Checklist MCP Server Sebelum Dibuat: Data, API, Akses, SOP, dan Uji

Jawaban langsung: Sebelum membuat MCPMCPAturan standar yang memungkinkan program AI memakai alat dan data Anda dengan izin yang jelas.Buka glosarium server, selesaikan 7 langkah persiapan. Tulis 3 pertanyaan yang tiap tool harus jawab, buat inventaris data dan APIAPIPintu resmi yang dipakai 2 sistem untuk saling mengirim data, tanpa orang menyalin data secara manual.Buka glosarium tiap sistem sumber, dan siapkan akun uji dengan hak akses minimum. Lalu tulis SOP approval untuk tool tulis, pilih klien AI dan transport, rencanakan uji dengan data dummy, dan tetapkan serah terima.

Kondisi utama: checklist ini berlaku untuk MCP server pertama dengan 1 sampai 2 sistem sumber. Batas: checklist ini tidak mengganti audit keamanan; baca artikel keamanan MCP server untuk kontrol lengkap. Checklist ini juga tidak memuat harga; baca artikel biaya pembuatan MCP server untuk rumus cakupan. Durasi proyek dihitung sejak akses sistem sumber lengkap, jadi langkah 2 sampai 4 menentukan tanggal mulai, bukan tanggal kontrak diteken.

Kami menulis checklist ini pada 13 September 2026. Sumbernya: spesifikasi MCP revisi 2026-07-28, panduan tool Cloudflare, OWASP untuk AI agentAgent AIProgram AI yang mengerjakan langkah pekerjaan sendiri, misalnya membaca pesan, menyiapkan balasan, lalu mencatat hasilnya.Buka glosarium, dan UU 27/2022 (UU PDP). Contoh pada artikel ini memakai data dummy berlabel, bukan data klien.

Masalah: hari 1 habis untuk menunggu akses

Pada pengalaman kami, proyek MCP server tertunda oleh akses, bukan oleh kode. MCP menyambungkan sistem yang sudah ada ke AI agent lewat 1 server kecil; baca penjelasan MCP untuk pemilik bisnis bila istilah ini baru bagi Anda.

Tanpa checklist, kredensial uji belum ada, dokumentasi API tidak ditemukan, dan pemilik data tidak jelas pada hari 1. Proyek yang dijadwalkan 5 hari kerja berubah menjadi 3 minggu. Untuk dasar istilah, baca juga glosarium MCP pada situs kami.

Checklist ini mengikuti pola yang sama dengan persiapan sebelum memasang AI agent di server production. Baca checklist sebelum install OpenClaw di server production untuk pola serupa pada klien OpenClaw.

Yang Anda perlukan sebelum mulai

• Akses untuk meminta akun uji pada tiap sistem sumber, bukan akun uji itu sendiri.
• Nama pemilik proses tiap sistem sumber, yang bisa menjawab 3 pertanyaan pada langkah 1.
• 1 dokumen bersama yang bisa diedit, untuk mencatat inventaris data dan SOP approval.
• Daftar peran yang berwenang menyetujui aksi tulis, misalnya kepala divisi atau supervisor.
• Waktu dari pemilik tiap sistem sumber untuk membuat akun uji dalam 1 sampai 2 hari kerja.

Langkah 1: Tulis 3 pertanyaan atau pekerjaan yang harus dijawab

Tulis 3 pertanyaan atau pekerjaan yang tool MCP harus jawab, sebelum Anda menulis kode. Pakai format: siapa bertanya apa, dari sistem mana, dan seberapa sering. Cloudflare menganjurkan tool per tujuan pengguna, bukan 1 tool besar yang membungkus seluruh skema API sistem sumber.

Tandai pertanyaan mana yang butuh aksi tulis, misalnya membuat draf invoice atau mengubah status pesanan. Tunda tool tulis ke tahap 2 proyek bila memungkinkan, karena tool tulis butuh SOP approval pada langkah 4. Bukti langkah ini: 1 tabel berisi pertanyaan, sistem sumber, dan frekuensi pakai.

Sumber: praktik desain tool MCP Cloudflare, dibaca 13 September 2026.

