Salesforce MCP: o que é e como governar

O Salesforce MCP é o conjunto de servidores e clientes com que a Salesforce implementa o Model Context Protocol, o padrão aberto que permite a um agente de IA ler dados e executar ações em um sistema externo. Em 2026 ele deixou de ser assunto de desenvolvedor e virou um canal de acesso à org, com servidores oficiais hospedados pela própria Salesforce, um cliente nativo dentro do Agentforce, pontuação de risco para servidores de terceiros e, a partir de novembro, um modelo de registro e cobrança para cada agente que conversa com a plataforma.

A diferença para o gestor de TI é de natureza. Uma integração tradicional tem dono, escopo e contrato. Uma conexão MCP é aberta por um usuário em três cliques dentro do Claude, do ChatGPT ou do Cursor, herda as permissões desse usuário e passa a executar o que o modelo de linguagem decidir executar. A Salesforce desenhou controles para isso, mas quase todos estão desligados por padrão e dependem de uma decisão administrativa: quais servidores ligar, para quem, com que ferramentas, com que registro e a que custo.

Este guia explica o que é o MCP, onde ele aparece no Salesforce, o que a plataforma garante sozinha, o que fica a cargo da sua org e o que muda com a Agentic Identity e a cobrança em Flex Credits. Já tratamos de como o Claudeforce coloca o Salesforce dentro do Claude e de o que o Winter ‘27 impõe à sua org. O MCP é a infraestrutura comum por baixo dos dois.

O que é o Salesforce MCP?

O Salesforce MCP é a implementação, pela Salesforce, do Model Context Protocol (MCP), padrão aberto criado pela Anthropic e doado em dezembro de 2025 à Agentic AI Foundation, da Linux Foundation. No Salesforce ele aparece em três formas: os Hosted MCP Servers, servidores hospedados pela Salesforce que expõem registros, Flows, Apex, Data 360 e Tableau a clientes como Claude, ChatGPT e Cursor; o MCP for Agentforce, cliente nativo que permite a um agente do Agentforce consumir servidores de terceiros registrados e pontuados por risco; e o Salesforce DX MCP Server, ferramenta de código aberto para desenvolvedores. Cada chamada roda com as permissões do usuário autenticado, exige uma External Client App e, com a Agentic Identity prevista para novembro de 2026, passa a ser registrada e medida em Flex Credits.

A documentação oficial do protocolo usa uma imagem útil: o MCP é a porta USB-C das aplicações de IA. Em vez de um conector proprietário para cada ferramenta, um padrão único liga qualquer cliente compatível a qualquer fonte de dados ou sistema. Claude, ChatGPT, Visual Studio Code e Cursor já falam MCP. A Salesforce descreve o seu uso com a mesma lógica: configura-se o servidor uma vez e qualquer cliente MCP se conecta por OAuth, em vez de uma integração sob medida para cada assistente de IA que o time adota.

Para a Salesforce, o MCP é também a espinha dorsal de uma estratégia maior. No TDX 2026, em abril, a empresa apresentou o Headless 360, a ideia de desacoplar a plataforma do navegador para que agentes construam, ajam e entreguem em qualquer superfície. No Dreamforce, em setembro, a camada ganhou o nome AIforce, e em 9 de outubro de 2026 Marc Benioff a rebatizou SIforce. O nome muda, a arquitetura não: o Headless Toolkit expõe cada capacidade da plataforma por API, MCP ou linha de comando, e o MCP é o caminho que os agentes externos usam.

Onde o MCP aparece no Salesforce

O erro mais comum é tratar “o MCP da Salesforce” como uma coisa só. São três produtos com públicos, controles e modelos de cobrança diferentes.

Forma	O Salesforce é	Quem usa	Para quê	Controle principal
Hosted MCP Servers	Servidor	Usuários com Claude, ChatGPT, Cursor, Postman ou Agentforce Vibes	Ler e alterar registros, rodar Flows e Apex, consultar Data 360 e Tableau de dentro de um assistente de IA	External Client App, servidores ligados pelo admin, permissões do usuário
MCP for Agentforce	Cliente	Agentes do Agentforce	Chamar ferramentas de servidores de terceiros (logística, ERP, bases externas) dentro de um agente	Registro do servidor, allowlist de ferramentas, MCP Risk Scores
Salesforce DX MCP Server	Ferramenta de desenvolvimento	Desenvolvedores em IDEs e assistentes de código	Implantar metadados, rodar testes, analisar código, operar DevOps Center por linguagem natural	Allowlist de orgs no próprio servidor, código aberto

Há ainda servidores MCP de produtos vizinhos, como Slack, Heroku, MuleSoft e Marketing Cloud Engagement, e o servidor pré-construído que a Anthropic e a Salesforce entregam dentro do plugin Salesforce in Claude. Eles seguem a mesma lógica dos Hosted MCP Servers: o Salesforce como fonte de dados e ações, o assistente de IA como interface.

