# MYOPL auth.md — Español

Audiencia: agentes que consultan referencias públicas de MYOPL y operadores
de integraciones aprobadas que conectan un cliente firmado de reglas MYOPL.

## Acceso a referencias públicas

La documentación y las herramientas MCP públicas no requieren registro,
cuenta, clave de API ni token bearer. Usa
`https://api.myopl.net/mcp` con MCP Streamable HTTP.
Sigue la [guía de conexión](https://myopl.net/ai/integration.es.md) para
inicializar el protocolo y descubrir los esquemas. El acceso público no permite
acciones de cuenta ni leer conversaciones o perfiles privados.

## MCP personal: inicio de sesión OAuth y permisos

Conexión personal: `https://api.myopl.net/mcp/personal`. Es una conexión separada,
con consentimiento, disponible con MYOPL Plus y planes superiores.
Las valoraciones y referencias públicas siguen disponibles sin autenticación.

1. Consulta los [metadatos del recurso protegido](https://api.myopl.net/.well-known/oauth-protected-resource/mcp/personal).
2. Descubre el [servidor de autorización OAuth](https://api.myopl.net/.well-known/oauth-authorization-server).
   El emisor es `https://api.myopl.net`; usa sus endpoints anunciados de
   autorización, tokens, registro y claves públicas JWKS. Es OAuth 2.0, no
   un servicio de identidad OpenID Connect.
3. Usa una identidad de cliente publicada compatible o el registro dinámico,
   seguido del código de autorización con PKCE S256 y el callback exacto
   registrado. Solicita solo los permisos necesarios. El usuario no debe
   inventar un ID de cliente ni pegar contraseñas o tokens en el chat.
4. El usuario inicia sesión y aprueba el consentimiento en MYOPL. Envía el token
   de acceso solo mediante Authorization Bearer al endpoint personal.
5. Renueva con refresh_token cuando caduque el acceso y guarda de forma segura
   el token de renovación de reemplazo. HTTP 429 es un límite temporal: espera
   Retry-After antes de reintentar; no significa que debas desconectar.
6. El usuario puede retirar el acceso en Ajustes > OPL Intelligence de MYOPL Messenger.

| Permiso OAuth | Acceso |
| --- | --- |
| `myopl:rating:read` | Consultar las valoraciones OPL del jugador que dio consentimiento. |
| `myopl:sessions:read` | Encontrar sus sesiones de liga. |
| `myopl:rsvp:write` | Preparar una respuesta de asistencia para confirmarla expresamente en MYOPL; prepararla no cambia la asistencia. |
| `myopl:statistics:read` | Consultar sus propias tarjetas de estadísticas, sin necesidad de un plan de pago. |

El [contrato OpenAPI personal](https://myopl.net/openapi-personal.json) declara
OAuth y sus permisos. Sigue la
[guía de conexión](https://myopl.net/es/opl-intelligence/connect-your-ai/) para configurarlo.

## Registro y aprovisionamiento A2A firmado

Método compatible para el servicio A2A separado: aprobación y aprovisionamiento
manual de un cliente de firma por el operador de MYOPL. La página de solicitud
es [Contacto MYOPL](https://myopl.net/es/contact/). Selecciona IA, API y Desarrolladores y describe la integración. La solicitud no emite credenciales
ni crea una cuenta de agente. Enviarla manda un mensaje: el agente debe obtener
autorización del usuario antes de enviarla. No incluyas secretos.

Para este servicio A2A firmado no se anuncia registro automático público, reclamación de cuentas, correo
verificado, ID-JAG, emisión anónima de credenciales, servidor de autorización
OAuth ni endpoint de tokens OAuth. No inventes estas URL ni sondees
`POST /agent/auth`. El registro normal de usuarios es un proceso separado.

## Uso de credenciales

La [tarjeta A2A](https://myopl.net/.well-known/agent-card.json) describe el
servicio firmado en `https://api.myopl.net/api/v1/agent`, con JSON-RPC
y A2A 0.3 (`message/send`). Requiere `X-AI-Client-ID`, `X-AI-Timestamp`,
`X-AI-Nonce` y `X-AI-Signature`, según las instrucciones entregadas durante el
aprovisionamiento. No uses estas credenciales en el MCP público. Guarda los
secretos solo en el gestor de secretos de la integración, nunca en el navegador
ni en un chat.

Firma la URL de destino exacta, incluidos sus parámetros de consulta, y el
cuerpo original de la solicitud. Al cambiar a `api.myopl.net`, los clientes
deben recalcular la firma para la nueva URL; se rechaza una firma calculada
para otro dominio. El Worker de Cloudflare reenvía las solicitudes firmadas al
servicio de reglas existente de MYOPL sin almacenar respuestas en caché ni
seguir redirecciones.

Para credenciales perdidas o revocadas, contacta al operador mediante la misma
página de solicitud. No se anuncia un endpoint público de revocación ni un
evento webhook. Es normal que A2A rechace solicitudes anónimas; usa MCP público
o las referencias HTML si no tienes acceso firmado.

[English](https://myopl.net/auth.md)