Conectar con OAuth

La forma de conectar un asistente sin pegarle tus claves: se identifica el usuario en Afer, elige empresa y permisos, y el asistente recibe su propio token.

Cuándo hace falta

Hay dos maneras de conectar un asistente al servidor MCP de Afer:

Ninguna sustituye a la otra: si tu cliente admite cabeceras, con la clave vas más rápido. OAuth gana cuando quieres no compartir la credencial —porque conectas a alguien de fuera, o porque el asistente es de un tercero— o cuando el cliente sencillamente no acepta otra cosa.

Cómo se conecta

Desde el lado de quien conecta no hay nada que configurar más allá de la URL. El resto lo negocian el cliente y nuestro servidor:

https://api.afer.pro/mcp/

1. El cliente llama al servidor sin credenciales y recibe un 401 que le dice dónde autenticarse.
2. Se registra solo (registro dinámico): no hay que darle de alta a mano ni generar client_id.
3. Te abre Afer para que inicies sesión, elijas empresa y concedas permisos.
4. Recibe un token propio, con caducidad, atado a esa empresa y a esos permisos.

Qué permisos puedes dar

El recorte es de verdad, no cosmético: si concedes solo lectura, las herramientas de escritura ni siquiera aparecen en la lista que ve el asistente, y si las llama igualmente, el servidor las rechaza.

A qué da acceso un token

A una empresa, la que elegiste al autorizar. Si tu usuario lleva varias, cada una necesita su propia autorización — y así el asistente no puede saltar de una a otra.

El token dura una hora y se renueva solo con su refresh token, que a su vez rota en cada uso: el anterior deja de valer en el momento. Si alguien te robara uno, la ventana es corta y el robo se detecta.

Retirar el acceso

Desde Configuración → Integraciones → API de Afer, en el listado de conexiones autorizadas. Al retirar una, el asistente deja de tener acceso en ese momento, sin esperar a que caduque nada.

Quitar el conector desde el propio asistente también corta el acceso por su lado, pero lo que manda es Afer: si quieres estar seguro, retíralo aquí.

Para quien implementa un cliente

El servidor sigue el perfil de autorización de MCP: OAuth 2.1 con PKCE obligatorio, metadatos publicados y registro dinámico de clientes. Si tu cliente habla el estándar, no hay nada que configurar a mano.