1. O Salesforce como servidor: Hosted MCP Servers

Os Salesforce Hosted MCP Servers são servidores mantidos pela Salesforce que dão a um agente de IA um caminho governado para interagir com dados e automações da org. Segundo a documentação para desenvolvedores, eles permitem operações em objetos padrão e personalizados respeitando segurança em nível de campo e regras de compartilhamento, expõem Apex Invocable Actions, métodos @AuraEnabled, Apex REST, Flows e Named Queries como ferramentas sem código de conector, dão acesso a consultas SQL no Data 360 e a análises do Tableau, e entregam templates do Prompt Builder como prompts MCP. A autenticação é OAuth 2.0 por usuário, com PKCE obrigatório.

A Salesforce colocou os Hosted MCP Servers em disponibilidade geral no TDX 2026, e desde então a lista de servidores cresce a cada release. O Winter ‘27 trouxe o servidor Content Read-Only em disponibilidade geral, com 18 ferramentas para o Salesforce CMS, o servidor Content Write, com 15 ferramentas para criar e gerenciar workspaces e conteúdo, e o servidor Metadata Grounding em beta, que dá aos agentes de desenvolvimento uma leitura semântica dos metadados da org.

Os servidores padrão

Os servidores padrão são pré-configurados pela Salesforce, vêm desligados e podem ser ativados pelo administrador, mas o conjunto de ferramentas de cada um não pode ser alterado. Todos exigem autenticação por usuário e aplicam o modelo de segurança padrão da plataforma a cada chamada.

Servidor	O que expõe	Status
SObject All	Criar, ler, atualizar e excluir registros, consultar e pesquisar em todos os objetos	Disponível
SObject Reads	Só leitura e consulta, sem alterações	Disponível
SObject Mutations	Criar e atualizar, sem excluir	Disponível
SObject Deletes	Só exclusão	Disponível
Backup and Recover	Descobrir e inspecionar backups, gerenciar política e conduzir a restauração guiada	Disponível
Content Read-Only e Content Write	Leitura e escrita de ativos do Salesforce CMS, workspaces, canais, conteúdo e pastas	Read-Only em disponibilidade geral no Winter ‘27
Data 360	Consultar dados unificados de cliente no Data 360 por SQL	Disponível, consome Flex Credits
Headless 360	Toda a amplitude de Setup e da plataforma por quatro ferramentas: Discover, Describe, Dispatch e Dispatch somente leitura	Beta
Metadata Grounding	Descobrir e reutilizar objetos, campos, LWC, usuários, permission sets, Flows e classes Apex de uma org conectada	Beta
Tableau Next	Descobrir modelos semânticos, consultar KPIs e executar análises	Disponível
CRM Analytics	Descobrir apps, inspecionar datasets, rodar SAQL e ler metadados de dashboards	Beta, só leitura, só em sandbox e scratch org

O servidor Headless 360 merece atenção à parte porque é o que mais se aproxima da promessa do AIforce. Em vez de expor milhares de recursos como ferramentas individuais, ele oferece quatro: Discover faz uma busca semântica no índice de operações da plataforma, Describe devolve o contrato técnico de uma operação, Dispatch executa, e Dispatch somente leitura executa apenas consultas. Os exemplos da documentação dão a dimensão: criar um usuário e atribuir um permission set, desativar a conta de alguém que saiu, criar uma Named Credential, montar uma integração que envia eventos à AWS quando contas mudam. A própria Salesforce recomenda configurar o cliente para pedir aprovação antes de qualquer ferramenta que altere configuração ou dados, e testar em sandbox antes de produção. Exige API 67.0 ou superior e uma External Client App com o escopo mcp_api.

Os servidores customizados

Os servidores padrão são imutáveis. Para combinar ferramentas de servidores diferentes em uma única URL, ou para expor lógica própria da org, o administrador cria servidores customizados em Configuração, em Integração, em Salesforce MCP Servers. A documentação usa a imagem do bufê e do prato: a Salesforce, os ISVs e os desenvolvedores internos colocam ferramentas no bufê; o admin monta o prato de cada persona. Um time recebe só ferramentas de leitura do CRM; outro recebe escrita e um Flow específico.

