Requisitos para la revisión de servidores MCP remotos

Prepara un servidor MCP remoto y su interfaz de usuario opcional para que se revisen como parte de un complemento antes de publicarlo.

Preparar las funciones del servidor MCP remoto para enviar un complemento

Consulta esta página para conocer los requisitos que se aplican cuando un complemento incluye un servidor MCP remoto: la verificación de la organización, los permisos de administración, los requisitos del servidor, las instantáneas que se envían a revisión y el mantenimiento de versiones.

Cuando el servidor MCP remoto funcione en ChatGPT, envía el complemento a revisión desde el portal de envío de complementos. En esta página se detallan los requisitos que deben cumplir el servidor MCP remoto y la interfaz de usuario opcional para ese envío.

Envía el complemento solo si quieres que esté disponible públicamente en los países que indiques durante el envío. Para uso privado o exclusivo de un Espacio de trabajo, usa una conexión a un servidor MCP personalizado.

Antes de enviar el complemento, revisa las pautas para complementos para saber qué se espera del servidor MCP y de la interfaz de usuario opcional. Consulta Enviar complementos para conocer el proceso completo de envío, aprobación y publicación.

Para conocer todo el proceso, desde el envío hasta la revisión, la aprobación y la publicación, tanto para complementos que solo incluyen habilidades como para los que usan MCP, consulta Enviar complementos.

Antes de enviar el complemento

Verificación de la organización

Antes de enviar cualquier complemento, completa la verificación de identidad en el panel de la plataforma de OpenAI con el nombre que usarás para publicar en el directorio.

• Si quieres publicar con tu propio nombre, completa la verificación individual.
• Si quieres publicar con el nombre de una empresa, completa la verificación empresarial.

Este requisito se comprueba durante la revisión. Si intentas publicar con un nombre personal o empresarial sin verificar, se rechazará el complemento.

Permisos para enviar complementos

Para crear borradores de complementos y enviarlos a revisión, necesitas el permiso api.apps.write. Para ver los borradores y el estado de la revisión en el panel, necesitas el permiso api.apps.read. Los propietarios de la organización tienen ambos permisos de forma automática y pueden otorgárselos a quienes no sean propietarios mediante los roles del panel de la plataforma de OpenAI.

Requisitos del servidor MCP remoto

• El servidor MCP debe estar alojado en un dominio de acceso público.
• El punto de acceso no debe ser local ni de prueba.
• Si el servidor devuelve una interfaz de usuario, debes haber definido una política de seguridad de contenido (CSP) que permita los dominios exactos de los que el componente obtiene recursos.

Plantillas de URL del servidor MCP

Para la mayoría de los complementos, debes enviar una URL universal del servidor MCP: un único punto de acceso MCP alojado que funcione para todos los usuarios y organizaciones. Selecciona Plantilla solo si el complemento usa URL de servidor MCP específicas de cada espacio de trabajo, por ejemplo, cuando cada cliente tiene su propio entorno de inquilino, espacio de trabajo o punto de acceso MCP administrado. Solo admitimos URL basadas en plantillas para desarrolladores de confianza con quienes ya tenemos una relación establecida.

Si usas una plantilla, debes proporcionar dos valores:

• URL de ejemplo del servidor MCP: un punto de acceso MCP concreto y operativo para la revisión y las comprobaciones automáticas.
• Plantilla de URL del servidor MCP: el patrón de URL que indica qué parte del punto de acceso MCP varía entre los espacios de trabajo de los clientes.

La URL de ejemplo del servidor MCP debe corresponder a un punto de acceso real al que OpenAI pueda conectarse durante la revisión. No ingreses una URL ficticia en el campo URL de ejemplo del servidor MCP.

En la Plantilla de URL del servidor MCP, usa marcadores de posición para las partes que el administrador del espacio de trabajo configurará más adelante. Los marcadores deben usar la sintaxis {name}. Cada nombre debe empezar con una letra y contener solo letras, números o guiones bajos. Cada marcador debe tener un nombre único.

