Configurar el acceso MCP a REDA AI

El Protocolo de Contexto de Modelo (MCP) permite que un asistente de IA conectado utilice los agentes de negocio configurados en REDA AI. El asistente delega una solicitud al agente, que trabaja con sus instrucciones, contexto de negocio, herramientas y acciones. Esta guía explica cómo un administrador de Salesforce puede conectar Claude con REDA AI 1.16000 o posterior.

Se configuran tres elementos: un sitio de Salesforce que publica el punto de conexión, una aplicación de cliente externo que gestiona el inicio de sesión y los agentes y usuarios autorizados. Las capturas proceden de la organización interna de demostración de REDA y muestran Salesforce en inglés. Los nombres entre paréntesis permiten reconocer esos controles; el idioma y la versión de su organización pueden variar.

Antes de empezar

• En Configuración → Paquetes instalados, confirme que REDA AI es la versión 1.16000 o posterior. Solicite los datos de instalación a su ejecutivo de cuenta o a support@reda.one. Actualizar el paquete no completa los pasos siguientes.
• Utilice una cuenta de administrador que pueda gestionar sitios, aplicaciones de cliente externo y conjuntos de permisos. Un conjunto de permisos agrupa derechos de acceso que se asignan a un usuario. Consulte Acceso a la aplicación y permisos.
• Necesita una licencia activa de REDA AI, créditos disponibles, un agente del canal Interno configurado y un usuario de Salesforce con acceso a los registros de negocio correspondientes.
• Necesita acceso a los conectores personalizados de Claude. Si su espacio de trabajo está administrado, involucre a su administrador. Esta guía cubre la conexión alojada de Claude que se ha probado; confirme otros clientes con REDA antes de depender de ellos.

Revise los límites de datos y acceso

Habilite solo los agentes y usuarios necesarios. Las instrucciones orientan al agente; los permisos, las validaciones y las aprobaciones de acciones configuradas establecen los límites exigibles. El asistente conectado puede leer la descripción MCP del agente: no incluya credenciales ni datos sensibles de registros.

1. Publique el punto de conexión del sitio

1. Abra el menú de engranaje de Salesforce → Configuración. Busque Sitios en Búsqueda rápida.
2. Si no tiene un dominio de sitios, regístrelo mediante el proceso de Salesforce. Cree un sitio activo o reutilice uno aprobado por su administrador. Algunas ediciones limitan la cantidad de sitios; revise los existentes primero. Anote su dirección HTTPS y su prefijo de ruta, si existe.
3. Abra el sitio y pulse Configuración de acceso público (Public Access Settings) para identificar su usuario invitado. Este usuario atiende la entrada pública del punto de conexión; no es la identidad utilizada para una solicitud de negocio autenticada.
4. Vaya a Configuración → Conjuntos de permisos → REDA AI MCP Guest → Gestionar asignaciones → Agregar asignaciones. Asigne el conjunto al usuario invitado de ese sitio. Permite acceder a la clase del punto de conexión MCP, no a objetos ni campos de negocio. Revise por separado otros permisos del invitado.
5. Construya la URL: https://<site-host>/<prefix>/services/apexrest/redaai/mcp/v1. Sustituya los marcadores por su sitio y omita /<prefix> si no hay prefijo. Conserve /redaai/; no use la URL de un registro de Lightning.

Resultado esperado: el punto de conexión debe ser accesible por HTTPS desde la nube de Claude. Una solicitud sin token de usuario debe recibir un desafío de autenticación (HTTP 401), no datos de negocio. No basta con que la URL sea accesible desde su computadora o red privada.

2. Cree la aplicación de cliente externo

Una aplicación de cliente externo registra la conexión en Salesforce. OAuth permite iniciar sesión mediante Salesforce sin entregar la contraseña a Claude. Es un paso de configuración independiente que realiza el cliente.

1. En Configuración → Búsqueda rápida, busque el Gestor de aplicaciones de cliente externo (External Client App Manager).
2. Ábralo y pulse Nueva aplicación de cliente externo (New External Client App).
3. Complete Información básica (Basic Information). Los campos opcionales de teléfono, logotipo y descripción pueden seguir las convenciones de su organización.

