Credenciais

O Guida armazena credenciais (chaves de API, tokens, senhas, strings de conexão) criptografadas com Windows DPAPI. Elas ficam vinculadas à sua conta de usuário do Windows; somente esse usuário pode descriptografá-las.

Gerenciar credenciais

Abra o painel Secrets para adicionar, visualizar e excluir credenciais. Cada credencial tem:

• Name — identificador usado para referenciar a credencial, por exemplo API_TOKEN ou my-postgres
• Value — conteúdo criptografado, mostrado mascarado na interface
• Description — notas opcionais sobre a finalidade da credencial

A barra de ferramentas oferece Add Secret para credenciais genéricas chave-valor, além de botões dedicados para Add S3 Connection, Add MongoDB, Add PostgreSQL e Add Elasticsearch, que abrem diálogos tipados com os campos corretos.

Diálogos tipados mantêm campos de conexão estruturados e armazenam as credenciais resultantes criptografadas para seu usuário Windows.

Usar credenciais em scripts

Leia o valor descriptografado de uma credencial com g.secrets.getSecret():

async function main() {
  const token = await g.secrets.getSecret("API_TOKEN");

  const response = await g.http.makeHttpRequest({
    url: "https://api.example.com/data",
    headers: { "Authorization": "Bearer " + token }
  });
}

Credenciais de conexão com banco

O painel Secrets tem diálogos dedicados para adicionar conexões de banco. Cada diálogo coleta os campos corretos do serviço, sem exigir que você monte strings de conexão manualmente.

Botão	Campos do diálogo	Usado por
Add S3 Connection	Name, Endpoint, Access Key, Secret Key, Region, Session Token	g.s3.*
Add MongoDB	Name, Connection String	g.mongodb.*
Add PostgreSQL	Name, Connection String	g.postgres.*
Add Elasticsearch	Name, URL, Auth Mode (API Key, Basic, None), Credentials	g.elasticsearch.*

Credenciais de conexão com banco são referenciadas por nome nos scripts, sem embutir credenciais no código.

Depois de salvar, referencie a credencial pelo nome em seus scripts:

// A credencial "my-mongo" contém a string de conexão MongoDB
const docs = await g.mongodb.find("my-mongo", "extracao", "products", {
  price: { $lt: 20 }
});

Veja Integrações com bancos de dados para guias completos de configuração e exemplos.

Usar credenciais em ferramentas personalizadas

Ferramentas personalizadas oferecem suporte a templates {{SECRET_NAME}} no campo headers. O template é resolvido no momento da execução; o agente de IA nunca vê os valores dos cabeçalhos:

{
  "tools": [
    {
      "name": "fetch-data",
      "description": "Busca dados da API",
      "script": "scripts/fetch.js",
      "headers": {
        "Authorization": "Bearer {{API_TOKEN}}",
        "X-Api-Key": "{{API_KEY}}"
      }
    }
  ]
}

Segurança MCP

Credenciais são projetadas para ficarem invisíveis a agentes de IA conectados por MCP:

Valores de credenciais nunca são expostos via MCP

A ferramenta MCP SecretsList retorna apenas nomes e descrições, nunca valores descriptografados. Não há ferramenta MCP para ler valores de credenciais.

Scripts originados por MCP não podem ler credenciais

Quando um agente de IA executa um script via MCP, as chamadas g.secrets.getSecret() desse script são bloqueadas e lançam erro. Isso impede a cadeia de exfiltração:

1. A IA manda o Guida executar um script
2. O script lê uma credencial com g.secrets.getSecret()
3. O script grava o valor em g.store
4. A IA lê o valor de g.store

A etapa 2 é bloqueada: g.secrets.getSecret() verifica a origem do script e recusa solicitações originadas por MCP.

Isso também se aplica a integrações com bancos de dados: g.s3.*, g.mongodb.*, g.postgres.* e g.elasticsearch.* são bloqueados para scripts originados por MCP porque resolvem credenciais de conexão internamente.

Processos de trabalho das filas iniciados por MCP também são bloqueados: processos herdam a origem de quem os iniciou.

O que scripts originados por MCP podem fazer

• Ferramenta MCP SecretsList — listar nomes de credenciais, não valores
• Usar credenciais indiretamente por templates de headers em ferramentas personalizadas; o script nunca vê o valor resolvido

Próximos passos

• Integrações com bancos de dados — use credenciais de conexão com armazenamento compatível com S3, MongoDB e PostgreSQL
• Mecanismos de pesquisa — conecte-se a clusters Elasticsearch externos
• Ferramentas personalizadas — use cabeçalhos apoiados por credenciais em ferramentas MCP
• Integração MCP — visão geral do modelo de segurança
• Código aberto e código fechado — como isolamento de credenciais, auditoria MCP e a camada fechada de automação de navegador se encaixam
• Referência da API — assinatura de g.secrets.getSecret()