Comprueba que la URL de ejemplo del servidor MCP coincida con el patrón de la plantilla después de sustituir cada marcador de posición por un valor real.

Por ejemplo:

Example MCP Server URL: https://acme.example.com/mcp
Template MCP Server URL: https://{workspace}.example.com/mcp

Enviar a revisión

Si cumples los requisitos previos, puedes enviar el complemento a revisión desde el portal de envío de complementos.

Iniciar el proceso de revisión

En el portal de envío de complementos:

1. Agrega los datos de tu servidor MCP y, si seleccionaste OAuth, las credenciales de OAuth. Luego selecciona Escanear herramientas.
2. Completa los campos obligatorios del formulario de envío y marca todas las casillas de confirmación. Deberás proporcionar el nombre, el logotipo y la descripción del complemento, las URL de la empresa y de la Política de privacidad, información sobre MCP y las herramientas, prompts de prueba con sus respuestas e información de localización.
3. Selecciona Enviar a revisión.

Metadatos almacenados durante el escaneo de herramientas

Cuando seleccionas Escanear herramientas, el panel importa al borrador los metadatos que declara tu punto de acceso MCP. Entre ellos se encuentran los nombres, títulos y descripciones de las herramientas, los esquemas de entrada y salida, los esquemas de seguridad, los campos _meta, las anotaciones de las herramientas, los metadatos de los recursos vinculados de la interfaz de usuario (incluida la configuración de CSP) y las instructions del servidor MCP. El panel muestra los valores de las anotaciones que proporciona tu servidor.

En las justificaciones del envío, explica por qué los valores de las anotaciones que proporciona el servidor corresponden al comportamiento de cada herramienta. Las justificaciones no reemplazan las anotaciones. Por ejemplo, si tu servidor declara readOnlyHint: false, describir la herramienta en la justificación como “de solo lectura en la práctica” no la convierte en una herramienta de solo lectura. Si la herramienta realmente es de solo lectura, cambia su anotación en el servidor a readOnlyHint: true, despliega el cambio, vuelve a seleccionar Escanear herramientas, verifica el valor actualizado y envía el complemento.

Cada organización puede publicar varios complementos distintos con MCP. Para cada integración con un servidor MCP, solo puede haber una versión publicada a la vez y una sola versión en revisión a la vez. Si necesitas hacer cambios después del envío, retíralo con la opción Cancelar revisión y vuelve a enviar el borrador de esa misma versión.

Por ahora, los proyectos con residencia de datos en la UE no pueden enviar a revisión complementos con servidores MCP. Usa un proyecto con residencia de datos global. Si no tienes uno, crea un proyecto en tu organización actual desde el panel de OpenAI.

Revisión y aprobación

Una vez enviado, el complemento entrará en la cola de revisión. Puedes consultar su estado en el panel. Recibirás una notificación por correo electrónico cada vez que cambie el estado.

Revisiones y comprobaciones

Podemos realizar escaneos automáticos o revisiones manuales para entender cómo funciona tu complemento y determinar si podría infringir nuestras políticas.

Aprobación, rechazo y apelaciones

Si se aprueba tu complemento, te avisaremos por correo electrónico. Una vez aprobado, puedes publicarlo desde el portal de envío de complementos.

Si se rechaza o se retira tu complemento debido a su servidor MCP, sus herramientas o su interfaz de usuario, recibirás información sobre las comprobaciones que no pasó. Después de hacer los cambios necesarios, puedes volver a enviarlo a revisión. Para apelar la decisión, responde al correo electrónico que recibiste. Explica claramente tus motivos e incluye cualquier información nueva que pueda ayudar en la revisión.

Obtener ayuda

Si tienes preguntas antes, durante o después del envío y no encuentras la respuesta en la documentación, comunícate con el equipo de soporte de OpenAI. Incluye el ID que aparece en el portal de envío de complementos para que el equipo pueda identificar tu complemento.

Preguntas frecuentes sobre la revisión y la aprobación

¿Cuánto tarda la revisión?

