Fallo de autenticación MCP
Los errores de autenticación ocurren antes de la autorización de la herramienta. Relaciona el código público con el problema de conexión.
| Código de error | Acción |
|---|---|
pom_ai_mcp_missing_auth |
Configura una credencial admitida. |
pom_ai_mcp_ambiguous_auth |
Envía OAuth Bearer o clave API, nunca ambas. |
pom_ai_mcp_oauth_disabled |
Activa OAuth o usa el perfil aprobado de clave API de solo lectura. |
pom_ai_mcp_invalid_token |
Actualiza o vuelve a conectar; el token de acceso no es válido, ha caducado o ha sido revocado. |
pom_ai_mcp_api_key_disabled |
Activa la autenticación por clave API antes de usar ese perfil. |
pom_ai_mcp_invalid_api_key |
Genera o copia de nuevo la clave actual. |
Comprobaciones de OAuth
Verifica la URL canónica del recurso MCP, el registro del cliente, la URI de redirección, el intercambio PKCE, la caducidad del token y los ámbitos solicitados. Se necesitan enlaces permanentes bonitos para el descubrimiento dependiente de reescritura y los endpoints de OAuth.
El recurso MCP usa la dirección configurada del sitio, incluido su esquema HTTP o HTTPS, tanto en las solicitudes del navegador como en la ejecución en segundo plano. Usa el mismo endpoint canónico en el cliente. Cambiar la dirección del sitio requiere volver a conectarse contra el nuevo recurso.
Los tokens de acceso duran una hora; los clientes deben renovarlos de forma silenciosa. Cada renovación otorga al token de actualización otra ventana de 30 días. Una respuesta de actualización perdida puede recuperarse repitiendo la misma solicitud en un plazo de 30 segundos, siempre que ese par no haya sido reemplazado ni revocado. La renovación normal del token mantiene la misma autorización para las tareas pendientes, las sesiones de trabajo y sus resultados. La revocación, los permisos modificados o una autorización caducada siguen deteniendo el acceso. Si una operación en cola informa de pom_ai_mcp_task_access o pom_ai_mcp_network_grant_denied, comprueba la autorización actual de la conexión y, para el trabajo delegado, sus ámbitos de red y el acceso de superadministrador. Una autorización en segundo plano rechazada no es una solicitud para aprobar de nuevo el contenido propuesto.
Las tareas y revisiones creadas con una vinculación de autorización anterior pueden dejar de estar disponibles después de la actualización. Inspecciona el destino antes de solicitar una nueva vista previa de cualquier cambio restante confirmado. No repitas una escritura cuyo resultado se desconoce.
Comprobaciones de clave API
Usa la cabecera exacta de clave API MCP que espera la configuración del cliente. Una clave solo se muestra cuando se genera; las claves almacenadas se guardan con hash. El usuario de servicio opcional afecta a las lecturas permitidas, pero no convierte la autenticación por clave API en escribible.
Nunca pruebes credenciales colocándolas en el cuerpo JSON-RPC. Si una clave o un token quedó expuesto durante la depuración, revócalo o rótalo después de restablecer la conexión.
Guías relacionadas: contrato de autenticación MCP, conectar un cliente y el cliente no puede conectarse.