服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 官方 MCP 文档写明：从 2026 年 10 月 31 日起，不再接受 full-access secret keys 或没有 Agent 标签的 restricted API keys。具体生效时刻和时区未公开。
- 官方给出的路径是新建 Agent Keys 或重新通过 OAuth 连接；不支持的密钥请求会返回 401，并带 OAuth discovery challenge。
- Agent key 是创建时标记为 agent 用途的 restricted key，认证与权限模型仍为受限密钥，但增加敏感操作的 approval rules。
- Connect 文档说代理 connected accounts 时不支持 OAuth，要求平台 restricted key；该段没有明确 Agent 标签要求，不能据此推导 Connect 获得截止规则豁免。
先划清截止规则适用的接口
<a href="https://docs.stripe.com/mcp#authentication">Stripe MCP 认证文档</a>给出 2026 年 10 月 31 日的变更，排除全权限 secret key 及未带 Agent 标签的 restricted key，并提示不受支持的请求返回 401。本文于 10 月 2 日核验到该规则，原始发布或更新时间未知，不能称为当日新发布。官方只给出日期，没有精确时刻或时区，不应等到当天最后一分钟才处理。
这是 MCP 的认证要求。不能据此宣布普通 Stripe API、webhook signing secret 或所有 restricted key 都会在同一天失效。先确认调用目标是否为 mcp.stripe.com、连接的是哪一账户及环境，才能判断这条规则是否影响自己的集成。本文没有读取任何账户密钥或发起金融操作。
Agent key 需要官方标签，不能只看名称
<a href="https://docs.stripe.com/keys#agent-keys">API keys 文档</a>说明，创建 restricted key 时选择 Authorizing agent access to your account 可标记 agent 用途。Agent-tagged key 使用同样的认证和权限机制，区别是治理：自动适用 approval rules，由指定 reviewer 审批敏感动作；首个此类 key 会获得默认规则，涉及 payouts、refunds 和账户配置等。给旧 key 改个名字不等于获得 Agent 标签，也不能假定所有动作都自动获批。
一般交互式 MCP 客户端可用 OAuth；自主运行且不能使用 OAuth 的客户端按官方说明选择最小权限 Agent key。凭据交给服务器的 secrets vault，缺少 vault 时再使用环境变量；<a href="https://docs.stripe.com/keys-best-practices">官方密钥保护指南</a>要求不把 secret 或 restricted key 硬编码进源码，也不从错误页面或诊断输出暴露环境变量。
Connect 的段落缺口需要单独确认
<a href="https://docs.stripe.com/mcp#stripe-connect">同页 Connect 说明</a>写明：当 MCP 代表 connected accounts 工作时不支持 OAuth，应使用平台 restricted API key，并仅授予所需 connected-account 权限。只访问平台自身账户则走标准设置。因而“所有账户都改为 OAuth”并不是可用的通用迁移建议。
截止段落要求 Agent 标签，Connect 段落没有重述该限定；API keys 文档则说明 Agent key 本身就是带标签的 restricted key。二者存在可解释的对应关系，但本文没有官方材料确认 Connect 的具体配置兼容性或豁免。接入方应向 Stripe 核实平台 key 的 Agent 标签、connected-account 权限及审批流程，再测试；不能用表述省略推导旧的未标记 key 可以继续使用。
按账户和环境列清单，再在 sandbox 验证
下面是依据官方文档整理的核验顺序，并非已经执行的密钥迁移。涉及账户认证变更时由账户负责人完成，避免为了赶截止时间先撤销仍在使用的生产凭据。
401 先查认证，别把权限问题当网络问题
如果得到 401 和 OAuth discovery challenge，先核对服务目标、认证方式、Agent 标签、账户环境及 key 是否已失效。HTTP 401 本身不足以证明被地域限制，也不能用切换代理或无限重试修复不受支持的 key。若证据是连接超时、TLS 或代理认证错误，再按 <a href="/resources/proxy-connection-troubleshooting-checklist">代理连接排查清单</a>检查网络层。
发布前和实际切换前继续复查这份官方认证文档，特别是 Connect 标签说明与精确生效时间。保留当前可用配置的证据，分清测试完成、生产验证和官方澄清三种状态；不要将一份核验清单当成整个支付链路已经迁移成功。
资料来源
常见问题
所有 Stripe API key 都会在 10 月 31 日失效吗？
没有这种证据。官方规则针对 Stripe MCP，拒绝全权限 secret key 与没有 Agent 标签的 restricted key，不能扩写到所有普通 API 或 webhook 凭据。
把 restricted key 名称改成 Agent 是否足够？
不够。官方说明是在创建 restricted key 时标记 agent 用途；应核对真实 Agent 标签、权限和 approval rules，不能只看名称。
Connect connected accounts 可以全部改用 OAuth 吗？
当前 MCP 文档说代表 connected accounts 时不支持 OAuth，要求平台 restricted key。标签与具体兼容性须核实，不能据该段省略推导截止规则豁免。
截止日的具体时间和时区是什么？
当前文档只给 2026 年 10 月 31 日，未公开精确生效时刻和时区，也未提供本次变更的精确发布时间；应提前安排核验。
sandbox 认证成功是否代表生产已完成迁移？
不是。sandbox/live 的账户数据和凭据范围不同；先验证测试环境，再由负责人确认生产路径、权限和切换安排。本文没有实际账户迁移结果。