So sánh máy chủ MCP của 14 nền tảng email tính đến ngày 9/10/2026: nơi lưu trữ, OAuth hay khóa API, quyền ghi và ai phải phê duyệt một lượt gửi.
Máy chủ MCP của một nền tảng email là một endpoint đưa các thao tác của nền tảng (đọc báo cáo, chỉnh sửa mẫu, gửi chiến dịch) ra dưới dạng công cụ mà một client AI như Claude, ChatGPT hoặc Cursor có thể gọi. Gần như mọi ESP lớn đều đã có. Khác biệt thật sự nằm ở chỗ agent được thay đổi những gì và ai phê duyệt một lượt gửi.
Dưới đây là thông tin về từng nền tảng: máy chủ chạy ở đâu, xác thực thế nào, ghi và gửi được gì, và điều gì đứng giữa agent với danh sách của bạn. Thông tin được rà soát vào ngày 9/10/2026. Brew có máy chủ MCP riêng, nên phần thông tin về đối thủ chỉ dựa trên tài liệu được dẫn liên kết của họ.
read-only=true của Klaviyo, các endpoint theo từng module của Brevo, chế độ mặc định chỉ đọc của Customer.io.“Từ xa” nghĩa là nhà cung cấp lưu trữ máy chủ; “cục bộ” nghĩa là bạn tự chạy một gói phần mềm. Cột cơ chế bảo vệ chỉ tính những gì nền tảng bắt buộc áp dụng.
| Nền tảng | Máy chủ | Xác thực | Agent ghi được | Gửi được không? | Cơ chế bảo vệ khi gửi phía nền tảng | Hoạt động từ |
|---|---|---|---|---|---|---|
| Brew | Từ xa, brew.new/api/mcp |
OAuth 2.1 hoặc khóa API | Thiết kế, tự động hóa, đối tượng, tên miền | Chiến dịch, gửi thử, lượt kích hoạt | ID xác nhận trên kết nối OAuth và kết nối cấp tổ chức | Tháng 6/2026 |
| Klaviyo | Từ xa mcp.klaviyo.com/mcp, hoặc cục bộ |
OAuth (từ xa), khóa API riêng tư (cục bộ) | Chiến dịch, luồng, mẫu, hồ sơ | Có, send_campaign |
Cờ read-only=true tùy chọn |
Bản từ xa GA 20/8/2025 |
| HubSpot | Từ xa mcp.hubspot.com |
OAuth với PKCE qua trình kết nối của riêng bạn | Bản ghi CRM, bản nháp email, trang | Lên lịch và xuất bản (nhật ký thay đổi 15/9/2026) | Quyền của người dùng, nhật ký kiểm tra | GA 13/4/2026 |
| Braze | Từ xa, URL cho Mỹ và EU | OAuth với đăng nhập bảng điều khiển | Mẫu, Content Blocks, danh mục | Chỉ qua API chiến dịch bản beta | Công tắc của quản trị viên kèm quyền cho từng người dùng, mặc định tắt | Bản từ xa 23/7/2026 |
| Customer.io | Từ xa, URL cho Mỹ và EU | OAuth với phạm vi quyền | Bản nháp (write), dữ liệu thực tế (write:live) |
Với write:live |
Mặc định chỉ đọc; chỉnh sửa dữ liệu thực tế cần quản trị viên cho phép | Có trong ghi chú phát hành 7/10/2025 |
| Brevo | Từ xa mcp.brevo.com |
Token MCP (khóa API) | Chiến dịch email, SMS, WhatsApp, liên hệ, CRM | Có tài liệu cho SMS và WhatsApp | Endpoint theo từng module | 14/10/2025 (truy cập sớm) |
| Kit | Từ xa app.kit.com/mcp |
OAuth | Người đăng ký, broadcast, chuỗi email, trang | Có | Thao tác gửi và xóa phải được xác nhận trong Kit | 19/5/2026 |
| beehiiv | Từ xa mcp.beehiiv.com/mcp |
