Autenticación de usuarios
Cada usuario se conecta con su propia cuenta. Elige OAuth u OpenID Connect con tu propio login, o una API key personal por usuario.
En esta página
Cuando un usuario conecta Claude, ChatGPT, WhatsApp o el chat web con tu API, Connect necesita una credencial de ese usuario para llamar a tu API en su nombre. Tú eliges cómo la consigue, en el paso Autenticación.
| Modo | El usuario | Connect envía en cada llamada |
|---|---|---|
| OAuth u OpenID Connect | Inicia sesión en tu propia página de login | Authorization: Bearer <access token> |
| API key | Pega una key personal en una página de Connect que muestra tu dominio verificado | La key donde indiques, por ejemplo Authorization: Bearer <key> |
Las credenciales se guardan cifradas y nunca llegan al modelo de IA. Mira Seguridad y privacidad.
OAuth u OpenID Connect
Registra Connect como cliente en tu proveedor OAuth con este callback, cambiando acme por tu slug:
https://connect.grostify.com/t/acme/oauth/callbackEl callback aparece cuando tu dominio está verificado. Registra exactamente esta URL.
Campos
| Campo | Obligatorio | Notas |
|---|---|---|
| Issuer | Para OpenID Connect | URL base de tu proveedor. Se compara carácter a carácter. |
| Endpoint de autorización | Sí | HTTPS. |
| Endpoint de token | Sí | HTTPS. |
| Endpoint de userinfo | Uno de los dos | Connect lo llama con el access token para saber quién es el usuario. |
| JWKS URI | Uno de los dos | Con el issuer, permite a Connect validar el id_token. |
| Endpoint de revocación | No | Connect lo llama cuando revocas una conexión. |
| Client ID | Sí | Hasta 256 caracteres. |
| Client secret | Sí | Se guarda aparte y no se vuelve a mostrar. De 8 a 1.024 caracteres. |
| Scopes | No | Separados por espacios, hasta 20. |
| Autenticación del cliente | Sí | client_secret_basic (por defecto) o client_secret_post. |
| Claim del id de usuario | No | Claim o ruta con puntos con el id del usuario. sub si lo dejas vacío. |
Todos los endpoints tienen que estar en el mismo dominio registrable que el issuer o el endpoint de autorización.
Consejo
Incluye offline_access en los scopes. Sin él muchos proveedores no devuelven refresh token, y tus usuarios tienen que reconectar cada vez que caduca el access token.
Descubrir
Escribe el issuer y pulsa Descubrir. Connect lee /.well-known/openid-configuration y rellena los endpoints, sugiere scopes y elige una autenticación de cliente compatible. No guarda nada: revisa los campos y guarda.
Qué tiene que soportar tu proveedor
- El flujo authorization code por HTTPS.
- PKCE con
S256. Connect siempre envía su propiostatey su par PKCE. - El
redirect_uriexacto de arriba. client_secret_basicoclient_secret_post.- Los refresh tokens son opcionales pero recomendables.
Cómo identifica Connect al usuario
- Si tu proveedor devuelve un
id_tokeny configuraste el issuer y la JWKS URI, Connect lo valida (firma,iss,audyexp, con 60 segundos de margen). - Si no, llama al endpoint de userinfo.
- La etiqueta del usuario en Conexiones es su
email, supreferred_usernameo suname.
Renovación del token
Connect renueva el access token 60 segundos antes de que caduque. Si tu API responde 401, Connect lo renueva una vez y repite la llamada. Si tu proveedor rechaza el refresh token, la conexión se cierra y el usuario tiene que volver a conectarse.
API key
Cada usuario pega una key personal en una página de Connect. Connect la comprueba con una llamada real a tu API antes de guardarla.
Campos
| Campo | Ejemplo | Notas |
|---|---|---|
| Enviar la key en | Una cabecera | Una cabecera o un parámetro de query. |
| Nombre de la cabecera o el parámetro | Authorization | De 1 a 64 caracteres. No se permiten host, cookie, accept, user-agent y otras cabeceras reservadas. |
| Prefijo | Bearer | Opcional, con su espacio final si lo necesitas. |
| Ruta de verificación | /me | Un GET, relativo a la URL base, que responde 200 con los datos del usuario cuando la key es válida. |
| Campo del id de usuario | data.id | Ruta con puntos al id del usuario en esa respuesta. |
| Página donde tus usuarios consiguen su key | https://acme.com/ajustes/keys | HTTPS, en tu dominio verificado. Obligatoria para pedir la revisión. |
| Prefijo de tus keys | sk_live_ | Opcional. Ayuda a detectar keys pegadas donde no deben. |
Qué ve el usuario
- Aprueba el acceso en una página de Connect que muestra tu dominio verificado.
- Pega su key. Connect llama a tu ruta de verificación con ella, igual que hará en cada tool.
- Si tu API responde 200 con un id de usuario, la key se guarda. Con un 401 o 403, o cualquier otro estado, ve: "No hemos podido verificar esa key."
Tiene 10 intentos cada 10 minutos. Connect solo vuelve a mostrar los 4 últimos caracteres de una key.
Credencial de prueba
La credencial de prueba es un access token o una API key reales de un usuario de prueba. Connect solo la usa para el botón Ejecutar prueba de cada tool. Se guarda cifrada y solo se muestran sus 4 últimos caracteres, a propietarios y administradores.
Cambiar la configuración
Atención
Cambiar el modo, o dónde va la key (cabecera o parámetro, nombre o prefijo), borra la prueba de todas las tools y las deshabilita en todos los canales.
Si la integración está publicada, guardar cualquier cambio de autenticación o un client secret nuevo la devuelve a revisión y cierra todas las conexiones. Tus usuarios vuelven a conectarse cuando Grostify la aprueba.
Guardar la autenticación, el client secret o la credencial de prueba requiere haber iniciado sesión hace poco (en los últimos 10 minutos).