15/15provas verdes na rede real
9ferramentas anunciadas
401para token revogado
0acesso ao cofre cifrado
Teste de integração dentro do servidor engana: passa tudo e, no ar, o TLS, o proxy ou um cabeçalho derruba. O canário do WikiSecret roda como um cliente externo de verdade — HTTPS contra produção, sem cookie — e percorre o protocolo MCP inteiro: initialize, lista de ferramentas, chamada real de busca, e as provas negativas: o arquivo do cofre é bloqueado, token inventado leva 401, e desligar o interruptor revoga o token na hora.
O que ele já pegou
Foi um canário desse tipo que descobriu que produção estava seis commits atrás do que o time achava — o recurso "mergeado e provado" dava 404 no ar. A regra que ficou: merge não é estar no ar; só o curl na rota em produção conta.