OAuth | Bản nháp, mẫu, phân khúc, tự động hóa | Không | Việc xuất bản và bật tự động hóa vẫn diễn ra trong ứng dụng | 24/3/2026 |
| Loops | Từ xa mcp.loops.so |
OAuth | Liên hệ, chiến dịch, quy trình, nội dung | Email giao dịch và sự kiện | Chiến dịch được gửi từ bảng điều khiển | Trình kết nối Claude 12/8/2026 |
| Salesforce MCE | Từ xa, URL theo từng tenant | OAuth qua phạm vi của gói đã cài đặt | Data extension, hành trình, nội dung | Email giao dịch; xuất bản hành trình | Phạm vi của gói kèm quyền của người dùng | GA tháng 6/2026 |
| Resend | Từ xa mcp.resend.com/mcp, hoặc cục bộ |
OAuth hoặc khóa API | Email, broadcast, tự động hóa, mẫu | Có | Chỉ dựa vào phê duyệt trong client; khóa lũy đẳng khi gửi | Bản từ xa 7/7/2026 |
| Postmark | Chỉ cục bộ (npm) | Server token | Gửi email, mẫu, danh sách chặn, webhook | Có | Chỉ có chú thích công cụ | Gói npm 26/11/2025 |
| ActiveCampaign | Từ xa, URL theo từng tài khoản | Đăng nhập và phê duyệt | Liên hệ, danh sách, cơ hội bán hàng, nội dung chiến dịch | Không có công cụ gửi nào được liệt kê | Không có tài liệu | Không nêu rõ |
| Mailchimp | Transactional: mandrillapp.com/mcp |
Khóa API | API Transactional | Transactional: có | Nhóm quyền của khóa API | Không nêu rõ |
Bảng trên dưới dạng năm câu hỏi. Xanh lá là có, xám là không, vàng cam là một phần hoặc có điều kiện.
Hướng dẫn kết nối khuyên dùng bản từ xa (OAuth, đăng ký client động) thay vì bản cục bộ uvx klaviyo-mcp-server@latest. Phần đáng giá nhất là các tham số truy vấn: read-only=true loại bỏ các công cụ ghi, disable-tools-with-user-generated-content=true gỡ các công cụ đọc dữ liệu hồ sơ và sự kiện, toolsets=campaigns:read giới hạn công cụ trong các phạm vi API được liệt kê, còn core-tools-only=true rút danh sách xuống khoảng 40 công cụ. Danh sách công cụ gồm create_campaign, send_campaign và cancel_campaign_send. Klaviyo đã công bố “hơn 260 công cụ MCP” tại K:BOS vào ngày 9/9/2026.
Máy chủ từ xa cần một trình kết nối MCP được tạo trong mục Development. Phạm vi quyền phụ thuộc vào các công cụ có sẵn lúc cài đặt và những gì người dùng cấp. Tài liệu liệt kê “tạo và cập nhật bản nháp email”, và nhật ký thay đổi Fall 2026 ngày 15/9 bổ sung “cấu hình thông tin gửi, lên lịch, xuất bản”. Các thao tác ghi cấu hình được “ghi nhận trong Audit Log”.
Máy chủ từ xa đã thay thế một máy chủ cục bộ ra mắt vào tháng 8/2025. Hướng dẫn thiết lập có quy tắc truy cập chặt chẽ nhất trong danh sách này: ngoài công tắc của quản trị viên, người dùng còn cần quyền “Use MCP Server”, và quản trị viên có thể thu hồi mọi token MCP cùng lúc. Các công cụ bao gồm phân tích, mẫu, Content Blocks, danh mục và phân khúc, không có dữ liệu hồ sơ người dùng. Tính năng tạo chiến dịch và launch_campaign chỉ có ở bản beta.
