Coroid como servidor MCP

Coroid expone un servidor remoto de Model Context Protocol (MCP). Un asistente o agente externo, como Hermes, Codex, Claude Code o Cursor, puede utilizarlo para trabajar con Coroid a través del mismo registro de herramientas gestionadas que usa el asistente de chat.

Configúrelo en Configuración → Conexiones → Coroid MCP server, lo cual abarca Resumen, Configuración del cliente, Tokens de acceso, Aprobaciones y Políticas de automatización.

El punto de extremo#

El servidor MCP se ejecuta en la puerta de enlace de API, en esta dirección:

https://api.coroid.ai/mcp

El transporte es HTTP Streamable sin estado. Autentíquese con OAuth o un token de acceso personal.

Qué está activado#

Coroid activa las capacidades MCP por etapas, de forma simultánea para todas las organizaciones.

Mientras una capacidad no esté activada, los clientes no verán sus herramientas y Coroid rechazará las llamadas a ellas. El resto de esta página describe el conjunto completo.

Conectar un cliente#

Utilice OAuth cuando su cliente lo soporte. Usted aprueba la conexión en su navegador y puede revocarla en cualquier momento. Los tokens de acceso duran 15 minutos y los tokens de actualización 30 días; cada actualización reemplaza el token de actualización.

El cliente solicita ámbitos al conectarse. Antes de aprobar, verá los ámbitos y elegirá si el cliente puede acceder a todos los proyectos o solo a algunos. Un cliente que no solicite ámbitos tendrá solo acceso de lectura; por eso solicite los ámbitos que necesite, como hace Codex.

Hermes#

hermes mcp add coroid --url https://api.coroid.ai/mcp --auth oauth
hermes mcp login coroid
hermes mcp test coroid

En su lugar, con un token de acceso:

hermes mcp add coroid --url https://api.coroid.ai/mcp --auth header

Proporcione el token a Hermes cuando lo solicite. Guárdelo en el almacén de credenciales de Hermes en lugar de en su archivo de configuración.

Codex#

codex mcp add coroid --url https://api.coroid.ai/mcp
codex mcp login coroid --scopes mcp.read,mcp.work.write,mcp.execute,mcp.delivery

En su lugar, con un token de acceso:

export COROID_MCP_TOKEN="cmp_pat_…"
codex mcp add coroid --url https://api.coroid.ai/mcp --bearer-token-env-var COROID_MCP_TOKEN

Claude Code#

claude mcp add --transport http --scope user coroid https://api.coroid.ai/mcp
/mcp

Ejecute el primer comando en su terminal. Luego escriba el segundo en Claude Code, seleccione coroid e inicie sesión en su navegador.

En su lugar, con un token de acceso:

export COROID_MCP_TOKEN="cmp_pat_…"
claude mcp add --transport http --scope user --header "Authorization: Bearer $COROID_MCP_TOKEN" coroid https://api.coroid.ai/mcp

Cursor#

Agregue Coroid a ~/.cursor/mcp.json, o a .cursor/mcp.json en un repositorio para compartir la configuración con todos quienes trabajen en él:

{
  "mcpServers": {
    "coroid": {
      "url": "https://api.coroid.ai/mcp"
    }
  }
}

Cursor inicia sesión con OAuth: apruebe la conexión en su navegador cuando la solicite. Compruebe los ámbitos en esa pantalla, ya que una conexión sin ámbitos de escritura solo podrá leer.

En su lugar, con un token de acceso:

{
  "mcpServers": {
    "coroid": {
      "url": "https://api.coroid.ai/mcp",
      "headers": {
        "Authorization": "Bearer ${env:COROID_MCP_TOKEN}"
      }
    }
  }
}

Defina COROID_MCP_TOKEN en el entorno desde el que se inicia Cursor. Un .cursor/mcp.json en un repositorio se confirma junto con él; por lo tanto, coloque la variable allí, nunca el token.

Otros clientes#

Cualquier cliente que soporte servidores MCP remotos mediante HTTP Streamable puede conectarse. Coroid publica metadatos de OAuth para el punto de extremo y admite el registro dinámico de clientes con PKCE. Un cliente sin OAuth puede enviar un token de acceso como token portador en este encabezado: Authorization.

Antes de que un agente modifique algo, pídale que liste las herramientas de Coroid y que lea este recurso: coroid://context. Muestra bajo qué identidad actúa el agente, con qué ámbitos y proyectos.

