Autenticación MCP
POM AI acepta un único mecanismo de autenticación por solicitud: OAuth Bearer o la cabecera de clave API de MCP. Enviar ambos devuelve pom_ai_mcp_ambiguous_auth.
OAuth
OAuth con PKCE es la conexión interactiva normal. El token de acceso está vinculado a:
- un usuario de WordPress;
- un ID de cliente;
- ámbitos aprobados;
- el recurso MCP canónico;
- un estado de expiración y revocación.
El servidor establece ese usuario de WordPress como actor para las comprobaciones de capacidades. Si OAuth está desactivado, devuelve pom_ai_mcp_oauth_disabled; un token no válido o caducado devuelve pom_ai_mcp_invalid_token.
Los intercambios de token conservan la URI de redirección registrada durante el inicio de sesión en WordPress y validan PKCE antes de emitir credenciales. Un intercambio que compita con una revocación del cliente puede devolver HTTP 503 con temporarily_unavailable; reintenta el intercambio únicamente mientras su autorización siga siendo válida. Un código de autorización ya consumido requiere un nuevo flujo de autorización. Una credencial de actualización revocada devuelve invalid_grant y requiere un consentimiento nuevo.
Los tokens de acceso duran una hora. Las credenciales de actualización tienen una vida útil deslizante de 30 días. Si se pierde una respuesta de actualización, el cliente puede reintentar la misma solicitud de actualización en un plazo de 30 segundos para recuperar el mismo par emitido. Esta recuperación no amplía su vida útil y deja de funcionar después de otra rotación o revocación. Los errores transitorios de almacenamiento de renovación devuelven HTTP 503 en lugar de pedir al cliente que descarte una autorización válida. La renovación del token conserva las sesiones de trabajo activas, pero no amplía su duración aprobada por separado.
Clave API de MCP
El administrador puede habilitar la autenticación por clave API, generar una clave y, opcionalmente, asociarla a un usuario de servicio. La clave se almacena como un hash de contraseña; solo se muestran sus últimos caracteres después de crearla.
Las llamadas con clave API usan las capacidades de WordPress del usuario de servicio asociado. Las concesiones de ámbito de OAuth se aplican a las conexiones OAuth; no hacen que las llamadas con clave API sean de solo lectura. Las escrituras admitidas requieren un actor configurado, la puerta abierta correspondiente y argumentos aceptados. WordPress MCP Adapter también requiere que el actor posea read al inicializar la conexión. El transporte estándar permite algunas lecturas sin un usuario de servicio.
Las claves desactivadas o no válidas devuelven pom_ai_mcp_api_key_disabled o pom_ai_mcp_invalid_api_key. La ausencia de credenciales devuelve pom_ai_mcp_missing_auth.
Usa TLS, guarda los tokens en el almacenamiento secreto del cliente, nunca los incluyas en el texto del prompt y revoca las credenciales cuando un cliente deje de ser de confianza.
Guías relacionadas: conectar un cliente MCP, solución de problemas de autenticación y autorización.