Máy chủ truy cập toàn bộ API của Journeys và Data Pipelines qua ba công cụ cio_read_api, cio_write_api và cio_delete_api, tất cả đều có bản xem trước chạy mô phỏng (dry run). Việc tách công cụ theo động từ cho phép client tự động phê duyệt thao tác đọc và hỏi trước khi ghi. write:live, quyền cần có để gửi, chỉ hoạt động sau khi quản trị viên bật “Allow MCP to edit live data”.
Máy chủ nhận một khóa API đã bật tùy chọn MCP, dùng làm Bearer token. Endpoint chính gộp 27 module; mỗi module cũng có endpoint riêng, chẳng hạn /v1/brevo_contacts/mcp, vì ít công cụ hơn “có thể cải thiện chất lượng phản hồi”. Các module SMS và WhatsApp có thể “tạo và gửi”; email thì “tạo và quản lý”. Trình kết nối Claude của Brevo, ra mắt ngày 28/9/2026, chỉ lưu bản nháp: “Việc gửi, lên lịch và xóa vẫn do bạn thực hiện trong Brevo”.
Kit MCP, dành cho các gói trả phí, ánh xạ một-một với API v4, với giới hạn 120 yêu cầu mỗi phút cho mỗi token. Bài viết hướng dẫn liệt kê hơn 65 công cụ cùng cơ chế bảo vệ khi gửi cụ thể nhất trong danh sách này. Với các thao tác “gửi một Broadcast, xóa một Email Sequence, hủy đăng ký một người đăng ký, kích hoạt một webhook”, máy chủ trả về một deep link, và không có gì xảy ra cho đến khi bạn nhấp Confirm trong Kit.
Các gói trả phí có quyền ghi từ ngày 16/6. Bài viết hướng dẫn nói thẳng: bản nháp “phải được xuất bản từ ứng dụng”, tự động hóa “phải được bật trong ứng dụng”, và “hiện chưa thể gửi bài viết qua MCP”. Bài viết hướng các lượt gửi thực tế sang API có phiên bản, vì MCP “không có phiên bản cố định”.
Máy chủ của Loops quản lý liên hệ, danh sách, sự kiện, chiến dịch, quy trình và nội dung, đồng thời gửi các email giao dịch đã xuất bản. Nhật ký thay đổi ngày 12/8 bổ sung “thao tác ghi Workflow an toàn theo bản sửa đổi”: mỗi thao tác ghi mang theo bản sửa đổi (revision) mà nó đọc lần cuối, và Loops từ chối nếu quy trình đã thay đổi kể từ đó. Nhiều máy chủ khác nên học theo cách này. Với chiến dịch, Loops yêu cầu “mở chiến dịch trong bảng điều khiển để xuất bản và gửi”.
Máy chủ được lưu trữ sẵn này đã được phát hành rộng rãi. Bạn cài đặt một gói, chọn phạm vi API của gói đó, rồi kết nối bằng ID tenant và ID client. Agent nhận được phần giao giữa phạm vi của gói và quyền của bạn. Các công cụ được gắn nhãn Destructive, Asynchronous, Read-only hoặc Open-world, và các lệnh gọi được tính vào giới hạn API hằng năm của bạn.
Resend ra mắt máy chủ từ xa cùng với gói mã nguồn mở resend-mcp. Mã nguồn đăng ký 106 công cụ, gồm send-email, send-batch-emails và send-broadcast. Các công cụ xóa dặn mô hình rằng nó “PHẢI xác nhận lại với người dùng”, nhưng máy chủ không bắt buộc điều đó. send-email nhận idempotencyKey.