Um servidor customizado pode incluir Flows autolaunched, classes Apex com @InvocableMethod, métodos @AuraEnabled que já servem a componentes Lightning, endpoints Apex REST e APIs registradas no API Catalog, e pode ser implantado entre sandbox e produção por Metadata API. Pacotes gerenciados de ISVs ainda não carregam configurações de servidor MCP; o que o ISV pode fazer é entregar Apex e Flows com essas anotações, e o admin assinante monta o servidor na própria org.

A documentação dá exemplos de pratos: um servidor de vendas com leitura e escrita de registros, um Flow que registra notas de reunião como atividades e uma ação Apex que enriquece leads; um servidor de higiene de dados com consulta, exclusão e um Flow de deduplicação, apontado para um perfil que só data stewards usam; um servidor de relatórios com consulta SOQL, ferramentas do Tableau Next e SQL do Data 360, sem nenhuma escrita.

O que é preciso para ligar

Nada disso funciona sozinho, e esse é o ponto de governança mais importante. A sequência oficial é:

1. Criar uma External Client App em Configuração, com permissão de administrador de sistema, com o escopo mcp_api, PKCE e tokens JWT. Cada configuração de servidor MCP se vincula a uma External Client App. Connected Apps não servem para autenticação MCP. Essa exigência cai em cima da migração que o Winter ‘27 já pede: a Salesforce bloqueou a criação de novas Connected Apps no Spring ‘26 e encerra o suporte a elas no Summer ‘27.
2. Ativar os servidores em Configuração, no Quick Find, em MCP Servers, dentro do API Catalog. Eles ficam desligados por padrão, e a Salesforce é explícita sobre o motivo: capacidades que expõem dados da org a sistemas externos exigem uma ação intencional do administrador. A ativação leva até dois minutos.
3. Configurar o cliente com a URL do servidor e a consumer key da External Client App. A Salesforce testou Claude, ChatGPT, Cursor, Postman e Agentforce Vibes; outros clientes que suportam OAuth 2.0 Authorization Code com PKCE devem funcionar. A recomendação é começar pelo Postman, que chama as ferramentas direto e devolve JSON sem interpretação do modelo, para validar autenticação e respostas antes de ligar um assistente.
4. Testar com um pedido em linguagem natural pela interface do cliente.

No Agentforce Vibes, o ambiente de desenvolvimento da Salesforce, os servidores de plataforma vêm habilitados sem External Client App. É uma conveniência para o desenvolvedor e um ponto a conhecer para quem governa: o caminho de desenvolvimento não passa pelo mesmo portão do caminho de produção.

2. O Salesforce como cliente: MCP for Agentforce

O movimento inverso é o Agentforce consumindo servidores MCP de fora. A Salesforce apresenta o cliente MCP nativo do Agentforce com três componentes: um registro centralizado de servidores, que funciona como sistema de registro de todos os servidores MCP da empresa, inclusive entre orgs; segurança e governança sobre o framework de permissões da plataforma; e limitação de taxa para evitar sobrecarga. O admin registra o servidor, a plataforma descobre as ferramentas, o admin escolhe quais ficam permitidas, e essas ferramentas viram ações de agente no Agentforce Builder, sem código. Servidores prontos de parceiros ficam no AgentExchange.

Para quem opera o Agentforce hoje, as considerações oficiais do Winter ‘27 definem o que dá e o que não dá para fazer:

Aspecto	O que a Salesforce documenta
Edições	Enterprise, Performance, Unlimited e Developer, com licenças adicionais conforme o tipo de agente
Transporte	Só Streamable HTTP; HTTP+SSE e outros protocolos não são suportados
Autenticação do servidor	Sem autenticação ou OAuth 2.0 client credentials; authorization code, PKCE, JWT bearer e registro dinâmico de cliente não são suportados
Identidade do usuário	Não há autenticação em nível de usuário: o agente não consegue, por exemplo, dar um reembolso a um usuário específico, mas consegue buscar todas as faturas
Capacidades	Só ferramentas; apps, prompts e resources do servidor não são suportados
Cobrança	Ações de agente que chamam ferramentas MCP são cobradas na mesma taxa das demais ações de agente, com relatório no Digital Wallet
Tempo limite	60 segundos por chamada ao servidor; 120 segundos para o raciocínio do Atlas quando vários servidores são chamados
Implantação	O registro do servidor não é empacotado; ao implantar um agente em outra org, é preciso registrar o servidor, liberar as ferramentas e trocar as ações pelas geradas no destino

A ausência de identidade de usuário é a restrição que mais muda desenhos de agente. Um servidor MCP consumido pelo Agentforce opera com credenciais de aplicação, não da pessoa atendida. Qualquer caso de uso que dependa de “quem está pedindo” precisa resolver isso na lógica do agente ou no sistema de destino.

