Stripe MCP ændrer nøglerne 31. oktober 2026: det skal du gøre

Hvad ændrer Stripe den 31. oktober 2026?

Stripe MCP, den server der lader AI-værktøjer læse og arbejde i din Stripe-konto, holder op med at acceptere to slags nøgler: hemmelige nøgler med fuld adgang, dem der starter med sk_, og begrænsede nøgler uden Agent-mærket.

Stripe skriver det sådan i deres dokumentation: «Beginning October 31, 2026, Stripe MCP no longer accepts full-access secret keys or restricted API keys without the Agent tag.» Kald med en gammel nøgle får svaret 401 og en henvisning til at logge ind med OAuth.

Ændringen gælder kun MCP-serveren på mcp.stripe.com. Din webshop, dine betalingslinks og dit almindelige API påvirkes ikke.

Bliver jeg ramt?

Du bliver ramt, hvis du har koblet et AI-værktøj på Stripe ved at indsætte en nøgle. Du bliver ikke ramt, hvis du loggede ind med Stripe-login.

• Har du tilføjet Stripe i Claude eller ChatGPT fra deres katalog og logget ind via Stripes egen side: det er OAuth. Du skal ikke gøre noget.
• Har du lagt en sk_- eller rk_-nøgle ind i en konfigurationsfil, fx i Claude Code, Cursor eller et selvbygget program: du skal skifte.
• Er du i tvivl, så åbn Stripe Dashboard og se, om nøglen bærer et Agent-mærke. Gør den ikke, og bruges den til MCP, skal den skiftes.

Hvad er forskellen på OAuth og en agent-nøgle?

OAuth betyder, at AI-værktøjet arbejder på vegne af din Stripe-bruger. Du logger ind, vælger konti og rettigheder og kan trække adgangen tilbage under dine brugerindstillinger. Det er den rigtige vej, når et menneske sidder ved tasterne.

En agent-nøgle er til programmer, der kører alene, fx et natligt job. Det er en begrænset nøgle (rk_), der er mærket til AI-brug. Forskellen fra en almindelig begrænset nøgle er, at følsomme handlinger som udbetalinger, refusioner og ændringer i kontoen automatisk kræver godkendelse fra en udpeget person.

Hvordan skifter du til en agent-nøgle?

1. Gå til API-nøgler i Stripe Dashboard, og opret en ny begrænset nøgle.
2. Når Stripe spørger om nøglens formål, vælg «Authorizing agent access to your account».
3. Giv kun de rettigheder, opgaven kræver. Skal AI'en bare læse betalinger, så giv læseadgang.
4. Opret den først i en sandbox, og test din forbindelse mod mcp.stripe.com med den nye nøgle.
5. Skift nøglen ud i din konfiguration. Den sendes som «Authorization: Bearer».
6. Lad den gamle nøgle udløbe, når den nye virker. Senest 31. oktober.

Hvorfor gør Stripe det?

Fordi en AI med en fuld hemmelig nøgle kan flytte penge. Stripes MCP-server kan lave refusioner, betalingslinks og abonnementer. En nøgle uden grænser er derfor en risiko, især fordi AI-værktøjer kan narres af skjulte instruktioner i det, de læser.

Stripe anbefaler selv at slå godkendelse af værktøjer til og være forsigtig med at bruge Stripe MCP sammen med andre servere for at undgå prompt injection. Refusioner og udbetalinger kræver allerede en menneskelig godkendelse via et link, der udløber efter 24 timer.

Hvad gør vi selv?

Vi har to produkter med Stripe live, og vi kører læsning og skrivning adskilt. Det, der læser, får læseadgang. Det, der kan oprette eller ændre noget, kræver et ja fra os. Det er samme regel, vi bruger på vores annoncekonto og vores CRM, og det er den, Stripe nu indbygger i agent-nøglen.

Én ting mere: en administrator kan slå MCP til og fra for hele teamet under Stripes indstillinger for MCP- og CLI-adgang. Bruger I det ikke, så slå det fra.

Kilder

• Stripe, MCP-dokumentation med datoen 31. oktober 2026: https://docs.stripe.com/mcp
• Stripe, API-nøgler og nøgler til autonome agenter: https://docs.stripe.com/keys
• Stripe, rate limits: https://docs.stripe.com/rate-limits
• Kilderne er læst 7. oktober 2026. Vi fandt ingen changelog-post om ændringen, kun advarslen i dokumentationen.

Spørgsmål