Máy chủ chính thức chạy qua npx -y @activecampaign/postmark-mcp. 24 công cụ của máy chủ này, được chú thích là chỉ đọc, có tính phá hủy hoặc lũy đẳng, bao gồm gửi email (500 email mỗi lô), mẫu, chẩn đoán, thư bị trả lại, danh sách chặn và webhook. Postmark yêu cầu bạn xác nhận đúng kho mã chính thức, và có lý do chính đáng: vào tháng 9/2025, một gói npm không chính thức tên postmark-mcp đã sao chép mọi email gửi đi tới một địa chỉ bên ngoài, kể từ phiên bản 1.0.16.
Máy chủ từ xa của ActiveCampaign có khoảng 50 công cụ (liên hệ, thẻ, danh sách, cơ hội bán hàng, object tùy chỉnh, update_campaign_message, add_contact_to_automation) và không có công cụ gửi chiến dịch.
Transactional MCP của Mailchimp tại https://mandrillapp.com/mcp “phản ánh đúng những gì API của chúng tôi vốn đã làm được”, bao gồm cả việc gửi. Máy chủ Marketing MCP “tìm kiếm trong tài liệu, không phải trong tài khoản Mailchimp của bạn”, còn với trình kết nối Claude, bạn “chuyển sang tài khoản Mailchimp để hoàn thiện và gửi chiến dịch”.
Ấn bản State of Email tháng 9 của chúng tôi đã liệt kê Klaviyo, HubSpot, Salesforce, Braze, Customer.io, Brevo, beehiiv, Loops và Intuit Mailchimp là những bên ra mắt hoặc công bố quyền truy cập cho agent trong khoảng từ ngày 12/8 đến ngày 29/9. Tất cả, trừ Loops và Intuit Mailchimp, đều đã có sẵn một máy chủ MCP hoạt động được cho email tiếp thị. Những điểm mới gồm: trình kết nối Claude của Loops, số lượng công cụ và bản xem trước SQL của Klaviyo, các công cụ phân tích của Customer.io, tính năng lên lịch email tiếp thị của HubSpot, trình kết nối chính thức của Brevo và beehiiv, thông báo Headless Marketing của Salesforce, Operator Connect của Braze và trình kết nối của Intuit Mailchimp trong Perplexity Computer.
Số lượng công cụ thường được đưa vào thông cáo báo chí, nhưng lại cho bạn biết ít nhất.
OAuth gắn agent với một người cụ thể và agent thừa hưởng quyền của người đó (Braze, Customer.io, beehiiv và Brew nêu rõ điều này trong tài liệu), nên quyền truy cập chấm dứt khi người đó rời đi. Một khóa API nằm trên máy tính xách tay thì không thuộc về ai, và thường mang nhiều quyền hơn mức công việc cần. Hãy chỉ dùng khóa cho các tác vụ tự động không có người trực tiếp thao tác (headless), và giới hạn phạm vi của khóa.
Nếu agent có thể tiếp cận một nhóm đối tượng thật, nền tảng có bắt buộc một bước xác nhận của con người gắn với đúng thao tác cụ thể không? Một bước xác nhận mà mô hình tự vượt qua bằng cách đặt confirm: true thì chẳng kiểm tra được gì. Deep link của Kit đưa con người vào quy trình ngay ở phía máy chủ: không có gì xảy ra cho đến khi có người nhấp Confirm trong Kit. ID xác nhận dùng một lần của Brew cũng do máy chủ thực thi, nhưng nó chứng minh một điều hẹp hơn. Nó ngăn agent thay đổi người nhận hoặc nội dung sau bước xem trước, hay phát lại lượt gửi. Chính agent nhận ID đó, nên việc có người thực sự xem hay không phụ thuộc vào việc client của bạn có hiển thị hộp thoại xác nhận hay không. Các nền tảng còn lại dựa vào đặc tả MCP, trong đó nói rằng client “NÊN” hiển thị hộp thoại xác nhận. Lời khuyên tốt, nhưng không được thực thi.