Langkah 2: Inventaris data dan API tiap sistem sumber

Buat 1 baris inventaris untuk tiap sistem sumber: nama sistem, versi, pintu akses (API, database, atau file ekspor), tautan dokumentasi, dan rate limit. Tandai kolom data pribadi pada tiap sistem, termasuk data pribadi spesifik seperti data kesehatan atau biometrik, dan kolom identitas seperti NIK.

UU PDP Pasal 4 membagi data pribadi menjadi data spesifik dan data umum. Pasal 16 menyebut penampilan atau pengungkapan data ke pihak lain sebagai bagian dari pemrosesan, dan pemrosesan itu wajib terbatas dan sesuai tujuan. Tool baca yang mengirim kolom data pribadi ke model AI termasuk pengungkapan menurut pasal itu, jadi tandai kolom itu sebelum tool dibangun, bukan sesudah.

Bila data bersifat statis, misalnya daftar harga atau skema produk, pertimbangkan resource dengan URI, bukan tool; spesifikasi MCP membedakan keduanya. Bukti langkah ini: 1 lembar inventaris per sistem, dan 1 daftar kolom data pribadi.

Sumber: UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, spesifikasi MCP 2026-07-28, bagian Resources.

Langkah 3: Siapkan akun uji dan hak akses minimum

Buat akun uji baca saja untuk minggu pertama proyek, terpisah dari akun tulis yang dipakai pada tahap 2. Spesifikasi MCP menganjurkan hak akses minimum: server meminta scope sekecil mungkin, dan klien MCP meminta tambahan hanya saat perlu.

Untuk transport stdio, kredensial lewat variabel environment pada server, bukan lewat parameter tool. Untuk transport HTTP, pakai API key atau OAuth 2.1; keputusan ini menyatu dengan langkah 5. Bila vendor luar membangun server Anda, UU 27/2022 Pasal 51 dan 52 menyebut vendor sebagai Prosesor yang memproses hanya atas perintah Anda. Buat perjanjian tertulis sebelum akses diberikan.

Bukti langkah ini: akun uji aktif dan sudah diuji login, dan 1 matriks akses yang menyebut akun mana boleh melakukan apa.

Sumber: spesifikasi MCP 2026-07-28, bagian Authorization, UU Nomor 27 Tahun 2022 Pasal 51-52.

Langkah 4: Tulis SOP approval dan pemilik tiap tool tulis

Spesifikasi MCP menyebut harus selalu ada manusia dalam alur yang bisa menolak pemanggilan tool tulis. OWASP menambahkan bahwa aksi berdampak tinggi butuh persetujuan manusia sebelum dijalankan, sebagai mitigasi izin dan otonomi berlebih pada AI agent.

Tulis 1 halaman SOP untuk tiap tool tulis. Sebutkan nama penyetuju berdasar jabatan, batas waktu approval, isi prompt konfirmasi, dan isi audit log. Spesifikasi tool MCP menganjurkan pencatatan pemakaian tool untuk audit; kami menerapkannya di sisi server.

UU 27/2022 Pasal 46 mewajibkan Pengendali memberi tahu Subjek Data dan pihak berwenang paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan data. Isi pemberitahuan itu: kapan dan bagaimana kejadian terjadi. Audit log MCP membantu menjawab pertanyaan itu bila kegagalan terjadi.

Bukti langkah ini: 1 SOP per tool tulis, dengan nama penyetuju dan batas waktu approval.

Sumber: spesifikasi MCP 2026-07-28, bagian Tools, OWASP GenAI, LLM06 Excessive Agency, UU Nomor 27 Tahun 2022 Pasal 46.

Langkah 5: Pilih klien AI dan transport

Spesifikasi MCP mendefinisikan 2 transport standar: stdio untuk proses lokal pada 1 mesin, dan Streamable HTTP untuk server jarak jauh lewat 1 endpoint. Pilihan klien AI tim Anda, misalnya Claude, ChatGPT, OpenClaw, atau Hermes Agent, menentukan transport dan cara autentikasi yang cocok.

MCP sudah melewati beberapa revisi spesifikasi; klien dan server perlu berada pada era protokol yang cocok agar bisa berkomunikasi. Baca artikel 5 versi MCP bila tim Anda memakai klien atau SDK era legacy.

Tulis keputusan klien AI, transport, dan autentikasi pada 1 halaman. Bukti langkah ini: keputusan tertulis yang disepakati tim, bukan diskusi lisan yang berubah di tengah proyek.

