Construyendo un servidor MCP de producción en TypeScript: 5 errores que los tutoriales omiten

Cuando un equipo técnico decide implementar un servidor MCP en TypeScript para integrar agentes IA en procesos reales, los tutoriales introductorios suelen quedarse en la superficie. En Q2BSTUDIO, donde desarrollamos aplicaciones a medida que conectan inteligencia artificial con sistemas legacy, hemos identificado cinco puntos críticos que rara vez se explican y que marcan la diferencia entre un prototipo y un servicio robusto. El primero es la validación explícita de entradas: aunque se definan esquemas con librerías como Zod, el SDK de MCP no los aplica automáticamente en cada invocación; el modelo puede enviar valores nulos o tipos incorrectos, por lo que es indispensable ejecutar parse dentro de cada handler y devolver errores estructurados en lugar de lanzar excepciones. El segundo error habitual es la seguridad de rutas en herramientas que acceden al sistema de archivos. Sin una resolución basada en path.resolve y la comprobación estricta del separador, un atacante podría utilizar rutas relativas para escapar del directorio permitido. Implementar un sandbox con validación del sistema de archivos nativo es más fiable que cualquier expresión regular. El tercer aspecto es la elección del transporte: muchos ejemplos fuerzan a elegir entre stdio para escritorio y HTTP para producción, cuando lo correcto es diseñar un único registro de herramientas y dos puntos de entrada intercambiables según la variable de entorno. Esto permite usar la misma base de código en Claude Desktop durante el desarrollo y en servicios cloud AWS o Azure en producción, facilitando la integración con servicios cloud aws y azure. El cuarto punto, a menudo omitido, es la autenticación mediante OAuth 2.1 para transporte HTTP. Sin validación de tokens, cualquier cliente con la URL puede ejecutar herramientas, lo que convierte al servidor en un vector de acceso no autorizado; una capa de middleware que verifique tokens contra un almacén intercambiable permite pasar de un token estático en desarrollo a un servidor de autorización real en producción. Finalmente, el manejo de errores determina el comportamiento de los modelos: si la respuesta es texto no estructurado, el agente reintentará la misma llamada fallida una y otra vez. Devolver bloques de contenido MCP con isError: true y una razón breve y legible por máquina permite que el modelo ajuste su siguiente acción. Estos cinco patrones, que en Q2BSTUDIO aplicamos tanto en proyectos de ia para empresas como en soluciones de ciberseguridad y power bi, transforman un servidor MCP de demostración en un componente fiable para entornos productivos, donde la inteligencia artificial debe operar con controles de acceso, validación rigurosa y trazabilidad completa.