MCP Risk Scores e observabilidade

Servidor de terceiros é superfície de ataque. A Salesforce cita três vetores que controles em linguagem natural não pegam: injeção de prompt, envenenamento de ferramenta (uma descrição de ferramenta que instrui o modelo a fazer algo diferente do que anuncia) e o chamado rug pull, quando um servidor confiável muda de comportamento depois de registrado. A resposta, anunciada no Dreamforce 2026 e entregue no Winter ‘27 dentro do Security Center, são os MCP Risk Scores: cada servidor de terceiros é escaneado no registro no Agentforce, recebe uma pontuação Baixa, Média ou Alta com passos de remediação, e continua sendo monitorado depois, para que mudanças maliciosas pós-registro sejam sinalizadas. O admin passa a ter um lugar para ver o risco, definir políticas e bloquear servidores de risco alto.

Na mesma release, o Observability Center entra em beta para rastrear, quase em tempo real, sessões, erros e desempenho de agentes externos conectados por MCP ou API direta, sem escalar para engenharia. O Security Center é um complemento pago da plataforma; quem não o tem fica com os logs de API, que tratamos adiante.

3. MCP para quem desenvolve

O Salesforce DX MCP Server é um projeto de código aberto, sob licença Apache 2.0, publicado como pacote @salesforce/mcp no npm. Ele reúne mais de 60 ferramentas organizadas em toolsets: orgs, metadados, dados, usuários, testes, análise de código com o Code Analyzer, DevOps Center, componentes Lightning Web Components e Aura, mobile e desempenho de Apex com o ApexGuru. O desenvolvedor escreve “implante meus metadados” no chat do IDE e o modelo chama a ferramenta certa, com o resultado da implantação voltando ao modelo para decidir o próximo passo.

Três decisões de desenho do servidor importam para quem governa. Ele usa bibliotecas TypeScript diretamente, sem chamar a CLI, o que reduz o risco de execução remota de código. Não guarda segredos na configuração: lê os arquivos de autenticação já criptografados na máquina e passa nomes de usuário, nunca tokens, entre ferramentas. E só acessa as orgs explicitamente liberadas no parâmetro --orgs ao iniciar; o valor ALLOW_ALL_ORGS existe, e a própria documentação pede cautela. Por padrão só as ferramentas marcadas como disponíveis de forma geral ficam ativas; as demais exigem a flag --allow-non-ga-tools.

O servidor vem pré-configurado no Agentforce Vibes e tem instruções de configuração para Claude Code, Cline, Cursor, VS Code com Copilot, Trae, Windsurf e Zed. Ao lado dele, a Salesforce mantém o Metadata Experts e o Metadata API Context, servidores voltados à geração de metadados válidos. E, desde o Winter ‘27, o plugin Salesforce Development está no marketplace do Claude Code, empacotando skills, conectores MCP e configuração para quem desenvolve na plataforma com o Claude.

Para um time de desenvolvimento que opera uma org em produção, a pergunta prática é onde esses servidores apontam. Um DEFAULT_TARGET_ORG resolvido dinamicamente a cada chamada, como a documentação explica, significa que trocar a org padrão do projeto muda o alvo do agente de código. A allowlist de orgs no servidor e a separação de credenciais de produção são as duas linhas de defesa.

Segurança: o que a Salesforce garante e o que é seu

A documentação de boas práticas de segurança dos Hosted MCP Servers resume o modelo em uma frase: toda chamada de ferramenta roda com as mesmas permissões do usuário que autorizou a conexão. O agente tem o mesmo acesso a objetos, respeita a segurança em nível de campo e as regras de compartilhamento, e cada ação é atribuída ao usuário nomeado nas trilhas de auditoria. Se a pessoa não consegue fazer algo na interface Lightning ou pela API REST, não consegue pelo MCP. Não há contas de serviço, fluxos máquina a máquina nem operação autônoma fora do contexto de um usuário.