Sumber: spesifikasi MCP 2026-07-28, bagian Transports, dibaca 13 September 2026.

Langkah 6: Rencanakan uji dengan data dummy

Tulis 3 kasus uji untuk tiap tool: kasus normal, kasus data tidak ditemukan, dan kasus input salah format. Spesifikasi MCP membedakan error protokol dari error eksekusi tool, dan menandai error eksekusi dengan isError agar model bisa memperbaiki input sendiri.

Tambahkan 1 kasus prompt injection untuk tiap tool baca yang mengembalikan teks bebas dari sistem sumber, misalnya catatan pelanggan atau deskripsi produk. OWASP membedakan injection langsung dari prompt pengguna dan injection tidak langsung dari sumber luar, dan menganjurkan hak akses model dibatasi ke minimum sebagai mitigasi.

Pada sistem MCP kami sendiri, kami menguji server dengan data uji yang kami buat, bukan data klien, sebelum server dipakai pada akun produksi. Bukti langkah ini: 1 tabel kasus uji, dan 1 berkas data dummy yang disetujui pemilik data.

Sumber: spesifikasi MCP 2026-07-28, bagian Tools, OWASP GenAI, LLM01 Prompt Injection.

Langkah 7: Tetapkan serah terima, pemilik kode, dan pencabutan akses

Tetapkan sebelum proyek mulai: kode, server, dan kredensial menjadi milik Anda sejak serah terima, bukan milik vendor. Pada aturan layanan kami, akses kami dicabut setelah masa perbaikan 7 hari kerja pasca serah terima, dan revisi 1 ronde berlaku dalam masa itu.

Siapkan dokumentasi serah terima: daftar tool dengan fungsinya, SOP approval per tool tulis, dan cara menambah klien AI baru. Tulis juga cara memutar API key bila terjadi kebocoran, dan jadwal pemeriksaan ulang saat sistem sumber mengganti versi API-nya.

Bukti langkah ini: 1 berita acara serah terima, dan 1 daftar akses vendor yang sudah dicabut.

Tabel: 7 langkah, pemilik, bukti, blokir atau tidak

Tabel berikut merangkum pemilik dan bukti tiap langkah. Kolom terakhir menandai langkah yang menahan tanggal mulai proyek, karena durasi dihitung sejak akses lengkap.

Langkah	Pemilik	Bukti	Menahan tanggal mulai
1. 3 pertanyaan atau pekerjaan	Pemilik proses	Tabel pertanyaan, sistem, frekuensi	Tidak
2. Inventaris data dan API	Kepala IT	Lembar inventaris, daftar kolom data pribadi	Ya
3. Akun uji dan hak akses minimum	Pemilik sistem	Akun uji aktif, matriks akses	Ya
4. SOP approval tool tulis	Kepala divisi	SOP 1 halaman per tool tulis	Ya, bila ada tool tulis
5. Klien AI dan transport	Kepala IT	Keputusan tertulis	Tidak
6. Rencana uji data dummy	Tim QA	Tabel kasus uji	Tidak
7. Serah terima dan pencabutan akses	Pemilik bisnis	Berita acara, daftar akses dicabut	Tidak

Contoh: kickoff 1 hari untuk distributor dengan 2 sistem

Simulasi berikut memakai data dummy untuk sebuah distributor dengan sistem ERP dan CRM WhatsApp. Nama sistem, frekuensi, dan batas rate adalah contoh berlabel, bukan data klien.

Langkah kerja	Tercatat	Status hari itu
1. 3 pertanyaan	cek_stok dari ERP, 40 kali per hari; status_pesanan dari CRM, 25 kali per hari; draf_konfirmasi dari CRM, tulis, 10 kali per hari	2 tool baca untuk tahap 1; 1 tool tulis untuk tahap 2
2. Inventaris	ERP: API resmi, dokumentasi ada. CRM: API resmi, rate limit 60 per menit. Kolom telepon dan alamat ditandai sebagai data pribadi	Lembar inventaris untuk 2 sistem selesai
3. Akun uji	Akun baca ERP aktif. Akun uji CRM belum dibuat, menunggu admin CRM	Tanggal mulai tertunda 2 hari kerja sampai akun CRM siap
4. SOP approval	Tool draf_konfirmasi: penyetuju supervisor CS, batas waktu 1 jam, prompt menampilkan draf konfirmasi	SOP 1 halaman disetujui supervisor CS
5. Klien dan transport	Klien OpenClaw pada server perusahaan; transport Streamable HTTP; autentikasi API key untuk 1 tim	Keputusan tertulis selesai; hosting dibahas terpisah

Selisih 2 hari kerja pada baris 3 datang dari akun uji CRM yang belum ada, bukan dari kode yang belum siap. Pola ini konsisten dengan pengalaman kami: akses menahan tanggal mulai lebih sering daripada kode.

