Conectores de claude.ai y ChatGPT

Ubicación en el admin: System › Settings › API & AI agents (/agent/keys), pestaña Connected apps. La pantalla de consentimiento se abre en /agent/consent cuando un conector solicita acceso (no está en el menú).

Qué hace

Las aplicaciones web de IA no pueden leer una clave de su disco. Se conectan mediante OAuth: usted añade la URL de MCP del panel, la aplicación le redirige a su propio admin para iniciar sesión, usted elige qué puede hacer la app y durante cuánto tiempo, y la aplicación recibe tokens de corta duración. No se copia ni se pega ninguna clave. Puede desconectar la aplicación en cualquier momento.

Utilice esto para los conectores personalizados de claude.ai, los conectores en modo desarrollador de ChatGPT y cualquier otro cliente MCP compatible con OAuth y registro dinámico de clientes. Las herramientas de línea de comandos pueden usar el mismo flujo, pero una clave de API de admin resulta más sencilla para ellas.

Requisitos

Elemento	Requisito
URL	https://cloud.example.com/mcp/admin, accesible desde internet (los servidores del proveedor se conectan a ella).
Proxy inverso	Si coloca su propio proxy delante del panel, debe reenviar /mcp/admin, /oauth-admin/ y las rutas /.well-known/ al panel.
Usted	Sesión iniciada en el admin de NexCMP en el mismo navegador que utilice para la pantalla de consentimiento.
Cliente	Compatible con MCP sobre Streamable HTTP, OAuth 2.1 con PKCE (S256) y registro dinámico de clientes.

Conectar

1. En la aplicación de IA, añada un conector MCP personalizado y pegue https://cloud.example.com/mcp/admin. En claude.ai esto se encuentra en los ajustes de conectores (añadir conector personalizado); en ChatGPT está en el modo desarrollador (añadir conector MCP, autenticación OAuth).
2. Elija Sign in (o "Connect") en la aplicación. Su navegador abrirá la pantalla de consentimiento del admin de NexCMP. Si no ha iniciado sesión, iníciela primero; la pantalla continuará después.
3. Lea la tarjeta: "Example AI app wants to manage this NexCMP admin" (el nombre de la app solicitante), junto con la dirección a la que se le redirigirá.
4. Marque los permisos que desea conceder. Los solicitados por la aplicación aparecen premarcados; si no solicitó ninguno, solo admin:read estará marcado. Consulte Scopes.
5. Elija la duración de la conexión: 7, 30 o 90 días (por defecto, 30).
6. Haga clic en Allow. El navegador regresará a la aplicación, que ahora estará conectada. Haga clic en Deny para rechazarla.

::: important Elija los permisos como lo haría para una clave Otorgue el conjunto mínimo necesario para la tarea. Las acciones financieras, de eliminación y de seguridad seguirán deteniéndose en una vista previa y requerirán su aprobación, pero una conexión con settings:write aún puede modificar su imagen de marca y correo electrónico. :::

Gestionar y revocar

Abra System › Settings › API & AI agents › Connected apps. La tabla enumera cada aplicación que ha conectado: aplicación, permisos, cuándo se conectó, cuándo expira y cuándo se utilizó por última vez.

Para revocar el acceso a una aplicación, haga clic en Revoke y confirme. Sus tokens dejarán de funcionar de inmediato; la aplicación deberá pasar de nuevo por la pantalla de consentimiento para volver a conectarse.

Cómo funciona el flujo

Paso	Detalle
Descubrimiento	La aplicación lee /.well-known/oauth-protected-resource/mcp/admin y luego /.well-known/oauth-authorization-server/oauth-admin. El emisor es https://cloud.example.com/oauth-admin.
Registro	La aplicación se registra a sí misma (POST /oauth-admin/register, RFC 7591). Solo se admiten clientes públicos (sin client secret). La dirección de redirección debe ser https, o http en el mismo equipo (loopback).
Autorización	GET /oauth-admin/authorize con el método PKCE S256. Si se envía el parámetro resource, debe ser la URL /mcp/admin de este panel. La solicitud es válida durante 10 minutos y está vinculada al navegador que la inició.
Consentimiento	Usted elige los scopes y la duración (arriba). El código de autorización es válido durante 60 segundos y funciona una sola vez.
Tokens	POST /oauth-admin/token devuelve un access token (una clave ak_o..., válida durante 1 hora o hasta que finalice la conexión, lo que ocurra antes) y un refresh token (akr_...). Cada actualización devuelve un nuevo refresh token; el anterior deja de funcionar. La conexión finaliza transcurridos los días elegidos.
Revocación	Revoke en Connected apps, o la aplicación llama a POST /oauth-admin/revoke (RFC 7009).

El access token funciona como una clave admin con los scopes otorgados: mismas reglas de scope, confirmación, límite de tasa y registro de actividad. Sus llamadas aparecen en la pestaña Activity.

Verificación

1. En la aplicación, solicite "run system_health" (o "what tools do you have?"). La aplicación listará las herramientas permitidas por sus scopes (la lista de herramientas).
2. Abra Connected apps: Last used se actualiza.
3. Abra Activity: las llamadas se listan con el nombre de la aplicación y mcp.

Límites y notas

• Si la aplicación solicita iniciar sesión de nuevo tras una hora, es normal cuando un cliente no actualiza los tokens; vuelva a conectarse.
• Un refresh token utilizado dos veces se considera sustraído: se revoca la conexión completa. Vuelva a conectarse desde la aplicación.
• Un código de autorización utilizado dos veces se rechaza (invalid_grant) y se revocan los tokens emitidos a partir de él.
• El acceso OAuth nunca otorga más de lo permitido por las reglas de scopes: lo que una clave nunca puede hacer también aplica a las aplicaciones conectadas.
• Los proveedores cambian sus menús y compatibilidad. Si la aplicación de un proveedor no ofrece conectores personalizados en su plan, utilice en su lugar una admin API key con un cliente de escritorio o de línea de comandos.

Resolución de problemas

Síntoma	Causa	Solución
La pantalla de consentimiento indica "Wrong browser"	La solicitud se inició en un navegador distinto de aquel en el que ha iniciado sesión	Inicie la conexión de nuevo desde la aplicación de IA en el mismo navegador.
La pantalla de consentimiento indica que la solicitud ha caducado o no existe	Han pasado más de 10 minutos o el enlace se abrió dos veces	Inicie la conexión de nuevo desde la aplicación de IA.
Página con "Unknown client" o "redirect address does not match"	El registro de la aplicación ha caducado o utiliza una dirección de redirección que no registró	Elimine el conector en la aplicación y agréguelo de nuevo.
invalid_target	El resource enviado no es la URL /mcp/admin de este panel	Utilice la URL exacta que se muestra en la pestaña Connect an AI.
invalid_request sobre PKCE	El cliente no envía code_challenge_method=S256	Utilice un cliente compatible con OAuth 2.1 con PKCE.
La aplicación se conecta pero una llamada devuelve insufficient_scope	No seleccionó ese scope	Revoque la conexión y conéctese de nuevo marcando dicho scope.
La aplicación no puede acceder a la URL	DNS, TLS o el proxy inverso bloquean /mcp/admin, /oauth-admin/ o /.well-known/	Compruebe las reglas del proxy.