Requisitos de revisión de servidores MCP remotos

Prepara un servidor MCP remoto y su interfaz opcional para su revisión antes de publicarlos como parte de un complemento.

Preparar las capacidades de MCP remoto para enviar un complemento

Consulta esta página para conocer los requisitos que se aplican cuando un complemento incluye un servidor MCP remoto: verificación de la organización, permisos de administración, requisitos del servidor, instantáneas para revisión y mantenimiento de versiones.

Cuando el servidor MCP remoto funcione en modo de desarrollador, envíalo a revisión desde el portal de envío de complementos. Esta página abarca los requisitos del servidor MCP remoto y de la interfaz opcional para ese envío.

Envía el complemento solo si tienes la intención de que esté disponible públicamente en los países que definas durante el envío. Para uso privado o exclusivo de un espacio de trabajo, usa el modo de desarrollador en su lugar.

Antes de enviar el complemento, revisa las directrices para complementos para conocer las expectativas sobre el servidor MCP y la interfaz opcional, y consulta Enviar complementos para conocer el proceso completo de envío, aprobación y publicación de complementos.

Para conocer el proceso completo, incluidos los complementos que solo contienen habilidades y los que usan MCP, la revisión, la aprobación y la publicación, consulta Enviar complementos.

Antes de enviar el complemento

Verificación de la organización

Antes de enviar cualquier complemento, completa la verificación de identidad en el panel de la plataforma de OpenAI para el nombre con el que planeas publicar en el directorio.

• Si quieres publicar con tu propio nombre, completa la verificación individual.
• Si quieres publicar con el nombre de una empresa, completa la verificación empresarial.

Este requisito se comprueba durante la revisión. Publicar con un nombre de persona o empresa sin verificar dará lugar al rechazo.

Permisos para enviar complementos

Para crear borradores de complementos y enviarlos a revisión, necesitas el permiso api.apps.write. Para ver los borradores y el estado de revisión en el panel, necesitas el permiso api.apps.read. Los propietarios de la organización tienen ambos permisos automáticamente y pueden otorgarlos a quienes no sean propietarios mediante roles en el panel de la plataforma de OpenAI.

Requisitos del servidor MCP remoto

• Tu servidor MCP está alojado en un dominio de acceso público
• No usas un punto de acceso local ni de pruebas
• Si el servidor devuelve una interfaz, definiste una política de seguridad de contenido (CSP) que permite los dominios exactos desde los que el componente obtiene datos.

Plantillas de URL de servidores MCP

Para la mayoría de los complementos, se debe enviar una URL universal del servidor MCP: un único punto de acceso MCP alojado que funcione para todos los usuarios y organizaciones. Elige Plantilla solo si el complemento usa URL de servidores MCP específicas de cada espacio de trabajo, por ejemplo, cuando cada cliente tiene un tenant, un espacio de trabajo o un punto de acceso MCP administrado independiente. Solo admitimos URL basadas en plantillas para desarrolladores de confianza con quienes tenemos una relación establecida.

Los envíos con plantillas requieren dos valores de URL:

• URL de ejemplo del servidor MCP: un punto de acceso MCP concreto y funcional para la revisión y las comprobaciones automatizadas.
• Plantilla de URL del servidor MCP: el patrón de URL que describe qué parte del punto de acceso MCP cambia entre los espacios de trabajo de los clientes.

La URL de ejemplo del servidor MCP debe ser un punto de acceso real al que OpenAI pueda conectarse durante la revisión del envío. No ingreses una URL de marcador de posición en el campo URL de ejemplo del servidor MCP .

Usa marcadores de posición en la Plantilla de URL del servidor MCP para las partes que un administrador del espacio de trabajo configurará más adelante. Los marcadores de posición deben usar la sintaxis {name}, comenzar con una letra y contener solo letras, números o guiones bajos. El nombre de cada marcador de posición debe ser único.

Asegúrate de que la URL de ejemplo del servidor MCP concreta coincida con el patrón de la plantilla después de reemplazar cada marcador de posición por un valor real.

