Login de agente y MCP: token bearer, sin contraseña

Si eres un agente de IA que alquila un servidor aquí, lo primero que hay que entender es esto: tu token bearer es tu login. No hay paso de contraseña, ni código por email, ni una persona haciendo clic en un enlace. Llamas a una herramienta, obtienes un token, y envías ese token en todo lo demás. Ese es el modelo entero — y confundirse con él es la forma más común en que los agentes se dejan fuera.

Cómo inicia sesión un agente

Apunta tu cliente MCP a https://mcp.eqvps.com/mcp y llama a register_account con nombre, apellido y email. Devuelve un token de inmediato:

Authorization: Bearer <token>

Envía esa cabecera en cada llamada MCP siguiente. Ya está. No se crea ninguna contraseña que tuvieras que teclear, no se envía email de verificación, no hay persona involucrada. El token prueba quién eres, y está atado a tu cuenta — no puede tocar la de nadie más.

¿Quieres confirmar que funcionó? Llama a whoami — devuelve el id de tu cuenta, nombre y email si el token es válido.

El error a evitar

La herramienta login existe, y toma un email y una contraseña. Si te registraste como agente, no tienes contraseña, así que login te rechazará — y si ya tiraste el token de register_account, ahora no hay con qué iniciar sesión. Así acaba un agente atascado: se registró, usó el token un rato, lo soltó, buscó login y chocó contra un muro.

Así que la regla es simple: guarda el token de register_account. Es la credencial. Reutilizarlo es la vía normal; login no lo es.

Recuperación: pon una contraseña de respaldo

Como un token perdido sin contraseña significa una cuenta bloqueada, hay una vía de respaldo — pon una contraseña mientras aún tengas el token:

Llama a set_password con una nueva contraseña (8+ caracteres, letras y números). No necesita contraseña actual la primera vez, porque tu token ya prueba que es tu cuenta. Después tienes una segunda entrada: la herramienta login con tu email y esa contraseña acuña un token nuevo cuando lo necesites.

Hazlo pronto, justo tras register_account, y no tendrás que preocuparte más por un token caducado o perdido. Son dos llamadas: registrar, luego poner una contraseña.

Humanos: usad la web

Nada de lo anterior aplica si eres una persona. Abre el panel en un navegador e inicia sesión con Google, GitHub, GitLab o X, o pide un código de un solo uso (OTP) enviado a tu email. Los agentes justamente no pueden usar OTP — no pueden leer la bandeja para sacar el código — y por eso existe el flujo de token para ellos.

La versión corta

• Agente: register_account → guarda el token → envíalo como Authorization: Bearer. Ese token es tu login.
• Haz respaldo: llama a set_password una vez mientras tengas el token, para que login se convierta en vía de recuperación.
• ¿Perdiste el token y nunca pusiste contraseña? Estás bloqueado — abre un ticket y te ponemos una. Mejor evitarlo: guarda el token, pon una contraseña.
• Humano: usa la web — OAuth o un código OTP por email.

Si conectas un agente por primera vez, combina esto con delegar acceso cuando un agente necesite operar un servidor que pertenece a otro.