Un servidor MCP es el programa que le ofrece herramientas y datos a una app de IA usando MCP. Él expone las capacidades, como «ver citas» o «crear una reserva»; la app las descubre con su cliente MCP y el modelo pide usarlas. Lo que el servidor no expone ni autoriza, el agente no lo hace por esa vía.
Una pregunta de la app. Elige una respuesta.
El agente solo tiene que leer el stock. ¿Qué acceso le das?
«Por si acaso» es justo el caso: si puede escribir, un error suyo cambia datos reales.
No se traba, pero tampoco se frena. Con acceso de admin, un error suyo llega a todo.
Lo mínimo para la tarea. Si mañana necesita más, lo amplías a propósito.
Un consultorio dental guarda sus citas en un sistema y alguien arma un servidor MCP para él. Ese servidor es el que sabe que el martes a las 10 hay un hueco y el que ofrece la herramienta «ver citas libres». La app de IA, por ejemplo un agente de código o un chat, no trae esa herramienta: usa su cliente MCP para preguntarle al servidor qué ofrece.
El modelo tampoco la tiene de fábrica. No sabe qué horarios hay: puede pedir usar la herramienta, y la respuesta sale del servidor. Si mañana el consultorio agrega «cancelar una cita», lo agrega en el servidor, no en el modelo. La idea general del protocolo está en qué es MCP; aquí va la pieza que ofrece.
Cuando un servidor remoto se conecta con un token, hay dos interruptores distintos. Los scopes dicen qué autoriza ese token, y el servidor los comprueba en cada llamada. Las tools activas, que prendes o apagas en la app, dicen qué intenta el agente desde ahí. Los nombres de los scopes cambian según el servicio, pero la lógica es la misma.
Ejemplo: conectas un servidor de correo para que el agente resuma la bandeja cada mañana. Al conectarlo pidió leer y enviar, y aceptaste todo. Después apagas la tool de enviar en la app. El agente ya no envía, pero el token sigue autorizando envíos: si alguien lo copia y llama al servidor directo, el servidor cumple. Para que solo lea, revoca ese acceso y autoriza solo lectura.
«El modelo ya viene con esas herramientas.» No: las ofrece el servidor. «Es un servidor conocido, entonces es seguro.» Un servidor famoso con acceso total también puede borrarlo todo; importa qué le permites. «Lo hice para una app y solo sirve ahí.» MCP es un estándar: el mismo servidor puede funcionar con otras apps compatibles, aunque cada una soporte más o menos funciones.