Gestionar la configuración de OAuth
La configuración de OAuth gestiona el acceso a nivel de empresa al servidor MCP de Braze, controla qué URI de redireccionamiento de clientes MCP pueden conectarse a Braze y te permite revocar todos los tokens OAuth de MCP de tu empresa.
La configuración de OAuth se aplica a toda tu empresa. Los permisos asignados a cada usuario determinan a qué espacios de trabajo y características pueden acceder a través del servidor MCP.
Requisitos
| Requisito | Descripción |
|---|---|
| Permiso “Admin” | Debes tener el permiso “Admin” a nivel de empresa para ver la configuración de OAuth, activar o desactivar el acceso OAuth de MCP, administrar los URI de redireccionamiento o revocar tokens OAuth de MCP. |
| Permiso “Use MCP Server” | Los usuarios deben tener este permiso para cada espacio de trabajo al que quieran acceder a través del servidor MCP. Este permiso es independiente del permiso “Admin” que se usa para administrar la configuración de OAuth. |
Para obtener más información sobre cómo asignar permisos, consulta Permisos de usuario.
Cómo funciona el acceso OAuth
La configuración de OAuth y los permisos de usuario funcionan en conjunto:
- La configuración de OAuth de toda la empresa determina si los usuarios pueden conectar clientes MCP a Braze.
- El permiso “Use MCP Server” determina si un usuario individual puede usar el servidor MCP en un espacio de trabajo.
- Los permisos actuales del usuario en el panel determinan a qué datos y características de Braze puede acceder un cliente MCP.
- Una conexión OAuth solo puede acceder a los espacios de trabajo a los que el usuario tiene autorización para acceder.
Activar el acceso OAuth de MCP no otorga a los usuarios nuevos permisos en los espacios de trabajo. Del mismo modo, quitar un permiso del panel elimina esa capacidad del cliente MCP conectado del usuario.
Controles de empresa y espacio de trabajo
La política de OAuth se almacena a nivel de empresa. Los administradores del espacio de trabajo no pueden anular el Acceso OAuth de MCP ni los estados de los URI de redireccionamiento para un único espacio de trabajo.
| Control | Dónde lo configuras | Alcance |
|---|---|---|
| Acceso OAuth de MCP | Configuración > Configuración de administrador > Conexiones externas | Toda la empresa. Cuando está desactivado, se deniega el OAuth de MCP en todos los espacios de trabajo. |
| URI de redireccionamiento aprobados | Configuración > Configuración de administrador > Conexiones externas | Toda la empresa. Los URI aprobados y bloqueados se aplican a todos los espacios de trabajo. |
| Revocar tokens OAuth de MCP | Configuración > Configuración de administrador > Conexiones externas | Toda la empresa. La revocación se aplica a todos los tokens OAuth de MCP en todos los espacios de trabajo. |
| Permiso “Usar servidor MCP” | Configuración > Gestión de usuarios | Por espacio de trabajo. Los usuarios necesitan este permiso en cada espacio de trabajo al que accedan a través del servidor MCP. |
Solo los usuarios con el permiso “Administrador” pueden cambiar el Acceso OAuth de MCP, cambiar los estados de los URI de redireccionamiento o revocar tokens OAuth de MCP. Para saber cómo interactúan los permisos del espacio de trabajo con estas configuraciones de la empresa, consulta OAuth y acceso MCP.
Activar o desactivar el acceso OAuth de MCP
Para actualizar el acceso OAuth de MCP de tu empresa:
- Ve a Configuración > Configuración de administrador > Conexiones externas.
- En Controles de acceso global, activa o desactiva Acceso OAuth de MCP.
Cuando Acceso OAuth de MCP está activado, los usuarios con el permiso “Usar servidor MCP” pueden autorizar clientes MCP aprobados. Cuando está desactivado, se deniega el acceso OAuth al servidor MCP para todos los usuarios y espacios de trabajo de tu empresa.
Desactivar Acceso OAuth de MCP no elimina ni bloquea los URI de redireccionamiento que hayas configurado. Braze revoca los tokens OAuth de MCP existentes de tu empresa, por lo que los clientes MCP conectados pierden el acceso. La sección URI de redireccionamiento aprobados permanece oculta mientras el acceso OAuth de MCP está desactivado; vuelve a activarlo para administrar de nuevo la misma lista de URI.
