Prime B2B ServicesMarketing your board can measure
Book a call

Sécuriser le serveur MCP HubSpot (2026) : risques, contrôles et enjeux RGPD

Marek Kujda · 27 juil. 2026

Le serveur MCP distant de HubSpot est disponible pour tous depuis le 13 avril 2026. Il connecte n'importe quel client IA compatible MCP — Claude, ChatGPT, Cursor, agents sur mesure — à votre CRM via une connexion hébergée par HubSpot, authentifiée en OAuth 2.1 avec PKCE. La réalité en matière de sécurité est simple : chaque appel d'outil renvoie exactement les données que l'utilisateur autorisant peut déjà consulter. Sécuriser l'ensemble relève donc moins du protocole que de la discipline sur les périmètres d'accès, des contrôles natifs de HubSpot sur les données sensibles, des points de validation humaine sur les écritures et des accords de sous-traitance qu'impose le RGPD dès lors que des données CRM partent vers un client IA externe.

Réponse rapide : le serveur MCP de HubSpot est sûr au niveau du transport et des permissions (OAuth 2.1 + PKCE, permissions utilisateur appliquées). Le risque se situe une couche au-dessus : dans ce que le client IA connecté fait des données qu'il peut désormais lire et écrire, et dans les attaques par injection de prompt et par empoisonnement d'outils, que le protocole n'arrête pas à lui seul.

Qu'est-ce que le serveur MCP de HubSpot ?

Le serveur MCP de HubSpot est un point de terminaison du Model Context Protocol, hébergé par HubSpot à l'adresse mcp.hubspot.com, qui permet aux outils d'IA compatibles MCP de lire dans votre CRM et d'y écrire en langage naturel. Le Model Context Protocol est un standard qui permet aux agents IA de demander du contexte à des systèmes externes et d'y effectuer des actions via une interface définie.

Depuis la disponibilité générale d'avril 2026, le serveur expose :

  • Objets CRM (lecture/écriture) : contacts, entreprises, transactions, tickets, paniers, produits, commandes, lignes de produits, factures, devis, abonnements et listes.
  • Engagements (lecture/écriture) : appels, e-mails, réunions, notes et tâches.
  • Contexte organisationnel (lecture seule) : utilisateurs, équipes, propriétaires, rôles et licences (seats).
  • Marketing et contenu (lecture seule) : campagnes, pages de destination, pages de site et articles de blog.

Une distinction s'impose avant toute discussion sur la sécurité : le serveur MCP distant de HubSpot est différent du serveur MCP développeur, un outil local destiné à la création d'applications et de contenus CMS. Cet article porte sur le serveur distant — celui qui touche aux données CRM réelles.

Quels sont les risques de sécurité réels ?

Le protocole lui-même n'est pas le maillon faible. Trois éléments le sont.

Les permissions héritées deviennent la portée de l'IA. Chaque appel d'outil MCP renvoie les données que l'utilisateur autorisant peut voir. Si un commercial disposant d'un accès large au portail connecte un client IA, ce client peut désormais lire chaque contact, chaque transaction et chaque engagement accessible à ce commercial. Le rayon d'impact d'une seule connexion sur-privilégiée, c'est toute la surface que cet utilisateur touche.

L'injection de prompt. Les attaquants dissimulent des instructions dans les contenus que l'IA traite : un champ de note, le corps d'un e-mail, une page web que l'agent consulte. L'agent les exécute. L'OWASP Top 10 for Agentic Applications (2026) classe cette famille sous ASI01, Agent Goal Hijack. Les chercheurs en sécurité suivent l'injection de prompt depuis des années et la décrivent toujours comme un problème non résolu, et non comme une faille corrigée.

L'empoisonnement d'outils (tool poisoning). Les agents IA se fient aux métadonnées annoncées par un serveur — noms d'outils, descriptions, schémas de paramètres — pour décider quoi appeler. Un serveur malveillant ou compromis peut cacher des instructions dans ces métadonnées : invisibles pour l'utilisateur, lues par le modèle. Invariant Labs a démontré un cas où la description empoisonnée d'un outil sur un serveur secondaire a conduit un agent à exfiltrer l'intégralité de l'historique de messages d'un utilisateur via un appel d'outil d'apparence anodine. Comme les utilisateurs approuvent un outil une seule fois et le réexaminent rarement, une définition empoisonnée persiste dans toutes les sessions suivantes. Le risque augmente lorsqu'un serveur de confiance coexiste avec plusieurs serveurs tiers : la description d'un serveur malveillant peut détourner le comportement des autres.

Comment sécuriser le serveur MCP de HubSpot ?

Aucun contrôle isolé ne suffit. L'approche qui fonctionne est en couches.

1. Gardez l'authentification sous gestion. OAuth 2.1 avec PKCE est obligatoire pour chaque connexion, et c'est la bonne base de départ. Créez la connexion via les MCP Auth Apps de HubSpot afin que les identifiants soient générés et gérés par HubSpot plutôt que codés en dur dans des fichiers de configuration. Évitez de coller des jetons à longue durée de vie dans des installations locales.