Agent sẽ thử lại, và một lần thử lại không được nhận diện sau khi hết thời gian chờ đồng nghĩa với một lượt gửi thứ hai. Hãy tìm khóa lũy đẳng khi gửi (Resend, Brew), khóa lạc quan (optimistic locking) khi chỉnh sửa (cơ chế kiểm tra bản sửa đổi của Loops), hoặc chú thích idempotentHint (Postmark). Chúng tôi sẽ không để một máy chủ không có cơ chế nào trong số này được phép gửi email.
Agency cần biết mỗi lệnh gọi tác động đến tài khoản nào. Braze truyền không gian làm việc theo từng yêu cầu và cảnh báo rằng agent “có thể chọn một không gian làm việc khác với không gian bạn định chọn”. Klaviyo và beehiiv dùng một trình kết nối cho mỗi tài khoản. Brew gắn kết nối cấp thương hiệu với đúng một thương hiệu và từ chối các lệnh gọi cho thương hiệu khác bằng lỗi BRAND_SCOPE_MISMATCH.
Các vòng lặp của agent tiêu hao rất nhanh giới hạn API được thừa hưởng. Kit và Loops công bố giới hạn của họ (xem phần Câu hỏi thường gặp), còn Salesforce tính các lệnh gọi MCP vào hạn mức hằng năm của bạn. Với các nền tảng còn lại, hãy lên kế hoạch dựa trên giới hạn API thông thường.
Mỗi định nghĩa công cụ đều chiếm ngữ cảnh, và mô hình chọn kém hơn khi danh sách dài, nên hơn 260 công cụ không mặc nhiên tốt hơn ba công cụ. Đó là lý do Klaviyo có core-tools-only và Brevo có endpoint theo từng module. Hãy đọc thử vài mô tả trước; mô tả tốt sẽ cho biết công cụ tốn gì và khi nào không nên dùng.
Coi mọi kết quả công cụ là đầu vào không đáng tin cậy. LLM01 của OWASP gọi đây là tấn công chèn câu lệnh gián tiếp (indirect prompt injection): nội dung bên ngoài “làm thay đổi hành vi của mô hình theo những cách ngoài ý muốn hoặc không lường trước”. Một chỉ dẫn được gõ vào trường tên của người đăng ký sẽ lọt vào câu lệnh của agent. Cờ nội dung do người dùng tạo của Klaviyo ra đời chính vì điều này.
Chỉ cấp quyền tối thiểu mà công việc cần. Hãy bắt đầu với chế độ chỉ đọc. Salesforce cảnh báo “bạn có thể không hoàn tác được các thay đổi”, và hướng dẫn bảo mật của dự án MCP lưu ý rằng cấp phạm vi rộng ngay từ đầu sẽ khiến hậu quả tồi tệ hơn khi token bị lộ.
Bắt buộc có con người duyệt mọi thao tác gửi email đến người khác. Hãy để client hỏi trước mỗi thao tác ghi, kể cả trên những máy chủ đã có cơ chế kiểm tra riêng. Đặc tả nêu rằng client “PHẢI coi chú thích công cụ là không đáng tin cậy, trừ khi chúng đến từ máy chủ đáng tin cậy”.
Chỉ cài đặt gói chính thức. Gói Postmark giả mạo đã phát hành mã sạch trong 15 phiên bản đầu tiên. Hãy ưu tiên URL được lưu trữ sẵn; với máy chủ cục bộ, hãy ghim phiên bản và dùng kho mã do nhà cung cấp dẫn liên kết.
Biết cách thu hồi quyền truy cập. Quản trị viên Braze thu hồi mọi token cùng lúc, người dùng Customer.io thu hồi phiên của chính họ, còn Brew liệt kê các kết nối OAuth trong Cài đặt → MCP. Hãy tìm trang đó ngay bây giờ. Về các quy tắc dành cho người gửi, hãy xem những gì vẫn áp dụng khi agent gửi email thay bạn.