Isso é uma garantia e um alerta. Garantia porque o modelo de permissões que a sua org já tem é o que vale. Alerta porque é exatamente esse modelo que vai aparecer, em linguagem natural, na frente de cada usuário com um assistente de IA. Um perfil com “Visualizar todos os dados” que ninguém revisou desde a implantação vira, pelo MCP, um assistente que vê todos os dados. O que a plataforma faz por padrão:

• Só authorization code flow, com autenticação no navegador, para que toda transação rastreie a um usuário nomeado. Fluxos headless que driblariam o contexto do usuário são bloqueados.
• PKCE obrigatório em todos os fluxos OAuth.
• Servidores desligados por padrão, com ativação explícita pelo admin.
• Sem registro dinâmico de cliente. O admin cria e configura cada External Client App; nenhuma aplicação se registra sozinha.
• Logs de API com atribuição completa. O tráfego MCP aparece nos logs de API padrão, identificável pelo filtro API_CLIENT_CATEGORY igual a SALESFORCE_HOSTED_MCP, com operação, objeto acessado e horário, disponível em CSV diário ou por API. Ferramentas de monitoramento que já leem esses logs passam a enxergar o MCP sem configuração extra.

O que fica a cargo da org, e que a Salesforce recomenda em ordem crescente de abertura:

• Começar pelo servidor somente leitura (platform/sobject-reads), suficiente para responder perguntas, gerar relatórios e extrair insights sem risco de alteração.
• Named Queries, consultas SOQL definidas pelo admin como APIs reutilizáveis, para dar acesso a uma fatia do modelo de dados em vez de toda a superfície de consulta.
• Ferramentas customizadas com lógica embutida, em Apex, REST ou Flow, para regras condicionais que permissões padrão não expressam.
• Restrições na External Client App, vinculando-a a perfis e permission sets específicos para controlar quais usuários podem usar quais clientes MCP.
• Anotações de comportamento nas ferramentas customizadas. O protocolo prevê quatro dicas booleanas: readOnlyHint, destructiveHint, idempotentHint e openWorldHint. Clientes bem comportados executam automaticamente ferramentas somente leitura e pedem confirmação nas destrutivas. Uma ferramenta sem anotação é tratada como potencialmente destrutiva, o que gera confirmações desnecessárias; uma ferramenta destrutiva sem destructiveHint passa sem aviso. As anotações são dicas, não imposição, e não substituem controle de acesso.
• Granularidade certa. A documentação descreve dois erros comuns ao construir servidores: ferramentas subatômicas, que mapeiam APIs internas feitas para ser chamadas em sequência e confundem o agente, e ferramentas que embrulham fluxos inteiros com lógica de decisão própria, que deveriam ser um Flow. O teste é se uma chamada devolve um resultado autocontido e útil.

Uma regra prática que a própria Salesforce dá e que vale como política interna: não construir um proxy próprio em volta das APIs REST para falar MCP. Isso contorna os controles de segurança da plataforma, apaga a telemetria por requisição e cria uma carga de manutenção que cresce com a API.

Quanto custa: Flex Credits, Agentic Identity e a cobrança por interação

Aqui está a mudança que a maioria dos times ainda não precificou. Em 17 de setembro de 2026 a Salesforce publicou o artigo de conhecimento “Understand AIforce Impact”, que define, com alvo em novembro, um novo conjunto de controles de segurança, um registro de agentes e um novo modelo de cobrança como parte do Headless Toolkit. A frase central é que o mesmo passo de registro que dá a um agente externo a sua própria identidade na plataforma é o que torna a atividade dele visível, governável e cobrável.

Item	O que a Salesforce definiu
Agentic Identity	O admin registra cada agente na plataforma; o agente recebe uma identidade própria, em vez de operar com a identidade da pessoa que ele assiste, e pode receber um permission set mais estreito que o de um usuário humano. A imagem oficial é dar ao agente um crachá próprio, em vez de emprestar o crachá de um funcionário
Headless Platform Interaction (HPI)	Cada chamada bem-sucedida de um agente registrado à plataforma, por MCP ou por API direta, é medida como uma HPI e rastreada no Digital Wallet, consumindo Flex Credits
Multiplicador	Ainda não anunciado, listado como “TBA” na tabela de Flex Credits; o uso agêntico não está sendo medido, e a Salesforce dará 30 dias de aviso antes de começar
Onde é medido	Só em orgs de produção ativas; sandboxes, scratch orgs e Developer Edition não consomem créditos
Quem precisa registrar	Clientes que compraram a partir de 17 de setembro de 2026 registram todos os agentes que usam APIs do Salesforce em até três meses do aviso de que a Agentic Identity está disponível; clientes existentes registram e migram as conexões na renovação; o uso de qualquer servidor MCP da Salesforce exige registro em até três meses do aviso, para todos os clientes
O que não muda	Integrações tradicionais mantêm preço e segurança atuais; o modelo cobre tráfego agêntico
Pré-requisito	A org precisa estar habilitada para Flex Credits, o que a Salesforce diz ser possível com o Salesforce Foundations, disponível por US$ 0, ou outro SKU que habilite esse consumo

