Conector MCP de Alaz 360 para Claude y ChatGPT

Qué es el conector

El conector MCP de Alaz 360 implementa el Model Context Protocol, el estándar abierto con el que Claude, ChatGPT y otros asistentes usan herramientas externas. Le da a tu asistente un conjunto curado de herramientas para trabajar sobre tu cuenta de Alaz 360, el sistema de gestión de Alaz.

El servidor es un intermediario sin credenciales propias: cada herramienta se traduce en una petición a la API de Alaz 360 con el token de tu usuario, y es la API la que decide, en cada llamada, qué puedes ver y hacer. El servidor no tiene acceso directo a la base de datos.

Qué puedes hacer

Algunos ejemplos de lo que puedes pedirle a tu asistente una vez conectado:

• «¿Qué oportunidades tengo con el próximo paso vencido esta semana?»
• «Resume la última cotización de Constructora Andina y reescribe la sección de alcance en un tono más directo.»
• «Crea una tarea para llamar mañana al cliente de la oportunidad “Renovación 2027” y asígnamela.»
• «¿Qué solicitudes de clientes siguen sin respuesta en el proyecto Portal B2B?»
• «Muéstrame el avance y el semáforo de los proyectos activos de este mes.»
• «Prueba qué respondería el bot de ventas si un cliente pregunta por los horarios.»
• «Prepara un borrador de publicación para Instagram en el cronograma de noviembre, sin publicarlo.»
• «Lista las cuentas por cobrar vencidas de más de 30 días.»

Las herramientas que tu plan de Alaz 360 no incluye no aparecen en el asistente. Por ejemplo, sin el módulo de redes sociales no verás las herramientas de publicaciones.

Requisitos

• Una cuenta de Alaz 360 con acceso activo a al menos una empresa. Las cuentas de proveedor (solo lectura) no pueden conectar asistentes.
• Un asistente compatible con MCP remoto: Claude (web, escritorio o móvil), ChatGPT u otro cliente MCP con Streamable HTTP.
• En Claude Team o Enterprise, que el propietario de la organización haya habilitado el conector, si tu organización restringe los conectores.
• Si tu empresa usa una instalación propia de Alaz 360, el identificador de tu organización (lo que va antes de .alaz.es en la dirección de tu panel).

Cómo conectarlo

La forma de conectar depende del asistente. En todos los casos inicias sesión con tu propia cuenta de Alaz 360: nadie comparte credenciales.

claude mcp add --transport http alaz https://mcp.alaz.es/mcp \
  --header "Authorization: Bearer $ALAZ_MCP_TOKEN"

{
  "mcpServers": {
    "alaz": {
      "type": "http",
      "url": "https://mcp.alaz.es/mcp",
      "headers": {
        "Authorization": "Bearer ${ALAZ_MCP_TOKEN}"
      }
    }
  }
}

Autenticación OAuth

Claude y ChatGPT se conectan con OAuth 2.1. Tu contraseña nunca pasa por el asistente: inicias sesión en la página de Alaz 360 y el asistente solo recibe un token de acceso emitido para tu usuario.

1. El asistente descubre el servidor de autorización a partir de la metadata pública del servidor MCP (RFC 9728).
2. Te redirige a la página de autorización de Alaz 360, que primero pregunta tu organización si hace falta.
3. Inicias sesión en Alaz 360 y apruebas el acceso en la pantalla de consentimiento.
4. Alaz 360 devuelve al asistente un código de un solo uso, que este canjea por un token de acceso y uno de renovación.
5. En cada llamada, el asistente envía el token al servidor MCP, que lo reenvía a la API de Alaz 360 para resolver tu identidad y tus permisos.

Detalles técnicos

Flujo

Código de autorización con PKCE (S256) obligatorio. Clientes confidenciales registrados por Alaz, sin registro dinámico de clientes.

Alcance (scope)

mcp

Recurso protegido

https://mcp.alaz.es/.well-known/oauth-protected-resource (RFC 9728)

Servidor de autorización

https://api.alaz.es/.well-known/oauth-authorization-server (RFC 8414)

Redirecciones

Coincidencia exacta con las URL de retorno registradas por cliente. La respuesta incluye el parámetro iss (RFC 9207).

Vida de los tokens

Código de autorización: 60 segundos y un solo uso. Token de acceso: 1 hora. Token de renovación: 14 días, de un solo uso (se rota en cada renovación).

Tokens

Opacos, validados por la API de Alaz 360 en cada llamada. El token MCP personal dura 90 días.