Los plazos de revisión pueden variar a medida que desarrollamos y ampliamos nuestros procesos. No te comuniques con el equipo de soporte para solicitar una revisión acelerada, ya que no podemos atender esas solicitudes.

¿Cuáles son los motivos de rechazo más comunes y cómo puedo resolverlos?

• No pudimos conectarnos a tu servidor MCP con la URL de MCP o las credenciales de prueba que recibimos, o con ambas.
  • Si el servidor requiere autenticación, nuestro equipo de revisión debe poder iniciar sesión en una cuenta de demostración sin realizar ninguna configuración adicional.
  • Comprueba que la URL y las credenciales sean correctas y que el acceso no requiera MFA. Esto incluye los códigos por SMS y el inicio de sesión mediante sistemas que exigen verificación por SMS, correo electrónico u otros medios.
  • Comprueba que las credenciales permitan iniciar sesión. Pruébalas fuera de cualquier red empresarial, red de área local u otra red interna.
  • Confirma que las credenciales no hayan caducado.
• Uno o más de tus casos de prueba dieron resultados incorrectos.
  • Revisa cuidadosamente todos los casos de prueba y vuelve a ejecutar cada uno. Comprueba que los resultados coincidan con lo esperado. Si hay una interfaz de usuario, verifica que no presente errores, como problemas al cargar contenido o imágenes.
  • Comprueba que el texto devuelto responda con precisión a la solicitud del usuario y no incluya información ajena a ella, como identificadores personales irrelevantes.
  • Comprueba que todos los casos de prueba pasen en las interfaces compatibles de ChatGPT y Codex donde estará disponible el complemento.
  • Compara los resultados reales con el comportamiento exacto que esperas de cada herramienta y corrige cualquier discrepancia para que los resultados respondan a lo que ingresó el usuario y el complemento cumpla su función de manera confiable.
  • Si es necesario, modifica los casos de prueba y las respuestas esperadas para que sean claros e inequívocos al volver a enviar el complemento.
• Tu complemento devuelve tipos de datos de los usuarios que no se mencionan en tu Política de privacidad.
  • Audita las respuestas de tus herramientas MCP en ChatGPT. Ejecuta algunas solicitudes de ejemplo realistas y enumera todos los campos relacionados con el usuario que devuelve el servidor, incluidos los campos anidados y las cargas de datos de “depuración”. Comprueba que las herramientas devuelvan solo lo estrictamente necesario para la solicitud del usuario. Elimina toda información de identificación personal innecesaria, los identificadores de telemetría o internos innecesarios (por ejemplo, ID de sesión, de traza o de solicitud, marcas de tiempo, ID internos de cuenta o registros) y cualquier secreto de autenticación (tokens, claves o contraseñas).
  • También puedes actualizar tu Política de privacidad publicada para que indique explícitamente todas las categorías de datos personales que recopilas, procesas o devuelves y con qué finalidad. Si un campo no es realmente necesario, elimínalo en vez de declararlo.
  • Si un identificador de usuario es indispensable, asegúrate de que el usuario lo solicite explícitamente y de que esté directamente relacionado con su intención. Evita que la herramienta “lo consulte y lo devuelva” de forma predeterminada.
• Las anotaciones que indican cómo funciona la herramienta no parecen corresponder a su comportamiento:
  • readOnlyHint: usa true si la herramienta se limita a obtener, consultar, enumerar o recuperar datos sin modificar nada. Usa false si puede crear, actualizar o eliminar algo, ejecutar acciones (enviar correos o mensajes, ejecutar trabajos, poner tareas en cola, escribir registros o iniciar flujos de trabajo) o cambiar el estado de alguna otra manera.
  • Indicador de acciones destructivas: configura la anotación de acciones destructivas en true si la herramienta puede tener efectos irreversibles (eliminar o sobrescribir datos, enviar mensajes o transacciones que no se pueden deshacer, revocar el acceso o realizar acciones administrativas destructivas). Esto se aplica incluso si esos efectos solo se producen en ciertos modos, con parámetros predeterminados o de forma indirecta. Explica en la justificación qué es irreversible y en qué condiciones. Incluye las medidas de protección, como los pasos de confirmación, las opciones de simulación o los límites de alcance. En caso contrario, usa false.
  • openWorldHint: usa true si la herramienta accede a la internet pública o puede interactuar con entidades externas sin limitarse a un conjunto definido. Esto incluye las herramientas de solo lectura, como la búsqueda web, y las de escritura que publican en plataformas públicas, envían mensajes a destinatarios externos, publican contenido, envían código a un repositorio o envían formularios. Usa false si la herramienta se limita a una cuenta privada o a un espacio de trabajo privado con un alcance definido, incluso si el servicio está alojado externamente.