O roteiro oficial para quando a Agentic Identity chegar tem quatro passos: habilitar a org para Flex Credits, registrar cada agente com a identidade e o permission set desejados, reconfigurar os clientes MCP e os agentes via API para apresentar as credenciais OAuth do agente registrado, e reconectar. Depois disso, cada interação bem-sucedida conta contra os Flex Credits.

Há um detalhe que importa para o orçamento. Um porta-voz da Salesforce disse ao Salesforce Ben, em setembro, que o custo por interação não varia, mas o número de interações cobradas depende inteiramente do comportamento do agente de terceiros e da implementação. Como o agente decide como executar a tarefa, o consumo varia conforme o harness e o prompt. Em outras palavras, o mesmo pedido pode custar cinco chamadas em um cliente e vinte em outro. É um motivo concreto para medir em sandbox, onde não há cobrança, antes de abrir produção.

Até lá, vale o que a Salesforce documenta hoje para os Hosted MCP Servers: eles são destinados a clientes com Flex Credits e podem gerar cobrança por uso. O Salesforce Ben apurou que o acesso básico está incluído nas edições Enterprise e superiores, que a Salesforce criou tipos de uso para operações de criação, leitura, atualização e exclusão via MCP e para processos invocados por MCP, como Flows e Apex, ambos sem medição no momento e com os mesmos 30 dias de aviso, e que ações do Agentforce via MCP e consultas ao Data 360 já consomem Flex Credits.

Linha do tempo do MCP no Salesforce

Quando	O que aconteceu
Dezembro de 2025	A Anthropic doa o MCP à Agentic AI Foundation, fundo da Linux Foundation cofundado por Anthropic, Block e OpenAI, com apoio de Google, Microsoft, AWS, Cloudflare e Bloomberg
Abril de 2026	TDX 2026: Headless 360 e Hosted MCP Servers em disponibilidade geral
26 de agosto de 2026	Claudeforce: Salesforce in Claude, com servidor MCP pré-construído e 37 skills de vendas
15 a 17 de setembro de 2026	Dreamforce: Headless 360 vira AIforce; anúncio dos MCP Risk Scores, do Security Mesh e do Builder Central
17 de setembro de 2026	Artigo “Understand AIforce Impact”: Agentic Identity, Headless Platform Interactions e registro obrigatório, com alvo em novembro
9 de outubro de 2026	Marc Benioff anuncia o novo nome SIforce
12 de outubro de 2026	Winter ‘27 em disponibilidade geral: MCP Risk Scores no Security Center, Observability Center em beta, servidores Content e Metadata Grounding
Novembro de 2026 (alvo)	Controles de segurança, registro de agentes e novo modelo de cobrança do Headless Toolkit

O que o gestor de TI decide antes de ligar

O MCP não pede um projeto. Pede oito decisões, e a maioria delas é de governança, não de tecnologia.

1. Inventário do que já está conectado. Antes de qualquer política, descobrir quem no time já ligou o Salesforce a um assistente de IA. O filtro SALESFORCE_HOSTED_MCP nos logs de API responde para os servidores hospedados; para conectores não oficiais, a lista de External Client Apps e Connected Apps com tokens ativos é o ponto de partida.
2. Quais servidores ligar, e para quem. A decisão padrão é SObject Reads para a maioria e nada mais. Escrita e exclusão entram por servidor customizado, por persona, com External Client App própria vinculada a perfis específicos.
3. Revisão do modelo de permissões. Perfis com acesso amplo que ninguém usa na tela viram acesso amplo no assistente. Vale o mesmo trabalho que a governança de dados já pede: donos, classificação e menor privilégio.
4. Migração de Connected Apps. O MCP exige External Client Apps, o Winter ‘27 já restringe os fluxos antigos e o Summer ‘27 encerra o suporte. Uma única frente de trabalho resolve as três coisas.
5. Política para servidores de terceiros no Agentforce. Quem pode registrar, qual pontuação de risco é aceitável, quem aprova ferramentas e como o registro é refeito a cada implantação, já que ele não viaja no pacote.
6. Separação entre desenvolvimento e produção. Allowlist de orgs no DX MCP Server, credenciais de produção fora das máquinas de desenvolvimento e testes de agentes em sandbox, onde a cobrança não acontece.
7. Orçamento para Flex Credits. Habilitar a org, entender o Digital Wallet e medir, em sandbox, quantas interações um caso de uso real gera por cliente antes de o multiplicador ser publicado.
8. Quem responde pela Agentic Identity. Registrar agentes, definir o permission set de cada um e reconfigurar os clientes é trabalho de admin com prazo de três meses a partir do aviso. Alguém precisa ser o dono.

