OAuth 2.1 (Claude, ChatGPT, Grok)
Al conectar, el asistente redirige a una página de inicio de sesión PaperOffice. Tras la confirmación, el asistente recibe un token de acceso de corta duración y un token de actualización vinculado al usuario de usted. El proveedor del asistente no almacena ninguna contraseña ni clave persistente. PKCE es obligatorio; la conexión aparece en PaperOffice bajo Cuenta → API → Conexiones MCP y puede revocarse allí.
Token de usuario po_ut_ (Cursor y clientes headless)
Un token Bearer personal, creado en Cuenta → API. Contiene los permisos del usuario que lo creó. Ideal para Cursor y scripts. Rotar regularmente y almacenarlo fuera del control de versiones.
Token de grupo po_gt_
Emitido por un administrador de cuenta para un equipo. Los miembros comparten el token, y las acciones se asignan al grupo. Útil cuando muchas personas necesitan el mismo alcance, consciente y limitado.
Bloqueados para MCP: po_sk_ y po_pk_
po_sk_(Clave secreta) es la clave de servidor a servidor de la API REST con poder total de cuenta. Nunca debe usarse en un cliente de chat y es rechazado por el servidor MCP.po_pk_(Publishable Key) está destinado a widgets de navegador con límites de presupuesto y también es rechazado.
Si un cliente muestra unauthorized o token type not allowed, esta suele ser la causa.
Higiene de tokens
- Un token por persona y por cliente.
- Desactivar los tokens de miembros del equipo que salen.
- En caso de duda, revisar Cuenta → Uso de API — cada llamada está asociada a su token o conexión OAuth.