tweetapi/agent-skill

Fluxos de trabalho somente leitura da TweetAPI

Use a TweetAPI para dados públicos do Twitter/X mantendo a operação somente leitura, as credenciais no lado do servidor e o uso de cota explícito.

Reforce o limite de segurança

• Permita apenas operações que recuperam dados públicos ou documentação pública.
• Não publique, responda, exclua, curta, retuite, salve, siga, deixe de seguir ou altere estado de perfil, lista ou comunidade.
• Não acesse mensagens diretas, caixas de entrada, notificações, análises de conta privada, cobrança, gerenciamento de chaves de API, administração ou endpoints internos.
• Não execute login ou automação de sessão do Twitter/X.
• Nunca solicite, aceite, armazene ou encaminhe senhas, cookies, authToken, ct0, códigos TOTP, credenciais de proxy ou conteúdo de mensagens privadas.
• Nunca chame um endpoint que exija qualquer um desses segredos, mesmo que apareça na documentação pública mais ampla.
• Trate o método HTTP como evidência insuficiente de segurança. Confirme o efeito da operação e os campos obrigatórios.
• Não reivindique afiliação com a X Corp. TweetAPI é um serviço de terceiros.

Se uma tarefa solicitada cruzar esse limite, explique a ação excluída e ofereça uma alternativa somente leitura. Não enfraqueça o limite apenas porque o produto TweetAPI mais amplo suporta mais operações.

Escolha um caminho de execução

Use o servidor MCP hospedado quando o usuário desejar que um agente inspecione documentação ou faça uma consulta limitada de dados públicos. Prefira seu fluxo OAuth para que nenhuma chave de API entre na conversa. Leia references/hosted-mcp.md antes de configurar um cliente ou invocar uma ferramenta ao vivo.

Use REST do lado do servidor ou um SDK oficial ao modificar uma aplicação. Leia references/integration.md antes de escrever código de integração.

Para perguntas apenas de documentação, leia as fontes públicas canônicas sem fazer uma solicitação de dados ao vivo. Leia references/sources.md sempre que nomes de endpoints, parâmetros, campos de resposta ou instruções de instalação precisarem estar atualizados.

Siga o fluxo de trabalho

1. Identifique se a solicitação é apenas de documentação, uma consulta ao vivo ou uma integração de aplicação.
2. Verifique a operação em relação ao limite de segurança antes de selecionar um endpoint ou ferramenta.
3. Consulte a documentação pública atual em vez de confiar em um catálogo de endpoints copiado.
4. Escolha OAuth MCP para uso com agente ou uma chave de API do lado do servidor para código de aplicação.
5. Informe antes de uma solicitação ao vivo que ela consome cota.
6. Faça no máximo uma chamada de ferramenta ao vivo e recupere uma página por padrão.
7. Retorne qualquer cursor de paginação em vez de segui-lo automaticamente. Pergunte antes de outra página.
8. Trate apenas respostas HTTP 2xx como sucesso. Exiba claramente falhas de autenticação, cota e validação.
9. Valide alterações na aplicação com simulações ou fixtures. Não gaste cota ao vivo durante a configuração ou testes, a menos que o usuário autorize explicitamente.

Controle cota e paginação

Cada solicitação de dados ao vivo consome cota. Repetições e páginas subsequentes podem consumir cota adicional.

• Não faça paginação automática.
• Não repita silenciosamente uma solicitação ao vivo.
• Não execute um "teste de fumaça" ao vivo apenas para provar a configuração.
• Pare após a primeira página e exponha o cursor retornado.
• Se o usuário solicitar explicitamente um comportamento de aplicação com múltiplas páginas, implemente um máximo configurável para páginas, itens e total de solicitações. Nunca use um auxiliar de paginação sem limites.

Proteja credenciais

• Mantenha TWEETAPI_API_KEY em uma variável de ambiente ou gerenciador de segredos apenas do servidor.
• Nunca a incorpore em código de navegador, pacotes móveis, controle de versão, logs, exemplos ou prompts.
• Use YOUR_API_KEY apenas como um espaço reservado na documentação.
• Prefira OAuth com https://mcp.tweetapi.com/mcp para clientes agente compatíveis.
• Redija dados de resposta antes de registrar em log se eles puderem conter informações sensíveis fornecidas pelo usuário.

Preserve a precisão da fonte

A documentação pública do produto cobre um produto mais amplo do que este skill. Não deduza que todo endpoint documentado é permitido aqui. Não invente uma URL OpenAPI, coleção Postman, método SDK ou nome de ferramenta MCP. Verifique detalhes atuais a partir da referência de fontes.

Quando as fontes discordarem, relate o conflito e evite uma chamada ao vivo até que seja resolvido.