Roteiro de 30 dias

Semana 1, descobrir. Puxar os logs de API com o filtro de MCP hospedado e a lista de apps OAuth ativas. Entrevistar os times que usam Claude, ChatGPT ou Cursor no dia a dia. Registrar o que já está ligado, com qual usuário e com qual escopo.

Semana 2, decidir. Escolher os servidores padrão a ativar, desenhar um servidor customizado por persona quando houver necessidade de escrita, e criar as External Client Apps correspondentes, vinculadas a perfis. Definir a política para servidores de terceiros no Agentforce e quem aprova.

Semana 3, validar. Conectar o Postman a cada servidor e confirmar autenticação e respostas. Conectar o assistente escolhido com um usuário de teste em sandbox. Rodar os casos de uso reais e contar as chamadas que cada um gera. Revisar as anotações das ferramentas customizadas.

Semana 4, operar. Ligar em produção para o grupo piloto, com o servidor somente leitura como base. Criar o alerta nos logs de API para tráfego MCP fora do grupo. Habilitar a org para Flex Credits e nomear o responsável pelo registro de agentes quando a Agentic Identity chegar.

Como a WeeNow conduz

A WeeNow é parceira oficial Salesforce e sustenta orgs que já estão em operação. No MCP, o trabalho começa pelo inventário do que o time já conectou sem passar por TI, segue pela revisão de permissões e pela migração de Connected Apps para External Client Apps, e termina com os servidores certos ligados para as pessoas certas, com logs monitorados e um número de interações medido em sandbox antes de a cobrança começar. Quando a Agentic Identity chegar, o registro dos agentes e a reconfiguração dos clientes entram na mesma sustentação. Se a sua operação também usa o Claude ou o Slack, a frente é a mesma que já cobre o Claudeforce e o Claude Tag.

Perguntas frequentes sobre o Salesforce MCP

O que é o MCP no Salesforce?

É a implementação do Model Context Protocol pela Salesforce. O MCP é um padrão aberto, criado pela Anthropic e hoje mantido pela Agentic AI Foundation da Linux Foundation, que permite a um agente de IA ler dados e executar ações em um sistema externo. No Salesforce ele aparece como servidores hospedados que expõem a org a assistentes de IA, como um cliente nativo no Agentforce que consome servidores de terceiros e como ferramentas de desenvolvimento.

Qual é a diferença entre Hosted MCP Servers e MCP for Agentforce?

Nos Hosted MCP Servers o Salesforce é o servidor: Claude, ChatGPT ou Cursor se conectam à org e agem com as permissões do usuário. No MCP for Agentforce o Salesforce é o cliente: um agente do Agentforce chama ferramentas de um servidor externo registrado, com credenciais de aplicação, sem identidade de usuário.

O MCP respeita as permissões do Salesforce?

Sim, nos servidores hospedados. Cada chamada roda com as permissões de objeto, de campo e de compartilhamento do usuário que autorizou a conexão, e toda ação é atribuída a ele na auditoria. O efeito colateral é que permissões amplas que ninguém revisou passam a aparecer na frente do usuário, em linguagem natural.

Preciso de uma Connected App para usar o MCP?

Não, e ela não serve. Os Hosted MCP Servers exigem uma External Client App com o escopo mcp_api, PKCE e tokens JWT. Connected Apps não são aceitas para autenticação MCP, e a Salesforce já anunciou o fim do suporte a elas no Summer ‘27.

Os servidores MCP vêm ligados?

Não. Todos os servidores padrão vêm desligados e precisam ser ativados por um administrador em Configuração, em MCP Servers, dentro do API Catalog. A ativação leva até dois minutos. Sem isso, o cliente não conecta mesmo com autenticação correta.

Quais clientes de IA funcionam com o Salesforce MCP?

A Salesforce testou Claude, ChatGPT, Cursor, Postman e Agentforce Vibes. Outros clientes que suportam OAuth 2.0 Authorization Code com PKCE devem funcionar. A recomendação é validar primeiro com o Postman, que mostra as respostas brutas sem interpretação do modelo.

