Elige un método de autenticación
Toda llamada MCP debe autenticarse. OAuth proporciona concesiones por cliente; una clave de API comparte el usuario de servicio configurado entre sus conexiones.
Los dos métodos
| Token Bearer de OAuth | Clave de API | |
|---|---|---|
| Se envía como | Authorization: Bearer … |
X-POM-AI-MCP-API-Key: … |
| Actúa como | El usuario que aprobó la autorización | El usuario de servicio configurado, si existe |
| Ámbitos | Lo que se haya concedido, hasta los ocho | Sin concesión de ámbito OAuth por cliente |
| Puede escribir | Con los ámbitos, capacidades y compuertas necesarios | Con un usuario de servicio configurado, capacidades y compuertas |
| Configuración | Automática, mediante descubrimiento | Manual, una clave compartida |
| Revocación | Por cliente, o restablecer todo | Revocar la única clave |
| Caducidad | Token de acceso 1 hora, token de actualización 30 días | Ninguna hasta su revocación |
Ambos pueden activarse o desactivarse de forma independiente en Settings → POM AI → MCP server, y ambos están activados de forma predeterminada.
Envía uno, no ambos
Una solicitud que lleve a la vez una cabecera Authorization: Bearer y una cabecera de clave de API se rechaza de plano con un error de ambigüedad. Configura el cliente con exactamente un método.
Esto es una trampa real al cambiar de método: un cliente que conserva una cabecera obsoleta de la configuración anterior falla con un mensaje confuso. Elimina la antigua.
Prefiere OAuth
OAuth es la mejor opción en casi todos los casos:
- Actúa como un usuario real, por lo que las capacidades de WordPress se aplican de forma natural y el registro de auditoría identifica a una persona.
- Admite ámbitos por cliente, incluidas concesiones de solo lectura independientes de otros clientes.
- Está delimitado por cliente, por lo que puedes revocar un asistente sin afectar a otros.
- Los tokens caducan. Un token de acceso dura una hora y se actualiza durante un máximo de treinta días.
- Requiere la aprobación humana explícita en una pantalla de consentimiento.
- No necesita configuración manual. Un cliente compatible descubre el servidor, se registra y completa el flujo.
Úsalo salvo que algo específico lo impida. Consulta OAuth con PKCE.
Cuándo tiene sentido una clave de API
- El cliente no puede usar OAuth.
- Necesitas una integración configurada manualmente con un usuario de servicio dedicado.
- Una herramienta de supervisión o de informes necesita consultar el estado del sitio.
Las claves de API pueden escribir cuando su usuario de servicio tiene las capacidades necesarias y las compuertas correspondientes están abiertas. Para el acceso de solo lectura, mantén las compuertas cerradas y restringe las capacidades del usuario de servicio. Todos los clientes que comparten la clave también comparten sus permisos y su revocación.
Consulta Usar una clave de API.
Lo que la autenticación no decide
Autenticarse indica al servidor quién está llamando. Por sí sola no permite nada:
- Ámbitos de OAuth — un token OAuth debe incluir los ámbitos que requiere cada herramienta.
- Capacidades — el usuario de WordPress que actúa debe poseer la capacidad.
- Compuertas de escritura — la compuerta correspondiente debe estar abierta.
- Esquema de entrada — los argumentos deben satisfacer el esquema de la herramienta.
Se comprueban los cuatro. Consulta Modelo de seguridad de MCP.
Elegir el usuario que actúa
Con OAuth, esta es la decisión más trascendental de toda la configuración, porque el asistente hereda las capacidades de ese usuario.
Aprobar como administrador otorga a un asistente alcance de administrador sobre el contenido, las opciones, los ajustes del tema y el catálogo. Puede ser lo que quieras para una tarea estructural en un entorno de pruebas. Rara vez es lo que quieres de forma permanente.
Considera un usuario de WordPress dedicado que tenga solo las capacidades que el trabajo necesita, y aprueba la autorización iniciando sesión como ese usuario.
Con las claves de API, el usuario que actúa se establece mediante Service user ID en los ajustes de MCP. El transporte estándar permite algunas lecturas sin un usuario de servicio. WordPress MCP Adapter requiere un usuario de servicio válido con read para cada conexión.
Gestionar agentes conectados a la cuenta
Al usar el MCP de la cuenta POM, abre My Account → POM AI Management → AI site connections → Authorized agents. Revoke agent access elimina solo las concesiones del cliente seleccionado para tu cuenta, incluidas las credenciales de actualización y los códigos de autorización pendientes. Los sitios web conectados y otros agentes conservan su acceso. Una operación ya enviada puede finalizar; volver requiere una nueva autorización OAuth.
Este control de cuenta es independiente de Reset OAuth de un destino, que elimina todos los clientes y tokens OAuth de ese destino. El MCP de cuenta usa sus ámbitos de cuenta y solo OAuth; la tabla anterior describe las opciones de autenticación estándar de un sitio.
Desactivar un método
Desactiva Enable OAuth o Enable API key auth para cerrar una puerta por completo. Una solicitud que use un método desactivado se rechaza con un error explícito en lugar de recurrir al otro.
Desactivar el método que no estás usando es una reducción barata de la superficie de ataque.