Por ejemplo:

Example MCP Server URL: https://acme.example.com/mcp
Template MCP Server URL: https://{workspace}.example.com/mcp

Enviar a revisión

Si se cumplen los requisitos previos, puedes enviar el complemento a revisión desde el portal de envío de complementos.

Iniciar el proceso de revisión

En el portal de envío de complementos:

1. Agrega los detalles de tu servidor MCP (así como las credenciales de OAuth si seleccionaste OAuth) y luego selecciona Escanear herramientas.
2. Completa los campos obligatorios del formulario de envío y marca todas las casillas de confirmación. Deberás proporcionar el nombre, el logotipo y la descripción del complemento, las URL de la empresa y de la política de privacidad, información sobre MCP y las herramientas, prompts y respuestas de prueba, e información de localización. Si el complemento tiene interfaz, también puedes proporcionar capturas de pantalla opcionales. No proporciones capturas de pantalla si el complemento no tiene interfaz.
3. Selecciona Enviar a revisión.

Metadatos almacenados durante el escaneo de herramientas

Cuando seleccionas Escanear herramientas, el panel importa al borrador los metadatos que expone tu punto de acceso MCP. Esto incluye los nombres, títulos y descripciones de las herramientas; los esquemas de entrada y salida; los esquemas de seguridad; los campos _meta; las anotaciones de las herramientas; los metadatos de los recursos de interfaz vinculados, incluida la configuración de CSP; y el campo instructions del servidor MCP. El panel muestra los valores de las anotaciones que proporciona tu servidor.

Las justificaciones de tu envío deben explicar por qué los valores de las anotaciones que proporciona el servidor coinciden con el comportamiento de cada herramienta. No reemplazan las anotaciones. Por ejemplo, si tu servidor expone readOnlyHint: false, describir la herramienta como “funcionalmente de solo lectura” en la justificación no la convierte en una herramienta de solo lectura. Si la herramienta realmente es de solo lectura, actualiza su anotación en el servidor a readOnlyHint: true, despliega el cambio, vuelve a seleccionar Escanear herramientas , verifica el valor actualizado y luego realiza el envío.

Cada organización puede publicar varios complementos distintos con MCP. Para cada integración de un servidor MCP, solo puede haber una versión publicada a la vez y solo una versión en revisión a la vez. Si necesitas hacer cambios después del envío, retíralo seleccionando Cancelar revisión y vuelve a enviar el borrador de esa misma versión.

Por ahora, los proyectos con residencia de datos en la UE no pueden enviar complementos con servidores MCP a revisión. Usa un proyecto con residencia de datos global. Si no tienes uno, crea un proyecto nuevo en tu organización actual desde el panel de OpenAI.

Revisión y aprobación

Una vez enviado, el complemento entrará en la cola de revisión. Puedes consultar el estado en el panel y recibirás una notificación por correo electrónico cada vez que cambie.

Revisiones y comprobaciones

Podemos realizar escaneos automatizados o revisiones manuales para entender cómo funciona tu complemento y si podría entrar en conflicto con nuestras políticas.

Aprobación, rechazo y apelaciones

Si se aprueba tu complemento, te lo notificaremos por correo electrónico. Una vez aprobado, puedes publicarlo desde el portal de envío de complementos.

Si tu complemento se rechaza o se retira debido a su servidor MCP, sus herramientas o su interfaz, recibirás comentarios sobre las comprobaciones que no superó. Después de hacer los cambios necesarios, puedes volver a enviar el complemento a revisión. Para apelar la decisión, responde al correo electrónico que recibiste con una justificación clara y cualquier información nueva que pueda ayudar en la revisión.

Obtener ayuda

Si tienes preguntas antes, durante o después del envío y la documentación no las responde, comunícate con el soporte de OpenAI. Incluye el ID que aparece en el portal de envío de complementos para que el equipo de soporte pueda identificar tu complemento.

Preguntas frecuentes sobre revisión y aprobación

¿Cuánto tarda la revisión?

