feat: add platform key usage to mcp auth

docs/mcp-interface.md

@@ -93,6 +93,19 @@
 - конкретный curated toolset;
 - набор usage и log labels.
 
+## 7.1. MCP authentication
+
+`mcp-server` использует workspace-scoped `platform API keys` как machine credentials.
+
+Контракт:
+
+- клиент передает `Authorization: Bearer crk_...`;
+- ключ должен принадлежать workspace из path;
+- `read` разрешает `initialize`, `notifications/initialized`, `ping`, `tools/list`;
+- `write` разрешает `tools/call`;
+- `deploy` сейчас включает те же MCP права, что и `write`, и зарезервирован для deploy-scoped automation;
+- успешная аутентификация обновляет `platform_api_keys.last_used_at`.
+
 ## 8. MCP lifecycle
 
 Поддерживаемые JSON-RPC методы: