Conecta un asistente de IA

Esta página conecta un asistente de IA compatible con MCP a tu organización de Hermetry. Lo que el asistente puede hacer a partir de entonces se explica en Asistentes de IA (MCP).

Antes de empezar

Un administrador ha activado Ajustes > MCP > Permitir que los clientes MCP se conecten. Mientras esté desactivado, cada llamada MCP responde 403 «MCP está desactivado para este espacio de trabajo (Ajustes → MCP)».
Tienes Conectar clientes MCP (mcp_server.connect). Todos los roles integrados lo tienen.
Tienes los permisos de las herramientas que quieres usar: Ver dispositivos para las herramientas de dispositivos, y el permiso de lectura de telemetría para las herramientas de telemetría.

Tus direcciones de servidor

Cada módulo tiene su propio servidor MCP. Su dirección es la de tu espacio de trabajo seguida de /api/mcp/<servidor>:

Servidor	Dirección
Dispositivos	`https://<your host>/tenant/<tenantId>/api/mcp/iot_device`
Telemetría	`https://<your host>/tenant/<tenantId>/api/mcp/telemetry`

Si tu organización tiene su propia dirección web (por ejemplo https://acme.<your host>), la dirección es https://acme.<your host>/api/mcp/iot_device. Usa la forma que coincida con la dirección que ves en tu navegador.

Añade los dos servidores a tu asistente: las herramientas de telemetría necesitan los identificadores de dispositivo que devuelve list_devices.

Para ver todos los servidores y herramientas que puedes usar, llama al índice con una clave de API que tenga Conectar clientes MCP:

curl -s "https://<your host>/tenant/<tenantId>/api/mcp" -H "Authorization: Bearer sk_live_…"

{
  "enabled": true,
  "servers": [
    { "server": "iot_device", "path": "/api/mcp/iot_device", "tools": [
      { "name": "get_device", "title": "Get a device", "kind": "read" },
      { "name": "list_devices", "title": "List devices", "kind": "read" } ] },
    { "server": "telemetry", "path": "/api/mcp/telemetry", "tools": [
      { "name": "get_latest_readings", "title": "Get latest readings", "kind": "read" },
      { "name": "get_reading_series", "title": "Get a reading series", "kind": "read" } ] }
  ]
}

Opción 1: conectar con una clave de API

Úsala para asistentes que se ejecutan en tu ordenador o en tu propio servidor y que te permiten definir una cabecera HTTP.

Abre Claves de API > Nueva clave de API.
Ponle el nombre del asistente y de la persona, por ejemplo «Asistente de escritorio – Alex».
En Permisos del módulo, marca Conectar clientes MCP (grupo MCP) y el preajuste Solo lectura del módulo de dispositivos y de telemetría.
Establece una caducidad corta y, si el asistente siempre se ejecuta desde una misma red, una lista de IP permitidas.
Crea la clave y cópiala.
En los ajustes MCP del asistente, añade un servidor de tipo HTTP (a veces llamado «Streamable HTTP») con la dirección indicada arriba y la cabecera:

Authorization: Bearer sk_live_…

Repite el proceso para el segundo servidor, con la misma clave.

Muchos asistentes aceptan una configuración JSON como esta (el nombre exacto del archivo y de los campos depende del asistente):

{
  "mcpServers": {
    "hermetry-devices": {
      "type": "http",
      "url": "https://<your host>/tenant/<tenantId>/api/mcp/iot_device",
      "headers": { "Authorization": "Bearer sk_live_…" }
    },
    "hermetry-telemetry": {
      "type": "http",
      "url": "https://<your host>/tenant/<tenantId>/api/mcp/telemetry",
      "headers": { "Authorization": "Bearer sk_live_…" }
    }
  }
}

Los nombres de la izquierda son tus propias etiquetas. La clave actúa como tú, limitada a lo que marcaste. Consulta Claves MCP y aplicaciones conectadas.

Opción 2: conectar con un inicio de sesión (OAuth)

Úsala para asistentes alojados en la web que te permiten añadir un «conector personalizado» o un «servidor MCP remoto» mediante una dirección.

En el asistente, añade un conector con la dirección del servidor, por ejemplo https://<your host>/tenant/<tenantId>/api/mcp/iot_device. Deja vacíos los campos de identificador y secreto de cliente, si los hay.
El asistente abre una página de Hermetry. Inicia sesión si te lo pide.
Hermetry muestra Conectar a este espacio de trabajo? con «Su identidad se publica en .» y «Actúa como tú, y nunca con más acceso del que tienes en este espacio de trabajo.» En una conexión de solo lectura añade «Puede leer lo que tú puedes leer a través de las herramientas de IA del espacio de trabajo. No puede cambiar nada.»
Comprueba el nombre de la aplicación y el host, y selecciona Conectar. Cancelar envía al asistente sin acceso.
Repite el proceso para el servidor de telemetría. Cada servidor se añade por separado, con su propia dirección.

La aplicación aparece en Aplicaciones conectadas. «Puedes desconectarla en cualquier momento en Aplicaciones conectadas.»

Si Hermetry muestra Esta aplicación no puede conectarse, el host de la aplicación no es uno que Hermetry conozca. Hermetry acepta una lista integrada de aplicaciones de IA conocidas; un administrador puede añadir más hosts en Ajustes > MCP > Más aplicaciones de IA. Consulta Ajustes y seguridad de MCP.

Qué ocurre durante el inicio de sesión

Para quienes gestionan el lado del asistente:

El servidor responde a una llamada no autenticada con 401 y WWW-Authenticate: Bearer resource_metadata="<base>/api/mcp/oauth/protected-resource/<server>".
Los metadatos del servidor de autorización están en <base>/api/mcp/oauth/.well-known/oauth-authorization-server (también openid-configuration).
Los clientes se identifican con un identificador de cliente que es la dirección https de un documento de metadatos del cliente; no hay registro dinámico de clientes.
Solo se acepta el flujo de código de autorización con PKCE (S256), con una dirección de redirección exacta (https, o http en la propia máquina para aplicaciones de escritorio) y un resource que es la base MCP de este espacio de trabajo o un único servidor.
Ámbitos: mcp:read; mcp:write solo se concede dentro de los 15 minutos siguientes a un inicio de sesión reciente («Cierra sesión e inicia sesión de nuevo, y luego conecta la aplicación: permitir que modifique registros requiere un inicio de sesión reciente.»). Las herramientas de IoT solo necesitan mcp:read.
Los tokens de acceso duran 10 minutos. Los tokens de actualización se reemplazan en cada uso; reutilizar uno antiguo revoca la conexión. Una conexión dura como máximo 90 días.
Los tokens pueden revocarse en <base>/api/mcp/oauth/revoke.

Comprueba que funciona

Pregunta al asistente «Lista mis dispositivos». Debería llamar a list_devices y responder con nombres de tu organización.

Síntoma	Causa
`401`	Clave incorrecta o caducada, o una clave de otra organización; o la aplicación se desconectó
`403` «MCP está desactivado para este espacio de trabajo»	Un administrador debe activar MCP
`404`	El nombre del servidor es incorrecto, o su módulo no está activado para tu organización
No se listan herramientas	La clave o tú no tenéis los permisos de las herramientas, o las herramientas están desactivadas
`405`	El asistente usó `GET`; debe usar `POST` (Streamable HTTP, respuestas JSON)
Se rechaza una sesión basada en cookies	MCP solo acepta una clave o un token en la cabecera `Authorization`
`403` desde una página web	Se rechazan las llamadas que llevan un `Origin` de navegador de otro sitio
`415`	La petición no se envió como `application/json`

Notas técnicas

Transporte: Streamable HTTP, solo POST, respuestas JSON, sin sesiones (sin Mcp-Session-Id). GET y DELETE responden 405.
Revisión del protocolo 2025-11-25; también se responden las revisiones más recientes.
Cuerpos de petición de hasta 64 KiB; Content-Type: application/json.
Cada servidor informa de un nombre técnico que tu asistente puede mostrar. Los nombres claros que empiezan por hermetry-, que puedes cambiar para tu organización, están en desarrollo.