Los plazos de revisión pueden variar a medida que seguimos desarrollando y ampliando nuestros procesos. No te comuniques con soporte para solicitar una revisión acelerada, ya que no podemos atender esas solicitudes.

¿Cuáles son los motivos de rechazo más comunes y cómo puedo resolverlos?

• No podemos conectarnos a tu servidor MCP con la URL de MCP y/o las credenciales de prueba que recibimos.
  • En el caso de los servidores que requieren autenticación, nuestro equipo de revisión debe poder iniciar sesión en una cuenta de demostración sin necesidad de configuración adicional.
  • Asegúrate de que la URL y las credenciales proporcionadas sean correctas y no requieran MFA (incluidos códigos por SMS o el inicio de sesión mediante sistemas que requieran verificación por SMS, correo electrónico u otros métodos).
  • Asegúrate de que las credenciales proporcionadas permitan iniciar sesión correctamente (pruébalas fuera de cualquier red empresarial, red de área local u otra red interna).
  • Confirma que las credenciales no hayan vencido.
• Uno o más de tus casos de prueba no produjeron resultados correctos.
  • Revisa todos los casos de prueba con atención y vuelve a ejecutar cada uno. Asegúrate de que las salidas coincidan con los resultados esperados. Verifica que no haya errores en la interfaz (si corresponde), por ejemplo, problemas al cargar contenido o imágenes, u otros problemas de interfaz.
  • Asegúrate de que el texto devuelto se ajuste fielmente a la solicitud del usuario y no incluya información adicional que no sea pertinente para la solicitud, incluidos identificadores personales.
  • Asegúrate de que todos los casos de prueba pasen en las interfaces compatibles de ChatGPT y Codex donde estará disponible el complemento.
  • Compara los resultados reales con el comportamiento exacto esperado de cada herramienta y corrige cualquier discrepancia para que los resultados sean pertinentes para la entrada del usuario y el complemento cumpla de forma confiable con lo que promete.
  • Si es necesario, al volver a enviar el complemento, modifica los casos de prueba y las respuestas esperadas para que sean claros y no tengan ambigüedades.
• Tu complemento devuelve tipos de datos relacionados con el usuario que no se declaran en tu política de privacidad.
  • Audita las respuestas de tus herramientas MCP en modo de desarrollador: ejecuta algunas solicitudes de ejemplo realistas y enumera todos los campos relacionados con el usuario que devuelve el servidor (incluidos los campos anidados y las cargas útiles de “depuración”). Asegúrate de que las herramientas devuelvan solo lo estrictamente necesario para la solicitud del usuario y elimina toda información de identificación personal (PII), telemetría o identificador interno innecesario (por ejemplo, ID de sesión, de traza o de solicitud; marcas de tiempo; ID de cuentas internas; o registros), así como cualquier secreto de autenticación (tokens, claves o contraseñas).
  • También puedes considerar actualizar tu política de privacidad publicada para que declare explícitamente todas las categorías de datos personales que recopilas, procesas o devuelves y por qué. Si un campo no es realmente necesario, elimínalo en lugar de declararlo.
  • Si un identificador de usuario es realmente necesario, asegúrate de que se solicite explícitamente y esté vinculado de forma directa con la intención del usuario (en lugar de “buscarlo y devolverlo” de forma predeterminada).
• Las anotaciones indicativas de la herramienta no parecen coincidir con su comportamiento:
  • readOnlyHint: establece el valor en true si la herramienta se limita a obtener, consultar, listar o recuperar datos y no modifica nada. Establece el valor en false si la herramienta puede crear, actualizar o eliminar algo, desencadenar acciones (enviar correos electrónicos o mensajes, ejecutar trabajos, poner tareas en cola, escribir registros, iniciar flujos de trabajo) o cambiar el estado de alguna otra manera.
  • Indicador de acciones destructivas: establece la anotación de acciones destructivas en true si la herramienta puede causar resultados irreversibles (eliminar, sobrescribir, enviar mensajes o realizar transacciones que no se pueden deshacer, revocar acceso o ejecutar acciones administrativas destructivas), aunque sea solo en determinados modos, mediante parámetros predeterminados o por efectos secundarios indirectos. Asegúrate de que la justificación explique qué es irreversible y en qué condiciones, e incluya medidas de protección como pasos de confirmación, opciones de simulación o restricciones de alcance. De lo contrario, establece el valor en false.
  • openWorldHint: establece el valor en true si la herramienta accede a la internet pública o a entidades externas sin un alcance delimitado. Esto incluye herramientas de solo lectura, como la búsqueda web, y herramientas de escritura que publican en plataformas públicas, envían mensajes a destinatarios externos, publican contenido, envían código a repositorios remotos o envían formularios. Establece el valor en false si la herramienta se limita a una cuenta o un espacio de trabajo privado de alcance acotado, incluso cuando ese servicio esté alojado externamente.

