumlah seperti proyek aktif, penyimpanan, kuota fitur, dan kuota MCP bulanan juga berlaku (project_limit, storage_limit, quota_reached, mcp_quota). Membaca data yang
sudah ada tidak pernah diblokir oleh paket.
Yang tidak pernah bisa dilakukan
Apa pun akses dan perannya, token yang dipakai MCP tidak bisa:
- membuat, melihat, atau mencabut token, termasuk token dirinya sendiri;
- mengubah akun, profil, kata sandi, cara masuk, autentikasi dua langkah, atau sesi Anda;
- membuat workspace baru atau menghapus workspace;
- menerima undangan workspace atas nama Anda;
- mengunggah file.
Tool yang menghapus data permanen (misalnya delete_work_item atau delete_project) tetap ada untuk pemakai dengan
peran yang cukup. Deskripsi delete_work_item meminta asisten memilih archive_work_item jika memungkinkan, dan klien seperti Claude
meminta konfirmasi sebelum menjalankan tool yang menulis.
Tips keamanan
- Mulailah dengan Hanya baca; ubah ke Baca dan tulis saat Anda sudah nyaman.
- Buat token terpisah untuk setiap klien dan beri nama yang jelas, supaya mudah dicabut satu per satu.
- Periksa kolom Terakhir dipakai di Token API secara berkala dan cabut yang tidak dikenal.
- Pantau pemakaian di menu MCP; lihat Pemantauan dan keamanan.
- Koneksi OAuth yang tidak dipakai 90 hari berakhir sendiri dan perlu dihubungkan ulang.
- Semua perubahan oleh asisten tercatat atas nama Anda di riwayat work item dan audit log, sama seperti perubahan manual.