Expanda API (Enable OAuth Settings) y marque Enable OAuth para mostrar la URL de devolución, los alcances y la seguridad. Complete los pasos 3 y 4 antes de pulsar Crear. Para una aplicación existente, abra su nombre y vaya a Configuración (Settings) → Editar → OAuth Settings para modificar los mismos campos.

3. Introduzca la URL de devolución y los alcances OAuth

En Callback URL, introduzca exactamente https://claude.ai/api/mcp/auth_callback. Salesforce devuelve al usuario a esta dirección después del inicio de sesión. Es diferente de la URL del conector de su sitio.

En Available OAuth Scopes, seleccione cada uno de los siguientes alcances y use la flecha derecha para pasarlo a Selected OAuth Scopes:

• Manage user data via APIs (api): permite el acceso a la API de Salesforce utilizado por la conexión.
• Perform requests at any time (refresh_token, offline_access): permite renovar el acceso según la política de tokens.

Use estos dos alcances para el punto de conexión de REDA. No sustituya api por mcp_api, destinado a los servidores MCP alojados por Salesforce, ni agregue Full access (full) para resolver un error de inicio de sesión. Los alcances no reemplazan los permisos del usuario sobre objetos, campos y registros.

4. Configure el flujo y la seguridad

Use el siguiente perfil para esta conexión probada. Proof Key for Code Exchange (PKCE) vincula el intercambio del código de autorización con el cliente que lo inició. Este perfil utiliza un ID de cliente y PKCE sin secreto de cliente; eso no implica que todas las integraciones OAuth deban omitirlo.

Pulse Crear para una aplicación nueva o Guardar para una existente. Vuelva a abrir Settings, compruebe los valores guardados y confirme que App Status sea Enabled. Salesforce indica que una aplicación nueva puede tardar hasta 30 minutos en estar disponible; tenga en cuenta esa propagación antes de atribuir un fallo inmediato a una configuración incorrecta.

5. Decida quién se conecta y cuándo caducan las sesiones

Abra la aplicación → Políticas (Policies) → Editar → OAuth Policies. Elija deliberadamente la política Permitted Users:

• Admin approved users are pre-authorized: úsela si el administrador debe aprobar los usuarios elegibles. Después de guardar, autorice el grupo correspondiente mediante los controles Permission Sets o Profiles de la aplicación, por ejemplo REDA AI MCP User. Los usuarios también deben tener esa asignación.
• All users can self-authorize: cada usuario concede su consentimiento. Es la política de la demostración. Los controles de permiso MCP y acceso a agentes de REDA AI siguen aplicándose; no concede acceso a todos los agentes ni registros.

En App Authorization, revise con su administrador de seguridad la Refresh Token Policy, el período y la unidad de validez, IP Relaxation, el tiempo de sesión y los requisitos de alta garantía. Son decisiones de su organización; no copie sin revisión los valores de la imagen. La rotación se configura en Settings; la caducidad, aquí en Policies.

Si su política exige una lista de IP permitidas para renovar tokens, revise Settings → OAuth Settings → Security y Refresh Token IP Allowlist. Confirme los rangos de salida actuales del proveedor del conector antes de exigirlos. La conexión alojada de Claude proviene de su nube, no de la IP de la oficina. Mantenga los controles obligatorios al diagnosticar fallos.

6. Copie la clave de consumidor para Claude

1. Abra la aplicación → Settings → OAuth Settings.
2. Pulse Consumer Key and Secret y complete cualquier verificación solicitada por Salesforce.
3. Copie solo Consumer Key. Claude la denomina OAuth Client ID.
4. Entregue al administrador del conector el ID y la URL del sitio del paso 1. Para este perfil no entregue Consumer Secret, la contraseña de Salesforce ni un token de acceso.

La clave de consumidor identifica la aplicación. Mantenga confidenciales el secreto y todos los tokens de usuario. La captura de App Settings muestra dónde está el botón sin revelar los valores.