Tokens de acceso#

Los tokens se crean y gestionan en Tokens de acceso. Como cualquier otra credencial, se muestran una vez y nunca se devuelven después.

Emita un token por cliente en lugar de compartir uno. De ese modo, revocar el acceso de un único cliente será una acción aislada y no causará interrupciones para todos.

Un token actúa como la persona que lo creó, y solo una persona con sesión iniciada en el portal puede crearlo. Cada token tiene sus propios ámbitos, caduca después de 30, 90 o 365 días y abarca todos los proyectos o solo los que usted seleccione. Un propietario también puede asociarle una política de automatización. Todos los tokens comienzan con el mismo prefijo: cmp_pat_.

Guarde un token en el entorno de su cliente o en su almacén de credenciales. Nunca lo coloque en un repositorio ni en un prompt.

Ámbitos y roles#

Un ámbito indica lo que puede hacer una conexión. Su rol en la organización establece el límite: una herramienta necesita tanto su ámbito como al menos su rol. Coroid verifica su rol actual en cada llamada, por lo que una conexión nunca conservará derechos que haya perdido.

Solo un Administrador o Propietario puede otorgar un ámbito cuyo rol mínimo sea Administrador. Solo un Propietario puede otorgar un ámbito cuyo rol mínimo sea Propietario.

Una conexión limitada a ciertos proyectos no podrá acceder a elementos de otros proyectos, ni siquiera mediante el ID de una tarea, plan, sprint, informe o lanzamiento. Tampoco podrá usar herramientas a nivel de organización, como estas: list_plans, get_capacity_dashboard.

Herramientas#

Su lista de clientes muestra solo las herramientas activadas y permitidas según sus ámbitos y roles. La columna de aprobación indica qué ocurre cuando se llama a una herramienta:

Lectura#

Estas herramientas requieren el rol de Revisor y este ámbito: mcp.read. Ninguna de ellas necesita aprobación.

Para ver las herramientas de lanzamiento, consulte Lanzamientos sobre MCP.

Reglas Anti-slop desde su editor#

Las dos herramientas Anti-slop permiten que el propio agente del desarrollador cumpla con los estándares de Control de Calidad aplicables a cada pull request, incluso antes de que el pull request exista.

• anti_slop_rules devuelve la política Anti-slop publicada del proyecto: las reglas y cuáles de ellas bloquean, las reglas personalizadas, las reglas en cuarentena, qué nuevas dependencias puede buscar Coroid en registros públicos, y un fragmento para AGENTS.md que indica las mismas reglas para un agente local. Pegue el fragmento en AGENTS.md, o en una regla en .cursor/rules para Cursor.
• anti_slop_scan analiza una rama, etiqueta o confirmación que Coroid haya sincronizado con una base, la rama predeterminada a menos que especifique otra. Solo lee: no modifica archivos, no ejecuta comandos, no instala nada y no llama a ningún modelo. Está limitado a 5 llamadas por minuto.

Un escaneo es una vista previa. El Control de Calidad sigue verificando el pull request, y su dictamen es el que cuenta. Consulte Comprobaciones Anti-slop.

Crear y modificar trabajo#

Estas herramientas requieren el rol de Miembro y este ámbito: mcp.work.write.

El trabajo creado sobre MCP no pasa por la Calificación. Una solicitud del tamaño de un plan enviada a la herramienta de tareas se convierte en un plan borrador en lugar de una tarea. Los planes creados sobre MCP comienzan como borradores.

Ejecutar trabajo#

Estas herramientas requieren el rol de Miembro y este ámbito: mcp.execute.

Entrega#

Estas herramientas requieren el rol de Miembro y este ámbito: mcp.delivery. Los lanzamientos tienen su propia sección más abajo.

Administración#

Estas herramientas modifican la configuración de la organización y sus proyectos.

Configuración de la organización#

Un agent como Hermes puede configurar una organización a partir de capturas de pantalla, archivos o una descripción. Lee el formato de configuración de Coroid, escribe lo recopilado en un paquete, muestra una vista previa del paquete y luego lo aplica. Estas herramientas requieren el rol de Propietario y este ámbito: mcp.organization.admin.

Un paquete contiene marcadores de posición en lugar de valores de secreto, y Coroid rechaza un paquete que incluya un secreto. Consulta Exportar e importar configuraciones.