Si Braze ha desactivado el servidor MCP remoto para tu entorno, el botón para alternar Acceso OAuth de MCP queda deshabilitado y un mensaje explica que la configuración de la empresa no tiene efecto hasta que se vuelva a activar el servidor MCP remoto.
Administrar las URI de redireccionamiento aprobadas
Después de activar el Acceso OAuth de MCP, la sección URI de redireccionamiento aprobadas muestra las URI de redireccionamiento que los clientes MCP pueden usar durante la autenticación. Para consultar el formato correcto, consulta Formatos de URI de redireccionamiento.
Un administrador de la empresa debe aprobar la URI de redireccionamiento de cada cliente MCP, incluidos clientes como Claude, ChatGPT, Cursor, OpenAI Codex, Claude Code y Visual Studio Code. Los usuarios no pueden completar la conexión a menos que la URI de redireccionamiento del cliente esté aprobada. Para aprobar una, consulta Añadir una URI de redireccionamiento.
La tabla URI de redireccionamiento aprobadas muestra la siguiente información:
| Columna | Descripción |
|---|---|
| URI de redireccionamiento | La dirección exacta que Braze compara con la devolución de llamada del cliente, incluida la ruta. |
| Añadida por | El usuario del panel que añadió o actualizó por última vez la URI. |
| Fecha de incorporación | Cuándo se añadió o actualizó por última vez la URI. |
| Estado | Si la URI está Aprobada o Bloqueada. |
| Acciones | Bloquear o Desbloquear, según el estado actual. |
Formatos de URI de redireccionamiento
| Tipo de URI | Formato que debes usar al añadirla |
|---|---|
| Local (dirección de bucle invertido) | Empieza por http://localhost o http://127.0.0.1. Omite el puerto (los dos puntos y los números después del host) para que cualquier puerto local pueda coincidir. Por ejemplo, si el cliente muestra http://localhost:33491/oauth/callback, introduce http://localhost/oauth/callback. Si mantienes un puerto en la URI que añades (como :33491), Braze solo hará coincidir ese puerto. |
| Dirección remota | Introduce la dirección completa exactamente como la muestra el cliente, por ejemplo https://app.example.com/callback. |
| Esquema personalizado | Empieza por un esquema de URI personalizado (no http:// ni https://), como cursor://. Introdúcela exactamente como se muestra. Algunas aplicaciones de escritorio usan este tipo de direcciones. |
Añadir una URI de redireccionamiento
Para permitir un cliente MCP cuya URI de redireccionamiento todavía no aparece en la lista:
- Selecciona Añadir URI de redireccionamiento.
- Introduce la URI de redireccionamiento completa, con el protocolo de devolución de llamada, que aparece en la configuración de OAuth o de integración del cliente. Usa la tabla Formatos de URI de redireccionamiento si necesitas ayuda para que coincida con la devolución de llamada del cliente.
- Selecciona Guardar.
Para clientes locales, usa 127.0.0.1 y omite el número de puerto en la URI de redireccionamiento que añadas.
Solo las URI de redireccionamiento con estado Aprobada pueden completar una nueva autorización OAuth. Si la URI de redireccionamiento de un cliente no está en la lista, o su estado es Bloqueada, Braze deniega la solicitud de autorización.
Bloquear una URI de redireccionamiento
Para impedir nuevas autorizaciones OAuth desde una URI de redireccionamiento, selecciona Bloquear en su fila y confirma la acción. Braze conserva el registro de la URI y cambia su estado a Bloqueada.
Bloquear una URI de redireccionamiento no revoca los tokens de los usuarios que ya están conectados a ese cliente MCP. Selecciona Revocar tokens OAuth de MCP para finalizar esas sesiones. Bloquear la URI es una acción independiente que impide nuevas autorizaciones con esa devolución de llamada.
Como alternativa, quita a un usuario el permiso “Usar servidor MCP” para impedir que solo ese usuario use el servidor MCP. Las conexiones MCP de los demás usuarios seguirán activas hasta que selecciones Revocar tokens OAuth de MCP.