7. Habilite agentes y asigne usuarios

1. Abra Iniciador de aplicación → REDA AI → Definiciones de agente y elija un agente activo del canal Interno. MCP es una superficie adicional de acceso, no otro valor de Canal.
2. Abra Detalles → AI Assistant Access (MCP). Edite el registro, marque MCP Enabled y complete MCP Instructions con su propósito y cuándo debe invocarlo el asistente. Guarde.
3. Si faltan los campos, vaya a Configuración → Gestor de objetos → Definición de agente → Formatos de página. Edite el formato usado por el perfil y tipo de registro correspondientes y coloque los dos campos en una sección adecuada. Si utiliza formularios dinámicos, revise también la página de registro Lightning. Compruebe el acceso de campo en conjuntos personalizados. Consulte la lista de actualización de la versión.
4. En Configuración → Conjuntos de permisos, asigne REDA AI User y REDA AI MCP User mediante Gestionar asignaciones → Agregar asignaciones. Revise todos sus permisos: el conjunto MCP también permite editar los dos campos de configuración del agente. El conjunto del invitado del sitio es una asignación diferente.
5. Confirme que los usuarios vean la Definición de agente y tengan el acceso necesario a objetos, campos y registros. El éxito de una prueba como administrador no demuestra los permisos de un usuario normal.

Ejemplo: “Asistente de servicio: revisa el estado de los casos y prepara tareas de seguimiento. Úsalo para conocer avances, próximos pasos y acciones de servicio aprobadas”. Mantenga los SOP detallados, las herramientas y las aprobaciones en la configuración normal del agente. Pruebe solicitudes sin un registro abierto: los prompts que suponen una página o botón Lightning pueden necesitar ajustes. Consulte Prompts personalizados por agente y Confirmaciones de acciones.

8. Revise los orígenes y la continuidad

Si el cliente envía una cabecera Origin, abra Administración de REDA AI → Configuración → Canales externos y agregue el origen HTTPS exacto autorizado en la opción de orígenes MCP. Separe varios orígenes por comas. No use comodines ni rutas de devolución. Dejarlo vacío no agrega orígenes; los clientes que no envían Origin siguen siendo compatibles.

Revise Ventana de conversación (horas). Vacío usa el valor predeterminado de la organización, inicialmente 30 minutos; un valor positivo define la ventana del agente; 0 desactiva la reanudación automática. Controla la continuidad de una conversación reciente entre superficies compatibles, no la conservación ni eliminación de datos.

9. Conecte y verifique con un usuario normal

1. En Claude, abra Configuración → Conectores y agregue un conector personalizado. Introduzca un nombre reconocible y la URL completa del sitio.
2. En las opciones OAuth o avanzadas, seleccione Use your own OAuth client e introduzca Consumer Key como Client ID. Deje Client Secret vacío para este perfil.
3. Conecte e inicie sesión mediante Salesforce como el usuario previsto. Verifique la organización de la pantalla de inicio de sesión o consentimiento. Consulte la guía de uso de MCP.
4. Confirme que aparece el agente. Empiece con una solicitud de solo lectura sobre un registro conocido y autorizado; compare el resultado con Salesforce.
5. Pruebe un registro al que el usuario no deba acceder. Después, en el entorno de pruebas, solicite una acción configurada para requerir confirmación: revise la propuesta, apruébela y compruebe el registro o estado resultante.
6. Abra REDA AI → Conversaciones de IA y revise los mensajes. Via MCP identifica los mensajes MCP. Consulte Consultar conversaciones.

Criterio de finalización: el usuario correcto accede al agente correcto, recibe los datos permitidos, no ve datos restringidos y una acción controlada respeta su aprobación. Reconecte al probar cambios en el catálogo: el asistente puede almacenar la lista de agentes en caché.

Resuelva problemas y retire el acceso

Para retirar el acceso de un usuario, quite REDA AI MCP User y revoque su autorización OAuth existente. Para retirar un agente, desmarque MCP Enabled. Para detener toda la conexión, desactive OAuth en la aplicación; desactivar un sitio compartido también puede interrumpir otros servicios. Verifique el resultado desde el asistente.

Referencias de plataforma: Configuración OAuth de aplicaciones de cliente externo de Salesforce y Autenticación de conectores de Claude.