Seguridad y soporte del Conector MCP de Skydropx

Versión 1.0 · Vigente desde 2026-10-21 · Alcance: México

1. Cómo se protege la conexión

• Inicio de sesión en Skydropx. Usted se autentica en la Plataforma Skydropx. El flujo de conexión no entrega su contraseña al Cliente ni al proveedor de IA. Lo que usted escriba o pegue en la conversación sí lo recibe ese proveedor: no comparta ahí contraseñas ni otros datos sensibles.

• Autorización estándar. La conexión usa OAuth 2.1 con PKCE. El Cliente recibe credenciales propias del Conector: un acceso de corta duración y una credencial de renovación con vigencia limitada. Las renovaciones rotan, y reutilizar una credencial de renovación ya usada invalida su cadena de renovación (no los accesos ya emitidos).

• Permisos limitados. El acceso se limita a los permisos otorgados en la conexión. Si el Cliente no pide un alcance, se concede sólo lectura. La escritura requiere que se solicite y que su Cuenta la tenga. El servidor comprueba el permiso antes de ejecutar cada función, sin depender del Asistente.

• Separación de cuentas. La Cuenta sobre la que se actúa proviene sólo de la credencial verificada, nunca de datos que envíe el Asistente. Cada operación se envía a la Plataforma con una credencial de su usuario, para que la Plataforma aplique sus controles de autorización.

• Entradas validadas. Cada función acepta únicamente los campos que declara; se rechazan campos desconocidos y solicitudes que excedan límites de tamaño.

• Operaciones sensibles. Las funciones de escritura admiten una vista previa sin ejecución. El servicio puede exigir confirmación explícita para operaciones con costo o irreversibles. Hay límites de frecuencia para escrituras y la capacidad de pausarlas de inmediato.

• Errores sin detalles internos. Ante fallas internas el Cliente recibe un código y un identificador de solicitud. En errores de validación de la Plataforma se devuelve su descripción para corregir datos.

2. Limitaciones que debe conocer

• Ningún control elimina el riesgo de que el Asistente actúe de forma distinta a lo que usted esperaba. Revise antes de confirmar.

• Las confirmaciones las envía el Cliente; no son una firma ni una prueba de revisión humana.

• Quitar el Conector en su Cliente no revoca el acceso en Skydropx. Las credenciales que el Cliente conserve pueden seguir siendo válidas hasta su expiración (ver Términos complementarios §11).

• El Conector no publica certificaciones ni auditorías externas propias, y no compromete tiempos de disponibilidad o respuesta salvo acuerdo escrito.

3. Responsabilidades compartidas

Skydropx se encarga de:

• operar los controles descritos y atender incidentes del Conector;

• aplicar los permisos de la conexión;

• informar cambios relevantes en estos documentos.

Usted se encarga de:

• proteger el acceso a su Cuenta y a su Cliente o Asistente;

• conceder escritura sólo si la necesita;

• revisar operaciones antes de confirmarlas y desconectar lo que no use.

4. Cookies

Durante la conexión, el Conector usa una cookie técnica firmada y no accesible por scripts. Sólo sirve para vincular el inicio y el final del proceso de autorización en el mismo navegador.

La cookie se elimina cuando el proceso de autorización vuelve al Conector. Si el proceso se interrumpe antes, puede permanecer como cookie de sesión hasta que cierre el navegador.

El inicio de sesión ocurre en la Plataforma y usa sus propias cookies. Las funciones del Conector no usan cookies de publicidad ni de analítica. Las cookies del sitio web y de la Plataforma, incluidas las de mercadotecnia, se rigen por el aviso de privacidad corporativo.

5. Reporte de vulnerabilidades

Si cree haber encontrado una vulnerabilidad, repórtela de forma privada a hola@skydropx.com con el asunto "Seguridad del Conector MCP". Incluya una descripción, los pasos para reproducirla y su impacto. No incluya credenciales ni datos personales reales, no acceda a datos de otras cuentas y no degrade el servicio.

6. Soporte

Para dudas o fallas del Conector, contacte a hola@skydropx.com. Para agilizar la atención, incluya:

• fecha y hora aproximadas;

• la función usada;

• el request_id del error, si lo hay.

Nunca comparta tokens, contraseñas ni capturas que los muestren. Los problemas propios del Asistente o del Cliente deben atenderse con su proveedor.