2. Réduisez le périmètre, connexion par connexion. Toutes les actions MCP respectent les permissions utilisateur existantes de HubSpot : un utilisateur ne peut consulter ou modifier que les enregistrements auxquels il a déjà droit. Exploitez ce mécanisme. Connectez les clients IA via des comptes limités au strict nécessaire pour la tâche, jamais via des licences admin ou super-admin. La mise à jour 2026 de la spécification MCP a introduit le consentement incrémental aux périmètres, qui permet aux clients de ne demander que les accès nécessaires à une opération donnée plutôt que tout d'emblée ; privilégiez ce schéma là où votre outillage le permet.

3. Activez le paramètre « données sensibles » de HubSpot. C'est le contrôle natif le plus direct dont vous disposez. Si les données sensibles sont activées sur votre compte, les objets d'engagement — appels, e-mails, réunions, notes et tâches — sont bloqués en accès via le serveur MCP. La restriction est spécifique au serveur MCP : elle ne s'applique pas aux API CRM standard. Pour les portails soumis à réglementation, c'est le seul interrupteur qui tient les contenus en texte libre les plus sensibles à l'écart des clients IA sans casser le reste de votre stack.

4. Placez un humain dans la boucle sur les écritures. La disponibilité générale a ajouté l'accès en écriture, ce qui change le profil de risque. Créer, mettre à jour et supprimer des enregistrements — et désormais créer des engagements — sont des opérations qu'une instruction erronée ou injectée peut endommager de façon difficilement réversible. La spécification MCP elle-même précise qu'un humain doit toujours pouvoir refuser l'invocation d'un outil. Imposez une validation sur les opérations destructrices ou de masse plutôt que de laisser un agent les exécuter sans surveillance.

5. Passez au crible tous les autres serveurs MCP de la session. Parce que l'empoisonnement d'outils circule par les métadonnées et d'un serveur à l'autre, considérez chaque serveur connecté comme faisant partie de votre périmètre de confiance. Isolez les serveurs de confiance des serveurs tiers non vérifiés, et réexaminez les définitions d'outils après chaque mise à jour au lieu de vous fier à une approbation unique.

6. Surveillez et journalisez au niveau MCP. Les contrôles classiques anti-bots et d'identité ne voient pas ces attaques, car elles empruntent des canaux légitimes et authentifiés. La surveillance comportementale, la journalisation d'audit des appels d'outils et la prévention des fuites de données (DLP) au niveau MCP vous donnent la piste de preuves et la possibilité de repérer une exfiltration qui ressemble à du trafic normal. Attention au compromis : dès que vous journalisez les prompts et les réponses, ce journal devient un nouveau stock de données personnelles à protéger.

Le serveur MCP de HubSpot est-il conforme au RGPD ?

La conformité n'est pas une propriété du serveur, mais de votre déploiement. Le serveur MCP de HubSpot peut faire partie d'un dispositif conforme au RGPD, mais le connecter n'en crée pas un.

Le mécanisme à surveiller : MCP achemine les données CRM vers le client IA que vous connectez. Si le fournisseur de ce client traite les données pour votre compte, il est sous-traitant au sens du RGPD, et l'article 28 exige un accord de sous-traitance (DPA) avant tout flux de données personnelles vers lui. Un compte IA personnel ou d'entrée de gamme, sans DPA derrière, est la faille que la plupart des équipes laissent passer. Concrètement, cela signifie faire passer les intégrations IA par des offres commerciales ou entreprise assorties d'un DPA, activer le paramètre « données sensibles » et mener une AIPD lorsque les données concernées le justifient — avant d'activer la journalisation au niveau du contenu.

Il s'agit ici d'une question de conception de la conformité, pas d'un conseil juridique : validez les points précis avec votre propre conseil, pour votre juridiction et vos données.

FAQ

Le serveur MCP de HubSpot est-il sûr ? Au niveau de la connexion et des permissions, oui : il utilise OAuth 2.1 avec PKCE et applique les permissions utilisateur existantes. Le risque résiduel tient à ce que le client IA connecté fait de cet accès, et aux attaques par injection de prompt et empoisonnement d'outils que le protocole ne bloque pas de lui-même.

Le serveur MCP de HubSpot respecte-t-il les permissions utilisateur ? Oui. Un utilisateur ne peut consulter ou modifier que les enregistrements qu'il a déjà le droit de voir ou d'éditer. Un client IA connecté sous un utilisateur donné hérite exactement de la portée de cet utilisateur — ni plus, ni moins.

Le serveur MCP de HubSpot peut-il exposer des données sensibles ? Il peut renvoyer toutes les données que l'utilisateur autorisant peut voir. Le paramètre « données sensibles » de HubSpot bloque les objets d'engagement (appels, e-mails, réunions, notes, tâches) spécifiquement pour le serveur MCP : c'est le principal contrôle natif pour limiter l'exposition.

Quelle différence entre le serveur MCP distant et le serveur MCP développeur de HubSpot ? Le serveur distant (mcp.hubspot.com) connecte les clients IA aux données CRM réelles. Le serveur MCP développeur est un outil local pour créer des applications et des contenus CMS. Les décisions de sécurité portant sur les données de production concernent le serveur distant.

Ai-je besoin d'un DPA pour utiliser le serveur MCP de HubSpot dans l'UE ? Si le fournisseur du client IA connecté traite des données personnelles pour votre compte, l'article 28 du RGPD impose un accord de sous-traitance avec ce fournisseur. C'est le transfert de données vers ce client par le serveur MCP de HubSpot qui déclenche cette obligation.

Sources

Keep reading