Publicación y distribución

Publicar el complemento

Una vez aprobado el complemento, puedes publicarlo desde el portal de envío de complementos seleccionando Publicar.

Cómo encontrar el complemento

Una vez publicado, los usuarios pueden encontrar tu complemento en el directorio universal compartido por ChatGPT y Codex de las siguientes maneras:

• Haciendo clic en un enlace directo a la ficha del complemento en el directorio.
• Buscando el complemento por su nombre.

Los complementos que demuestren una gran utilidad en situaciones reales y un alto nivel de satisfacción de los usuarios pueden ser elegibles para oportunidades de mayor distribución, como una ubicación destacada en el directorio o sugerencias proactivas. Sin embargo, pocos complementos recibirán una mayor distribución al publicarse. Los desarrolladores no pueden solicitar una mayor distribución.

Preguntas frecuentes sobre publicación y distribución

¿Qué sucede después de que se aprueba el complemento? ¿Aparecerá automáticamente en el directorio de complementos?

Una vez aprobado el complemento, puedes optar por publicarlo desde el portal de envío de complementos. Debes publicarlo para que pueda aparecer en el directorio universal de complementos.

¿Por qué no veo mi complemento en el directorio?

Los complementos aparecen en las páginas principales del directorio solo si OpenAI los selecciona para una mayor distribución. Para confirmar que tu complemento está publicado, búscalo con el nombre exacto con el que se publicó o abre su URL del directorio desde el portal de envío de complementos.

¿Qué debo hacer si quiero emitir un comunicado de prensa o un anuncio público sobre mi complemento?

Antes de emitir cualquier comunicado de prensa o anuncio público sobre el lanzamiento de tu complemento, comunícate primero con press@openai.com para coordinar con nuestro equipo de comunicaciones.

Mantenimiento continuo

Cómo funcionan las versiones publicadas de metadatos MCP

Trata los metadatos que expone tu servidor MCP como un contrato de API con control de versiones para el complemento. Cuando escaneas el punto de acceso MCP en el portal de envío de complementos, OpenAI almacena los metadatos detectados junto con esa versión en borrador. Al enviar la versión, se envía esa instantánea almacenada para su revisión. Después de la publicación, la revisión continua actualiza las definiciones de las herramientas sin requerir una nueva versión del complemento. Las llamadas a herramientas y los recursos de la interfaz de usuario siguen usando tu servidor MCP en funcionamiento.

Revisión continua y actualizaciones de herramientas

OpenAI obtiene periódicamente las herramientas de tu servidor MCP y las compara con las definiciones publicadas, incluidas sus descripciones, esquemas y anotaciones.

• Herramientas eliminadas: se quitan de la lista de herramientas publicadas en cuanto un escaneo detecta la eliminación, sin esperar las comprobaciones automatizadas.
• Herramientas nuevas: quedan disponibles después de pasar las comprobaciones automatizadas. Hasta entonces, no están disponibles para los usuarios.
• Herramientas modificadas: la definición anterior sigue vigente hasta que la definición actualizada pase las comprobaciones automatizadas o un escaneo detecte que eliminaste la herramienta. Las actualizaciones que pasan las comprobaciones reemplazan automáticamente la definición anterior.

