Conectar Codex, ChatGPT, Claude y Gemini

Flujo común

1. Abrí Conectar mi IA e ingresá el origen HTTPS del ambiente que te indicó el administrador.
2. Iniciá sesión en Mopdow. También podés abrir Conectar mi IA desde tu menú de usuario del ERP.
3. Elegí tu cliente y una aplicación aprobada. La pantalla prepara la configuración de ese ambiente.
4. Incorporá los valores al cliente de IA y comenzá su login OAuth. Usá tu propia cuenta, verificá el tenant y revisá los permisos del consentimiento.
5. Pedí: «Mostrame mi identidad y el tenant; después listá los objetos que puedo consultar». Una configuración copiada no confirma una conexión: comprobá el resultado de esas herramientas.

La URL MCP siempre es {tenantOrigin}/api/v1/mcp. El portal común solo sirve documentación. No es el servidor de autorización ni recibe tokens.

Preparación del administrador

En Configuración → IAM → Aplicaciones externas, elegí la plantilla del cliente. Comenzá con data:read, consentimiento obligatorio y Authorization Code con PKCE. offline_access permite renovación solo cuando la aplicación también admite refresh_token; si no se autoriza, el usuario deberá repetir el login al vencer el acceso.

Registrá el callback exacto de la instalación. Las plantillas proponen direcciones iniciales; no habilitan comodines. Revisá usuarios/perfiles aprobados y restricciones de red. Asigná api.enabled y los permisos de negocio mediante los perfiles/conjuntos de permisos habituales. Los scopes nunca amplían esos permisos.

Una aplicación por cliente y ambiente puede servir a muchas personas. No crees una aplicación por persona. Podés separar aplicaciones para equipos con políticas diferentes. La pantalla del usuario no muestra secretos, allowlists administrativas ni aplicaciones que su política no le permite usar.

Para clientes de escritorio o terminal, usá PKCE sin secreto. Si el cliente web exige un secreto, el administrador crea una aplicación confidencial y lo configura directamente en el proveedor por un canal seguro. No distribuyas ese secreto entre usuarios ni lo pegues en prompts.

Codex y otros clientes MCP

La pantalla entrega un bloque TOML para ~/.codex/config.toml, con URL MCP, Client ID, callback y puerto. Conservá las otras conexiones. Luego ejecutá codex mcp login mopdow_erp --scopes data:read (agregá offline_access solo si está aprobado).

Las versiones actuales de Codex admiten clientes prerregistrados. La dirección de retorno puede incluir un identificador; verificá la que informa la instalación. Para una conexión nueva también podés usar codex mcp add NOMBRE --url URL_MCP --oauth-client-id CLIENT_ID y registrar el callback informado. No reemplaces el callback de una conexión existente automáticamente.

Otros clientes necesitan Streamable HTTP, PKCE S256, resource con la URL MCP completa y cliente OAuth prerregistrado. El servidor no ofrece registro dinámico abierto.

Fuente: MCP en Codex.

ChatGPT

Usá una app MCP personalizada con OAuth. La disponibilidad de creación, modo desarrollador y publicación depende de tu cuenta y de los permisos del workspace. El administrador configura la app y cada usuario conecta su propia cuenta.

Copiá el callback que muestra ChatGPT al crear la aplicación en Mopdow. Puede ser https://chatgpt.com/connector_platform_oauth_redirect o una URL con identificador bajo https://chatgpt.com/connector/oauth/. No adivines ese identificador. Cargá URL MCP y Client ID; si la pantalla exige secreto, usá una aplicación confidencial preparada por el administrador. Si tu pantalla no permite cliente prerregistrado, no podrá usar esta configuración sin cambiar el método de registro soportado.

El JSON generado en Mopdow es una ficha de valores para completar la pantalla, no un archivo importable en ChatGPT. Escaneá las herramientas y completá OAuth. El MCP de Mopdow conserva su alcance de lectura y validación aunque ChatGPT admita otras operaciones.

Fuentes: Autenticación de apps, Modo desarrollador.

Claude y Claude Code

En Claude web, usá Personalizar → Conectores → Agregar conector personalizado. Indicá la URL MCP y el Client ID en opciones avanzadas. En organizaciones, el propietario prepara el conector y cada miembro pulsa Conectar para autorizar su cuenta. Confirmá el callback del proveedor; la plantilla propone https://claude.ai/api/mcp/auth_callback.

Claude Code es otra configuración. Mopdow genera claude mcp add --transport http --client-id ... --callback-port ... para un cliente público. Después usá /mcp para iniciar sesión. La plantilla propone http://localhost:53684/callback; usá una versión compatible y registrá exactamente el host y puerto elegidos.

Fuentes: Conectores remotos de Claude, MCP en Claude Code.

Gemini CLI

La opción documentada es Gemini CLI. No implica que Gemini web permita importar este conector.

Incorporá la entrada mopdow_erp del JSON generado a mcpServers en ~/.gemini/settings.json, sin reemplazar las otras configuraciones. Usa httpUrl, OAuth habilitado, Client ID, issuer, scopes, audience y callback fijo. La plantilla propone http://localhost:53685/oauth/callback.

Reiniciá Gemini CLI y ejecutá /mcp auth mopdow_erp. Necesitás navegador y poder recibir el callback local. Gemini valida el parámetro de issuer iss; el authorization server debe anunciarlo y devolverlo correctamente. No desactives esa validación para sortear un fallo.

Fuente: MCP y OAuth en Gemini CLI.

Errores y revocación

• Sin aplicaciones disponibles: puede faltar api.enabled, aprobación de usuario/perfil, callback compatible, data:read o una aplicación activa.
• Callback inválido: compará literalmente host, puerto y ruta. Pedí una aplicación corregida; no amplíes los callbacks con comodines.
• Sesión vencida: repetí el login; si necesitás renovación, el administrador debe aprobar offline_access y refresh_token.
• Acceso denegado: revisá permisos e IP permitidas. Claude y ChatGPT pueden conectarse desde la infraestructura del proveedor.
• Desconectar: quitá la conexión en el cliente. Para bloquear el acceso desde Mopdow, el administrador puede retirar la aprobación, api.enabled o revocar la aplicación; revocar la aplicación afecta a todos sus usuarios.

Los pasos de configuración se basan en las fuentes oficiales. La compatibilidad de una cuenta concreta se confirma completando OAuth y ejecutando herramientas, no por haber copiado un archivo.