Quanto custa usar o MCP no Salesforce?

Hoje, os Hosted MCP Servers são destinados a clientes com Flex Credits, e as operações de registros e de processos via MCP ainda não são medidas, com 30 dias de aviso antes de qualquer cobrança. Ações do Agentforce via MCP e consultas ao Data 360 já consomem Flex Credits. Com a Agentic Identity, prevista para novembro de 2026, cada chamada bem-sucedida de um agente registrado, por MCP ou por API, passa a ser medida como uma Headless Platform Interaction, com multiplicador ainda não anunciado. Sandboxes não são cobradas.

O que é a Agentic Identity?

É o registro de agentes na plataforma Salesforce, com alvo em novembro de 2026. Cada agente registrado recebe uma identidade própria e um permission set que pode ser mais estreito que o de um usuário humano, e os clientes MCP passam a apresentar as credenciais OAuth desse agente. O uso de qualquer servidor MCP da Salesforce exige o registro em até três meses do aviso de disponibilidade.

O que são os MCP Risk Scores?

São pontuações de risco, Baixa, Média ou Alta, que o Security Center atribui a cada servidor MCP de terceiros registrado no Agentforce. O servidor é escaneado no registro, contra injeção de prompt, envenenamento de ferramenta e mudanças de comportamento pós-registro, e continua monitorado depois. O admin pode definir políticas e bloquear servidores de risco alto. O recurso chegou com o Winter ‘27.

Como saber se alguém já conectou o Salesforce a uma IA?

Pelos logs de API. O tráfego dos servidores hospedados aparece com a categoria de cliente SALESFORCE_HOSTED_MCP, com usuário, operação, objeto e horário, em CSV diário ou por API. Para conectores não oficiais, a lista de External Client Apps e Connected Apps com tokens ativos complementa o inventário.

O Salesforce DX MCP Server expõe a org em produção?

Só se a org estiver na allowlist do parâmetro --orgs ao iniciar o servidor. Ele lê as autenticações já criptografadas na máquina do desenvolvedor, não guarda segredos na configuração e não expõe tokens às ferramentas. A separação entre credenciais de desenvolvimento e de produção é a defesa principal.

O que é SIforce?

É o nome que Marc Benioff anunciou em 9 de outubro de 2026 para a camada antes chamada AIforce, apresentada no Dreamforce 2026 e originalmente batizada Headless 360 no TDX 2026. A arquitetura é a mesma: o Headless Toolkit expõe a plataforma por API, MCP e linha de comando para agentes e interfaces externas.

Fontes

• Model Context Protocol. What is the Model Context Protocol (MCP)? Documentação oficial, versão 2026-07-28.
• Anthropic. Donating the Model Context Protocol and establishing the Agentic AI Foundation, 9 de dezembro de 2025.
• Salesforce Developers. Salesforce Hosted MCP Servers: Get Started, Products Supporting MCP, Set Up Your Org, Activate MCP Servers, Connecting an MCP Client, Custom MCP Servers, General Best Practices, Security Best Practices, Standard MCP Servers Reference e Headless 360 MCP Server (Beta).
• Salesforce Help. Winter ‘27 Release Notes: Salesforce MCP Servers (Content Read-Only, Content Write e Metadata Grounding).
• Salesforce Help. Considerations for MCP for Agentforce, Winter ‘27.
• Salesforce Help. New Connected Apps Can No Longer Be Created in Spring ‘26, artigo de conhecimento 005228017.
• Salesforce. Agentforce MCP Support, atualizado em 1 de setembro de 2026.
• Salesforce Help. Understand AIforce Impact, artigo de conhecimento 005360285, 17 de setembro de 2026.
• Salesforce (The 360 Blog). The Top 5 Dreamforce Announcements for IT: AIforce, MCP Security, and More, 22 de setembro de 2026.
• Salesforce (The 360 Blog). Winter ‘27 Release: Top Development & Security Features, 13 de outubro de 2026.
• Salesforce Developers. Salesforce DX MCP Server and Tools, Salesforce DX Developer Guide; repositório salesforcecli/mcp no GitHub.
• Salesforce+. Master Agentic Integration with Salesforce MCP Servers, Developers at TDX 2026.
• Salesforce Ben. Salesforce Admin’s Guide to Model Context Protocol (MCP), 7 de setembro de 2026; Salesforce Will Charge Flex Credits for Agentic MCP and API Calls, 24 de setembro de 2026; Salesforce Renames AIforce to ‘SIforce’ After Trump Order, 12 de outubro de 2026.