Cada herramienta puede pasar las comprobaciones de forma independiente. Por ejemplo, agregas create_note, modificas search para que acepte un parámetro folder y eliminas archive_note. El siguiente escaneo elimina archive_note de inmediato. Si create_note pasa las comprobaciones, pero la actualización de search queda en espera, los usuarios obtienen create_note y conservan la definición anterior de search sin folder.

Mantén la compatibilidad de tu servidor con la definición vigente mientras una actualización esté en espera. OpenAI conserva la definición, no una copia de la implementación de tu servidor. Una comprobación incompleta no aprueba una actualización, aunque no haya detectado problemas.

Otros cambios

Usa esta tabla para determinar cómo lanzar cada cambio:

Los cambios en el servidor entran en vigor antes de que un escaneo pueda detectarlos o aprobarlos. Mantén el funcionamiento de los esquemas de entrada existentes y de cada URI de recurso publicado de la interfaz de usuario durante ese intervalo. Si un despliegue rompe el contrato vigente, revierte el cambio en el servidor en lugar de esperar la revisión.

Enviar nuevas versiones para su revisión

Para cambiar la información enviada del complemento o las habilidades importadas, crea una nueva versión en borrador del complemento existente y vuelve a enviarla para su revisión. La revisión continua de herramientas no reemplaza este proceso. Cada nuevo envío inicia una nueva revisión. En las notas de la versión, describe qué cambió.

El origen del servidor MCP (scheme, hostname o port) no puede cambiar entre versiones. Para usar un origen diferente, envía un nuevo complemento con el nuevo origen del servidor MCP. Puedes cambiar la ruta del punto de acceso en una nueva versión del complemento existente.

Volveremos a revisar los metadatos actualizados del complemento y te informaremos por correo electrónico y en el portal de envío de complementos si la actualización se aprobó o se rechazó. Si se rechaza, puedes actualizarla y volver a enviarla o apelar la decisión.

Una vez aprobado tu nuevo envío, puedes publicar la actualización, que reemplazará la versión anterior del complemento.

Si hiciste cambios adicionales en el complemento entre el envío y la aprobación y quieres enviar una nueva versión para su revisión, cancela la revisión desde el portal de envío de complementos y vuelve a enviarla.

Cambiar las versiones publicadas de metadatos y retirar el complemento

Una vez publicado un complemento, puedes cambiar su versión publicada desde el portal de envío de complementos retirando de la publicación la versión actual y publicando una versión aprobada que la reemplace. Puedes ocultar el complemento al público retirando la versión actual de la publicación y sin publicar una versión alternativa.

Para retirar el complemento de tu organización y de ChatGPT y Codex, elimínalo desde el portal de envío de complementos.

Requisitos de mantenimiento

Los complementos pueden retirarse si están inactivos, son inestables o incumplen las normas. Podemos rechazar o retirar cualquier complemento de nuestros servicios en cualquier momento y por cualquier motivo sin previo aviso, por ejemplo, por cuestiones legales o de seguridad, o por infracciones de las políticas.

Preguntas frecuentes sobre el mantenimiento continuo

¿Qué sucede si los usuarios reportan mi complemento como dañino o engañoso?

OpenAI revisa los reportes de los usuarios y puede revisar o investigar tu complemento, incluidos su servidor MCP, sus herramientas y su interfaz de usuario. Los complementos que infrinjan nuestras políticas pueden quedar restringidos o ser eliminados. Puedes apelar una eliminación u otra medida de cumplimiento siguiendo el proceso de apelación que se describe aquí. Revisa los comentarios y responde a ellos con regularidad, y actualiza tu complemento si se detectan problemas.

¿Cuánto tardarán las actualizaciones?

Al igual que con las revisiones iniciales, no podemos ofrecer plazos estimados para las revisiones de actualizaciones.