/pom-ai-mcp/oauth/authorize: Autorización OAuth
El único paso del flujo OAuth que necesita a una persona. Aquí decides con qué usuario de WordPress actúa un asistente y qué permisos (scopes) recibe.
https://example.com/pom-ai-mcp/oauth/authorizeDebes haber iniciado sesión
Si no has iniciado sesión en WordPress, el endpoint te redirige a la pantalla de inicio de sesión y te devuelve aquí después.
Inicia sesión como el usuario cuyas capacidades debe heredar el asistente. La autorización vincula al cliente con ese usuario, y sus capacidades se convierten en un límite máximo estricto para todo lo que el asistente pueda hacer.
Aprobar mientras has iniciado sesión como administrador otorga al asistente alcance de administrador sobre el contenido, las opciones, los ajustes del tema y el catálogo. Considera crear un usuario dedicado que tenga solo lo que necesita el trabajo.
La pantalla de consentimiento
La página se titula Authorize POM AI MCP access y muestra:
- qué cliente solicita el acceso, por su nombre registrado;
- User — la cuenta con la que has iniciado sesión y, por tanto, la identidad que se está concediendo;
- Resource — el endpoint MCP que se está autorizando;
- Scopes — la lista que se solicita;
- un recordatorio de que el cliente puede ejecutar herramientas según las capacidades de este usuario y las puertas de escritura que haya activado un administrador.
Lee la línea User antes de aprobar. Es el campo que más merece una segunda mirada y el que la gente se salta.
Después aprueba o rechaza. Rechazar devuelve access_denied al cliente y no concede nada.
Qué se valida antes de que lo veas
La solicitud se comprueba antes de que se muestre la pantalla. Cualquiera de estas situaciones la rechaza de plano:
| Comprobación | Fallo |
|---|---|
| El cliente está registrado | invalid_client |
| La URI de redirección coincide con el registro | invalid_redirect_uri |
| El recurso coincide con el endpoint MCP de este sitio | invalid_resource |
response_type es code |
unsupported_response_type |
El challenge PKCE S256 está presente |
invalid_pkce |
Así, una solicitud malformada o que no coincide nunca llega a la pantalla de consentimiento. Si un cliente falla antes de mostrarte nada, una de estas es la razón — y invalid_resource es la más común, lo que significa que la URL configurada del cliente no coincide exactamente con el endpoint.
PKCE es obligatorio
La solicitud debe llevar un code_challenge con code_challenge_method=S256. Cualquier otra cosa se rechaza.
No hay secreto de cliente, así que PKCE es lo que demuestra que el cliente que canjea el código es el mismo que inició el flujo. Consulta Conectar con OAuth y PKCE.
Scopes
El cliente solicita scopes; la pantalla los muestra. Omitir el parámetro recurre a lo que el cliente registró, y las cadenas de scope no reconocidas se descartan.
Aprueba el conjunto más reducido que cumpla el trabajo. Los scopes son fijos durante la vida de un token: ampliarlos más tarde significa repetir este flujo, lo cual es una característica más que una molestia. Consulta Scopes de OAuth.
Después de aprobar
Se emite un código de autorización y el navegador se redirige a la URI de redirección registrada del cliente, llevando el código y el valor state que envió el cliente.
El código es válido durante 10 minutos y puede usarse una vez. El cliente lo canjea inmediatamente en el endpoint de token. Consulta El endpoint de token.
Requisitos
- OAuth activado — con él desactivado, el endpoint devuelve
404conoauth_disabled. - Enlaces permanentes amigables — la ruta es una regla de reescritura y devuelve 404 sin ellos.
La forma localizada /es/pom-ai-mcp/oauth/authorize también se acepta en sitios donde POM Translate antepone prefijos a las URLs.
En el registro
Las autorizaciones correctas se registran con el ID del cliente y el usuario que aprobó. Esta es la entrada que hay que comprobar al auditar quién concedió acceso a un asistente y en nombre de quién.
Revocación
No hay revocación por cliente en el panel de ajustes. Reset OAuth revoca de una vez todos los clientes, códigos y tokens del sitio, y todos los asistentes conectados deben volver a autorizarse.
Para reducir lo que puede hacer un asistente ya autorizado sin desconectarlo, cierra la puerta de escritura correspondiente. Eso surte efecto de inmediato y es reversible. Consulta Activar escrituras.