Lanzamientos mediante MCP#

Las herramientas de lanzamiento son las mismas que utiliza el asistente de chat y pasan por el mismo proceso de Release API que el portal:

create_release acepta un SHA completo de confirmación, un SHA corto de una confirmación reciente o latest, y deja la versión en manos del origen de versiones del proyecto a menos que especifiques una. get_release informa, por entorno, sobre las comprobaciones, la última implementación, la versión que indicó la canalización y si Coroid verificó la versión en ejecución. Un token limitado a algunos proyectos no puede acceder a lanzamientos de otros proyectos. El proceso de Release API sigue aplicando sus propias reglas de aprobación, por lo que una aprobación mediante MCP cuenta igual que una en el portal.

list_release_pull_requests devuelve los pull requests abiertos de un proyecto en el orden que propone Coroid, con el motivo por el cual excluiría algunos. bundle_release_pull_requests crea un lanzamiento a partir de ellos: una rama de lanzamiento con los pull requests fusionados en orden y un pull request de lanzamiento. Envía una rama y abre un pull request, por lo que siempre espera la intervención de una persona. Excluye prNumbers para usar la selección de Coroid.

Aprobaciones y políticas de automatización#

Aprobaciones es una cola de acciones que esperan la intervención humana. Políticas de automatización decide qué debe incluirse en esa cola.

Este es el control más importante. Un cliente externo que actúe en tu nombre debe poder realizar tareas rutinarias libremente y las tareas trascendentales solo con la aprobación de una persona. Define las políticas antes de entregar un token a cualquier elemento que se ejecute de forma autónoma.

Cuando una llamada necesita aprobación, el cliente recibe un ID de aprobación y un enlace en lugar de un resultado. Un propietario o administrador revisa la herramienta y los argumentos exactos, y luego aprueba o rechaza la llamada. Al aprobarla, se ejecuta tal como se realizó y el cliente no puede modificarla después. Una llamada que nadie apruebe en 10 minutos caduca.

Una política de automatización permite que un token de acceso ejecute herramientas marcadas como Policy sin esperar aprobación. Solo los propietarios crean políticas y las adjuntan a los tokens. Una política nombra las herramientas exactas, puede limitarse a algunos proyectos y establece un límite de cuántas llamadas se pueden ejecutar por hora, por día y simultáneamente. También puede caducar. Revocar una política revoca todos los tokens vinculados a ella. Las herramientas marcadas como Always nunca quedan cubiertas por una política.

Una conexión OAuth no puede llevar una política. Mediante OAuth, todas las herramientas marcadas como Policy esperan aprobación.

Reintentos, operaciones y recursos#

Toda herramienta que modifique algo requiere este parámetro: idempotencyKey. Usa una clave nueva para cada acción nueva y la misma clave al reintentar una. Coroid devolverá entonces el primer resultado en lugar de actuar dos veces. Se rechazará una clave reutilizada con argumentos diferentes.

Un cambio también devuelve una operación que registra su estado y resultado. Estas cuatro herramientas funcionan para toda conexión:

El servidor también proporciona estos recursos:

También ofrece tres indicaciones: create_and_run_task, investigate_failure, prepare_release.

Cada herramienta tiene límites por minuto, por hora y por día. Una llamada que supere el límite fallará y indicará cuánto tiempo hay que esperar para reintentarla.

Qué no expone deliberadamente#

El registro de herramientas está gestionado y las exclusiones son intencionadas. No proporciona ninguna de estas opciones:

• un shell
• Acceso a Git
• el sistema de archivos
• acceso directo a la base de datos
• HTTP interno arbitrario
• Las propias herramientas de administración de MCP salientes de Coroid

Obtendrá la capacidad de gestionar el trabajo — crear e inspeccionar tareas, planes, proyectos y lanzamientos — no se trata de un entorno de ejecución remota. Un cliente MCP no puede utilizar Coroid para ejecutar comandos arbitrarios.

Para qué sirve#

Controlar Coroid desde el lugar donde ya trabaja: un editor, un asistente o una herramienta interna, sin necesidad de cambiar al portal. Crear una tarea desde su terminal o pedirle al asistente que verifique lo que está bloqueado pasa a ser una acción local.

Relacionado#

• Formas de comenzar a trabajar
• Exportar e importar configuraciones
• Servidores MCP externos
• Asistente de Chat
• Procedencia