Desbloquear una URI de redireccionamiento
Para restablecer el acceso de una URI de redireccionamiento bloqueada, selecciona Desbloquear en su fila y confirma la acción. Braze actualiza el registro existente a Aprobada en lugar de crear un duplicado.
Los usuarios que estaban conectados previamente a ese cliente MCP tienen que volver a autenticarse.
Revocar tokens OAuth de MCP
Al revocar los tokens, se invalidan a la vez todos los tokens OAuth de MCP de tu empresa. Usa esta opción si crees que un token se ha filtrado o se ha usado indebidamente.
Para revocar los tokens OAuth de MCP de tu empresa:
- Ve a Configuración > Configuración de administrador > Conexiones externas.
- En Revocar tokens OAuth de MCP, selecciona Revocar tokens OAuth de MCP.
- Revisa el cuadro de diálogo de confirmación y, a continuación, selecciona Revocar tokens.
Braze revoca los tokens en segundo plano y muestra un mensaje de confirmación cuando termina la revocación. En empresas con muchas conexiones, esto puede tardar unos minutos. Mantén abierta la página Conexiones externas hasta que aparezca la confirmación.
La revocación de tokens no se puede deshacer. Todos los clientes MCP conectados pierden el acceso a Braze, y cada usuario tiene que iniciar sesión y volver a conectar su cliente MCP.
Qué cambia con la revocación
| Elemento | Resultado |
|---|---|
| Tokens de acceso | Revocados. Los clientes MCP conectados dejan de funcionar hasta que el usuario vuelva a conectarse. |
| Tokens de actualización | Revocados. Los clientes MCP no pueden volver a conectarse por sí solos en segundo plano. Los usuarios tienen que volver a conectarse ellos mismos. |
| Acceso OAuth de MCP | Sin cambios. Si estaba activado, los usuarios pueden volver a conectarse de inmediato. |
| URI de redireccionamiento aprobados | Sin cambios. Los URI aprobados y bloqueados se mantienen como están. |
| Permiso “Use MCP Server” | Sin cambios. Los usuarios conservan el permiso y pueden volver a conectarse. |
| Conexiones nuevas | No se ven afectadas. Las conexiones realizadas después de iniciar la revocación siguen funcionando. |
Las solicitudes que ya estaban en curso cuando revocaste los tokens no se cancelan. Para detener todo el acceso MCP en lugar de solo finalizar las sesiones actuales, desactiva Acceso OAuth de MCP (esto también revoca los tokens OAuth de MCP). Para quitar el acceso MCP a un usuario concreto, retira el permiso “Use MCP Server” a ese usuario.
Si la revocación no termina, Braze muestra un mensaje de error. Es posible que algunos tokens ya se hayan revocado, así que ponte en contacto con el soporte antes de volver a intentarlo.
Solucionar problemas de conexiones bloqueadas
Si un usuario ve “Esta aplicación necesita aprobación” o un error genérico como “Se ha producido un error inesperado” al conectar un cliente MCP a Braze, es posible que tu empresa no haya aprobado el URI de redireccionamiento de ese cliente.
- Ve a Configuración > Configuración de administrador > Conexiones externas y busca el URI de redireccionamiento del cliente en la tabla URI de redireccionamiento aprobados. Revisa la columna Estado para ver si el URI está aprobado o bloqueado.
- Añade el URI si no aparece en la lista, o selecciona Desbloquear si su estado es Bloqueado.
- Pide al usuario que vuelva a conectar su cliente MCP.
Si el URI de redireccionamiento está aprobado y la conexión sigue fallando, confirma que el acceso OAuth de MCP esté activado y que el usuario tenga el permiso “Use MCP Server”. Para más información sobre solución de problemas, consulta Configurar el servidor MCP de Braze.
Auditar la actividad de OAuth
Braze registra las conexiones OAuth al servidor MCP en el informe de eventos de seguridad. Usa este informe para auditar cuándo se conectan los usuarios mediante OAuth.
Para revocar el acceso a MCP de un usuario, quítale el permiso “Use MCP Server”. Para revocar todos los tokens OAuth de MCP de tu empresa, consulta Revocar tokens OAuth de MCP. Para obtener orientación sobre la configuración y la solución de problemas, consulta Configuración del servidor MCP de Braze.