Publicación y distribución

Publicar el complemento

Una vez aprobado el complemento, puedes publicarlo desde el portal de envío de complementos. Selecciona Publicar.

Cómo encontrar el complemento

Una vez publicado, los usuarios pueden encontrar tu complemento en el directorio universal que comparten ChatGPT y Codex de dos maneras:

• Haciendo clic en un enlace directo a la ficha del complemento en el directorio.
• Buscando el complemento por su nombre.

Los complementos que demuestren una gran utilidad en situaciones reales y un alto nivel de satisfacción entre los usuarios pueden recibir una mayor distribución, por ejemplo, mediante una ubicación destacada en el directorio o sugerencias proactivas. Sin embargo, pocos complementos recibirán esa mayor distribución al publicarse. Los desarrolladores no pueden solicitarla.

Preguntas frecuentes sobre la publicación y la distribución

¿Qué sucede después de que se aprueba el complemento? ¿Aparecerá automáticamente en el directorio de complementos?

Una vez aprobado el complemento, puedes decidir si lo publicas desde el portal de envío de complementos. Debes publicarlo para que pueda aparecer en el directorio universal de complementos.

¿Por qué no veo mi complemento en el directorio?

Los complementos solo aparecen en las páginas principales del directorio si OpenAI los selecciona para darles mayor distribución. Para confirmar que tu complemento está publicado, búscalo con el nombre exacto con el que lo publicaste o abre su URL del directorio desde el portal de envío de complementos.

¿Qué debo hacer si quiero emitir un comunicado de prensa o hacer un anuncio público sobre mi complemento?

Antes de emitir un comunicado de prensa o hacer un anuncio público sobre el lanzamiento de tu complemento, escribe a press@openai.com para coordinarlo con nuestro equipo de comunicaciones.

Mantenimiento continuo

Cómo funcionan las versiones publicadas de los metadatos de MCP

Trata los metadatos que expone tu servidor MCP como un contrato de API versionado para el complemento. Cuando escaneas el punto de acceso MCP en el portal de envío de complementos, OpenAI guarda los metadatos detectados junto con el borrador de esa versión. Al enviar la versión, envías a revisión esa instantánea almacenada. Después de la publicación, la revisión continua actualiza las definiciones de las herramientas sin que necesites crear una nueva versión del complemento. Las llamadas a herramientas y los recursos de la interfaz de usuario siguen usando tu servidor MCP en funcionamiento.

Revisión continua y actualizaciones de herramientas

OpenAI consulta periódicamente las herramientas de tu servidor MCP y las compara con sus definiciones publicadas, incluidas las descripciones, los esquemas y las anotaciones.

• Herramientas eliminadas: se retiran de la lista de herramientas publicadas en cuanto un escaneo detecta que se eliminaron, sin esperar a las comprobaciones automáticas.
• Herramientas nuevas: se habilitan después de pasar las comprobaciones automáticas. Hasta entonces, los usuarios no pueden acceder a ellas.
• Herramientas modificadas: la definición anterior sigue vigente hasta que la nueva definición pasa las comprobaciones automáticas o un escaneo detecta que eliminaste la herramienta. Las actualizaciones que pasan las comprobaciones reemplazan automáticamente la definición anterior.

Cada herramienta puede pasar las comprobaciones de forma independiente. Por ejemplo, agregas create_note, modificas search para que acepte el parámetro folder y eliminas archive_note. El siguiente escaneo retira archive_note de inmediato. Si create_note pasa las comprobaciones pero la actualización de search queda pendiente, los usuarios podrán usar create_note y seguirán usando la definición anterior de search, sin folder.

Mantén la compatibilidad del servidor con la definición vigente mientras la actualización esté pendiente. OpenAI conserva la definición, pero no guarda una copia de la implementación de tu servidor. Si una comprobación no se completa, la actualización no se aprueba, aunque no se hayan detectado problemas.

Otros cambios

Usa esta tabla para determinar cómo aplicar cada cambio:

Los cambios del servidor entran en vigor antes de que un escaneo pueda detectarlos o aprobarlos. Durante ese intervalo, asegúrate de que sigan funcionando los esquemas de entrada existentes y todos los URI publicados de recursos de la interfaz de usuario. Si un despliegue rompe la compatibilidad con el contrato vigente, revierte el cambio del servidor sin esperar a la revisión.

Enviar nuevas versiones a revisión

Para cambiar la información que enviaste sobre el complemento o las habilidades importadas, crea un borrador de una nueva versión del complemento existente y envíalo a revisión. La revisión continua de las herramientas no sustituye este proceso. Cada nuevo envío inicia una nueva revisión. Describe los cambios en las notas de la versión.

El origen del servidor MCP (scheme, hostname o port) no puede cambiar entre versiones. Para usar un origen diferente, envía un complemento nuevo con el nuevo origen del servidor MCP. Puedes cambiar la ruta del punto de acceso en una nueva versión del complemento existente.

Volveremos a revisar los metadatos actualizados del complemento y te informaremos por correo electrónico y en el portal de envío de complementos si la actualización se aprobó o se rechazó. Si se rechaza, puedes hacer cambios y volver a enviarla, o apelar la decisión.

Cuando se apruebe el nuevo envío, podrás publicar la actualización, que reemplazará la versión anterior del complemento.

Si hiciste más cambios en el complemento entre el envío y la aprobación y quieres enviar una nueva versión a revisión, cancela la revisión desde el portal de envío de complementos y vuelve a enviar el complemento.

Cambiar la versión publicada de los metadatos y eliminar el complemento

Para reemplazar una versión publicada del complemento, publica la versión de reemplazo aprobada directamente desde el portal de envío de complementos. Mantén publicada la versión actual mientras se revisa la de reemplazo. Al publicar la versión aprobada, esta reemplaza la actual, por lo que no necesitas retirar primero la versión publicada.

Retira la versión actual de la publicación solo si quieres que el complemento deje de estar disponible al público. Si retiras la versión actual sin publicar otra que la reemplace, el complemento dejará de estar disponible.

Para eliminar el complemento de tu organización, de ChatGPT y de Codex, elimínalo desde el portal de envío de complementos.

Requisitos de mantenimiento

Podemos retirar los complementos que estén inactivos, sean inestables o no cumplan los requisitos. Podemos rechazar o retirar cualquier complemento de nuestros servicios en cualquier momento, por cualquier motivo y sin previo aviso, por ejemplo, por cuestiones legales o de seguridad, o por infringir nuestras políticas.

Preguntas frecuentes sobre el mantenimiento continuo

¿Qué sucede si los usuarios denuncian que mi complemento es dañino o engañoso?

OpenAI revisa las denuncias de los usuarios y puede revisar o investigar tu complemento, incluidos el servidor MCP, las herramientas y la interfaz de usuario. Podemos restringir o retirar los complementos que infrinjan nuestras políticas. Para apelar el retiro de un complemento u otra medida adoptada por incumplimiento, sigue el proceso de apelación descrito aquí. Revisa los comentarios con regularidad, responde a ellos y actualiza el complemento si se detectan problemas.

¿Cuánto tardan las actualizaciones?

Al igual que con las revisiones iniciales, no podemos dar un plazo estimado para la revisión de las actualizaciones.