Permisos: qué puede leer y modificar la IA

El conector no amplía tus permisos ni crea un acceso nuevo a tus datos: el asistente actúa en tu nombre, con las mismas reglas que te aplica el panel de Alaz 360.

Qué puede modificar

De las 163 herramientas, 24 crean registros sin tocar los existentes y 62 modifican o borran datos dentro de Alaz 360. Son, entre otras: crear y actualizar oportunidades, tareas, proyectos, entregables, contactos, productos, órdenes y borradores de cotizaciones y facturas; editar propuestas y cláusulas; configurar bots; preparar publicaciones; y registrar cobros y pagos ya realizados.

Funciones que usan la IA de Alaz 360

regenerate_quote_section, regenerate_contract_clause y test_bot_message piden el texto a la IA de Alaz 360, que lo procesa con el mismo proveedor de modelos que usa esa función en el panel.

Catálogo de herramientas

Estas son todas las herramientas que expone el servidor, agrupadas por área. El nivel de cada una sale de sus anotaciones MCP, las que Claude y ChatGPT usan para decidir cuándo pedir confirmación.

Lectura

Solo consulta. readOnlyHint.

Crea

Crea un registro o ejecuta una prueba sin sobrescribir ni borrar.

Modifica o borra

Sobrescribe o borra datos dentro de Alaz 360. destructiveHint.

Efecto externo

Su efecto sale de Alaz 360: correo, redes o WhatsApp. openWorldHint.

Confirmaciones y control

Claude y ChatGPT usan las anotaciones de cada herramienta para decidir cuándo pedirte permiso. Las de solo lectura pueden ejecutarse sin interrupciones; las que modifican, borran o tienen efecto externo piden confirmación según la configuración de tu asistente.

• Revisa lo que el asistente va a enviar antes de confirmar una acción, sobre todo importes, destinatarios y fechas.
• En Claude puedes desactivar herramientas concretas o exigir aprobación para cada uso desde el menú del conector.
• Para un uso solo de consulta, desactiva en tu asistente las herramientas que no sean de lectura o usa un usuario con un rol de solo lectura en Alaz 360.

Seguridad

El conector se diseñó para no ser un punto de acceso adicional a tus datos.

Privacidad y tratamiento de datos

Esta sección resume cómo trata los datos el conector. Complementa la Política de privacidad y los Términos de Alaz 360, que siguen siendo los documentos de referencia.

Responsable: ALAZ SAC (RUC 20611866756), Av. Costanera 1200, San Miguel, Lima, Perú. Para consultas de privacidad o para ejercer tus derechos, escribe a [email protected].

Políticas relacionadas

• Política de Privacidad
• Términos de Alaz 360
• Términos y Condiciones
• Política de Cookies

Revocar el acceso

Puedes desconectar el asistente cuando quieras. Para un corte inmediato y completo, revoca también la conexión en Alaz 360.

Desde el asistente

En Claude, abre Configuración → Conectores, elige Alaz 360 y desconéctalo. En ChatGPT, desconecta la app de Alaz 360 desde la configuración de apps. Esto borra la conexión en el asistente; revocarla en Alaz 360 garantiza además que los tokens dejan de valer.

Tokens MCP personales

En Mi cuenta → Tokens MCP puedes ver cada token con su fecha de creación, caducidad y último uso, y revocarlo. Un token revocado deja de funcionar en la siguiente llamada.

Para administradores de la empresa

Si retiras a una persona de la empresa o cambias su rol en Alaz 360, la API aplica el cambio en la siguiente llamada del asistente. La identidad cacheada en el servidor MCP caduca en un máximo de 60 segundos y nunca concede permisos por sí sola.

Guía para administradores de TI

Lo que suele pedir un área de TI o de seguridad antes de aprobar la integración:

Dominios

mcp.alaz.es (servidor MCP), api.alaz.es (API y servidor de autorización) y admin.alaz.es (inicio de sesión y consentimiento).

Modelo de acceso

Delegado por usuario con OAuth. No hay cuentas compartidas ni credenciales de servicio. Cada persona autoriza su propio acceso y puede revocarlo.

Principio de mínimo privilegio

Asigna en Alaz 360 roles acordes a cada persona. El asistente nunca supera esos permisos.

Trazabilidad

Los cambios quedan registrados a nombre del usuario. Aplicaciones conectadas muestra la fecha de último uso de cada conexión.

Infraestructura

Google Cloud (Firebase Hosting y Cloud Run). Tráfico HTTPS de extremo a extremo.

Contacto de seguridad

Reporta vulnerabilidades o incidentes a [email protected] con el asunto «Seguridad».

Solución de problemas

Preguntas frecuentes

Soporte