Qué es un token, en términos prácticos
Un token es tu acceso al analizador, y un token de MCP es además tu acceso a los documentos de todos tus proyectos — planes, visión, hallazgos pendientes, comandos internos y documentos de trabajo — para leerlos, cambiarlos y borrarlos. Cada llamada lleva uno: no hay acceso anónimo, y un cliente que no manda ninguno recibe un error que su interfaz muestra como una herramienta que falló.
También es tu nombre sobre el trabajo. Todo lo que se analice con tu token queda registrado a tu nombre en el historial, así que un token que le pasaste a alguien más es tu historial con el código de esa persona dentro.
Crear el primero se cubre en Consigue tu token de acceso. Esta guía es sobre convivir con los que ya tienes.
Uno por persona, uno por lugar
Dos reglas mantienen esto simple.
Uno por persona. Un token te representa a ti, no al equipo. Cada quien que conecta un asistente genera el suyo desde su propia cuenta. Compartir uno significa que nadie puede saber de quién es cuál trabajo, y revocarlo deja fuera a todos de golpe.
Uno por lugar desde el que te conectas. Un token para el asistente de tu laptop, otro para el de tu escritorio, otro para una máquina en la que estás probando algo. El costo es nulo y el beneficio es real: cuando hay que dejar fuera a una máquina, revocas ese token y todo lo demás sigue funcionando.
Nómbralos para que tu yo futuro pueda distinguirlos. El campo del nombre sugiere la forma: el cliente y la máquina, no "token 2".
Leer la lista
Cada token muestra su nombre, el día en que se creó y cuándo se usó por última vez, o que todavía no se ha usado.
Esa última columna es la que hace que valga la pena mirar de vez en cuando. Un token que nadie ha usado en meses es un token que nadie va a extrañar, y uno que se está usando cuando tú no estás trabajando es uno por el que vale la pena preguntar. Revoca todo lo que no puedas explicar: el costo de equivocarte es una reconexión.
El token se muestra una sola vez
Cuando generas uno, aparece en pantalla con una nota que te dice que lo copies ya. Solo se guarda su huella, así que nadie — nosotros incluidos — puede volver a mostrártelo. Si lo pierdes, no lo recuperas: generas uno nuevo y revocas el viejo.
Ponlo donde un cliente en ejecución pueda leerlo y un repositorio no. Todas las formas de conexión que la plataforma documenta leen el token de una variable de entorno o de la configuración del conector, y no de un archivo de tu proyecto, y ese es justo el punto: un token commiteado a un repositorio es un token en el checkout de todos y en el historial mucho después de que borres la línea.
Rotar un token sin quedarte sin servicio
Hazlo en este orden y nada deja de funcionar:
- Genera un token nuevo y cópialo.
- Apunta el cliente al token nuevo y reinicia la sesión, para que la conexión se haga con él.
- Confirma que el cliente de verdad está usando el nuevo corriendo un análisis.
- Revoca el token viejo.
Revocar primero y reconectar después también funciona, pero deja a tu asistente sin poder validar nada mientras tanto, y un asistente que no alcanza el analizador es uno cuyo resultado nadie revisó.
Rota cuando alguien que tenía acceso se va, cuando se pierde o se hereda una máquina, cuando sospechas que alguien más vio un token, y con la periodicidad que decida tu equipo. No hay una expiración que lo haga por ti.
Revocar, y qué hace de inmediato
Revocar te pide confirmar, y la pregunta dice qué estaba haciendo el token. En cuanto confirmas, deja de servir:
- Con un token MCP, cualquier cliente de IA que lo esté usando acaba de perder el acceso: su siguiente llamada falla y las herramientas desaparecen de su sesión hasta que se reconecte con un token válido.
- Con un token API, las páginas que muestran tus documentos con él dejan de leerlos en su siguiente petición.
Revocar no es reversible y no es una pausa. No hay forma de traer de vuelta el mismo token, así que reconectar significa generar uno nuevo.
Lo que revocar no hace es cerrar una sesión de navegador. Eso es Tu perfil y tu idioma, en dispositivos conectados.
Tokens de MCP y tokens de API
Tus tokens son de dos clases, y la lista marca cada uno como MCP o API.
- Un token de MCP conecta a un asistente. Con él, el asistente lee, crea, cambia y borra los documentos de todos tus proyectos, además de usar el analizador. No funciona en la API de documentos.
- Un token de API deja que otra aplicación tuya liste y lea tus documentos para mostrarlos en su propia página, como explica Muestra tus documentos en otro proyecto. No conecta a un asistente, y no puede crear, cambiar ni borrar un documento, porque esa entrada solo lee.
Tenerlos separados hace que el token que vive en el servidor de otra aplicación nunca pueda usarse para trabajar como tu asistente, y que el token de tu asistente nunca se le entregue a otra aplicación.
Un token de API no es inofensivo. Lee todos tus proyectos, no solo el que muestra la otra aplicación, así que uno que se filtra expone todos tus documentos. Guárdalo en el servidor de esa aplicación, nunca en una página que descarga el navegador, dale a cada aplicación el suyo, y revócalo igual que cualquier otro en cuanto sospeches que se salió.
Si un token se te sale de las manos
Revócalo primero, antes que nada: esa es la única acción que detiene su uso, y toma un segundo. Después genera un reemplazo, conecta los clientes que lo necesitaban y mira el historial de análisis por si hay trabajo que no reconoces.
Nada del analizador lee archivos de tu computadora: tu asistente manda una ruta y el contenido del archivo. Un token vale ese acceso más tu nombre encima — y un token de MCP, además, los documentos de todos tus proyectos, que quien lo tenga puede leer, cambiar o borrar. Eso vale la pena protegerlo, y revocarlo sigue bastando para cortarlo. Revisa también tus proyectos por si hay documentos que no reconoces.
Sigue por aquí
- Conectar Claude Code — apuntar un cliente a un token nuevo.
- Instalar el toolkit — qué recibe un asistente una vez conectado.