Kết nối tới https://brew.new/api/mcp bằng OAuth 2.1 cho một thương hiệu hoặc cả tổ chức, hoặc bằng khóa API cấp thương hiệu hay cấp tổ chức. Danh mục công cụ có 88 công cụ, được chú thích bằng readOnlyHint và destructiveHint.
Trên kết nối OAuth và kết nối cấp tổ chức, một lệnh gọi gửi email đến người khác hoặc xóa dữ liệu liên hệ trước tiên sẽ trả về confirmation_required, kèm bản xem trước thiết kế, danh sách người nhận, tự động hóa hoặc các địa chỉ liên quan. Lặp lại lệnh gọi đó với confirmed: true và confirmation_id được trả về, lệnh sẽ chạy. Theo tài liệu xác thực, ID này chỉ có hiệu lực cho đúng các tham số đó, từ cùng một kết nối, trong 15 phút và chỉ một lần. Cơ chế này áp dụng cho send_email, các lượt khởi chạy run_automation thật, mọi fire_trigger_event, việc xuất bản qua save_automation và delete_contacts. Cần nói rõ cơ chế này đảm bảo điều gì: máy chủ không thể phân biệt sự phê duyệt của một người với sự phê duyệt của chính agent, nên hãy kết hợp với một client biết hỏi trước khi chạy công cụ ghi. Các công cụ ghi cũng nhận idempotency_key, dùng chung với header REST Idempotency-Key, và khi send_email không thể đảm bảo chống gửi trùng, nó trả về lỗi 503 có thể thử lại thay vì liều gửi hai lần.
Kết nối dùng khóa API cấp thương hiệu bỏ qua bước xác nhận này, nên hãy để client hoặc mã của bạn hỏi trước. Liên hệ được đưa vào qua REST API, nhập CSV hoặc các tích hợp. Brew chỉ hỗ trợ email. Mã kích hoạt chạy thực tế nên dùng REST API (MCP hay REST). Để so sánh tính năng, hãy xem bài tổng hợp về MCP trước đây của chúng tôi.
Tính đến ngày 9/10/2026: Klaviyo, HubSpot, Braze, Customer.io, Brevo, Kit, beehiiv, Loops, Salesforce Marketing Cloud Engagement, Resend, Postmark, ActiveCampaign, Mailchimp Transactional và Brew. Máy chủ của Mailchimp Marketing chỉ tìm kiếm trong tài liệu; quyền truy cập tài khoản đi qua trình kết nối Claude.
Có, trên một số nền tảng. Klaviyo, Customer.io (với write:live), Kit, Resend, Brew và HubSpot (theo nhật ký thay đổi tháng 9) cung cấp thao tác gửi hoặc lên lịch. beehiiv không gửi qua MCP, Loops gửi chiến dịch từ bảng điều khiển, còn trình kết nối Claude của Brevo chỉ lưu bản nháp.
Với con người, OAuth an toàn hơn. Token thuộc về một người dùng, thừa hưởng quyền của người đó và có thể bị thu hồi mà không cần xoay vòng một khóa dùng chung. Với các tác vụ headless, hãy cấp cho mỗi agent một khóa riêng có phạm vi hẹp.
Hãy kết nối ở chế độ chỉ đọc hoặc chỉ soạn nháp, và yêu cầu phê duyệt trong client cho mọi thao tác ghi. Ưu tiên các nền tảng bắt buộc có bước xác nhận của con người như Kit, hoặc gắn bước xác nhận với đúng thao tác cụ thể như Brew, và luôn gửi đến một danh sách hộp thư thử nghiệm trước.
Rất ít nền tảng công bố con số riêng cho MCP. Kit cho phép 120 yêu cầu mỗi phút cho mỗi token, API nội dung của Loops cho phép 60 yêu cầu mỗi 60 giây cho mỗi nhóm, còn Salesforce tính các lệnh gọi MCP vào giới hạn API hằng năm của bạn. Với các nền tảng khác, hãy giả định giới hạn API thông thường.