Checklist ringkas untuk dicetak

1. 3 pertanyaan atau pekerjaan tertulis dengan sistem dan frekuensi. Pemilik: pemilik proses. Bukti: tabel 3 baris.
2. Dokumentasi API tiap sistem sumber ditemukan, dan versinya dicatat. Pemilik: kepala IT. Bukti: tautan dokumentasi.
3. Kolom data pribadi ditandai per sistem, termasuk data pribadi spesifik. Pemilik: penanggung jawab data. Bukti: daftar kolom.
4. Akun uji baca saja aktif, dan sudah diuji login. Pemilik: pemilik sistem. Bukti: tangkapan layar login.
5. Matriks akses untuk 3 jenis akun sudah disetujui. Pemilik: kepala IT. Bukti: matriks bertanda tangan.
6. SOP approval per tool tulis selesai, dengan nama penyetuju berdasar jabatan. Pemilik: kepala divisi. Bukti: SOP 1 halaman.
7. Klien AI, transport, dan autentikasi sudah diputuskan. Pemilik: kepala IT. Bukti: 1 halaman keputusan.
8. Data dummy untuk uji sudah disetujui oleh pemilik data. Pemilik: tim QA. Bukti: berkas data dummy.
9. Kriteria berhenti: bila langkah 2 sampai 4 belum selesai, jangan tetapkan tanggal mulai proyek. Durasi dihitung sejak akses lengkap.

Pertanyaan yang sering diajukan

Berapa lama persiapan sebelum hari 1? Waktu tergantung pada kecepatan sistem sumber membuat akun uji. Langkah lain sering selesai dalam 1 hari kickoff. Durasi proyek dihitung sejak akses lengkap, bukan sejak kontrak diteken.

Apakah perlu SOP approval bila hanya tool baca? Tidak untuk approval pada tiap panggilan tool. Anda tetap perlu daftar kolom yang difilter dari tiap sistem, dan audit log yang mencatat pemakaian tool.

Siapa yang menyediakan data dummy untuk uji? Pemilik data pada pihak Anda menyediakan data dummy. Pada sistem MCP kami sendiri, kami menguji dengan data uji, bukan data pelanggan asli, dan menyarankan pola yang sama untuk proyek Anda.

Apakah akun vendor boleh permanen? Tidak. Akses vendor bersifat sementara, dan dicabut setelah masa perbaikan 7 hari kerja pasca serah terima. Kode, server, dan kredensial tetap milik Anda.

Bagaimana bila sistem tidak punya dokumentasi API? Siapkan akun uji lebih awal, agar audit hari 1 bisa memetakan endpoint yang ada. Sistem tanpa API resmi juga bisa memakai akses database baca saja atau file ekspor berkala.

Langkah berikutnya

Checklist ini tidak mengganti audit keamanan, dan tidak memuat harga; baca artikel keamanan dan artikel biaya yang ditautkan di atas untuk bagian itu. Bila langkah 1 sampai 3 sudah selesai pada pihak Anda, tim kami bisa mulai audit hari 1 tanpa menunggu akses lagi. Mulai lewat layanan Jasa Pembuatan MCP Server. Kirim kebutuhan, atau Jadwalkan konsultasi gratis untuk membahas checklist Anda sebelum proyek dimulai.

Sumber

• Cloudflare: Model Context Protocol untuk AI agent
• Spesifikasi MCP 2026-07-28: Resources
• Spesifikasi MCP 2026-07-28: Authorization
• Spesifikasi MCP 2026-07-28: Tools
• Spesifikasi MCP 2026-07-28: Transports
• OWASP GenAI: LLM06 Excessive Agency
• OWASP GenAI: LLM01 Prompt Injection
• UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi