¿Cómo funciona la autenticación del servidor MCP?

El servidor MCP de Normatia utiliza un flujo de autenticación OAuth 2.0 con código de autorización para garantizar un acceso seguro. Para clientes sin OAuth, acepta también una clave de API en la cabecera Authorization: Bearer sk-normatia-....

Flujo de autenticación

1. Al configurar el cliente MCP, este te redirigirá a la página de autorización de Normatia.
2. Inicia sesión con tu cuenta de Normatia (si no lo estás ya).
3. Revisa qué cliente pide acceso, con qué cuenta y a qué dirección vuelve, decide si dejas marcada la casilla Hacer consultas en tu nombre y pulsa Permitir (o Cancelar si no lo has pedido tú).
4. Normatia generará un código de autorización que el cliente intercambiará por un token de acceso.
5. El token se utilizará en las peticiones subsiguientes al servidor MCP.

El token de acceso dura una hora. El cliente lo renueva solo, sin volver a pedirte permiso, con un token de renovación que dura 30 días y cambia en cada uso. Si alguien intentara usar uno ya gastado, Normatia cierra la conexión entera.

¿Qué permisos otorgas?

El token MCP:

• Permite leer en tu nombre la normativa, los datos de parcelas y municipios y tus proyectos (ubicación, normativa seleccionada y documentos subidos), y ver el consumo de tu organización. Nada de eso gasta consultas.
• Si dejas marcada la casilla Hacer consultas en tu nombre, el asistente también puede hacer preguntas (ask), que cuentan en el consumo de tu organización. Sin la casilla, solo puede leer. Para cambiarlo, desconéctalo y vuelve a conectarlo.
• No permite cambiar tu cuenta ni tus proyectos.
• Puede revocarse en cualquier momento desde Mi cuenta > Aplicaciones conectadas.

Revocar acceso MCP

Para revocar el acceso de un cliente MCP:

1. Ve a Mi cuenta > Aplicaciones conectadas. Cada asistente sale con la fecha en que lo conectaste y su último uso.
2. Pulsa Desconectar en el que quieras.
3. El cliente deja de poder acceder en unos minutos y, para volver, tendrá que pedirte permiso otra vez.

Las conexiones anteriores a noviembre de 2026 usan una clave que no caduca y aparecen también en Mi cuenta > Claves API, con el nombre del cliente: se pueden revocar desde ahí.