Permite que los agentes se autentiquen sin barreras solo para humanos

Ofrece tokens de API con alcances definidos en lugar de OAuth solo para navegador, y devuelve errores de permiso explícitos. Nunca pongas CAPTCHAs en endpoints de API.

Por qué

Los agentes se atascan con los CAPTCHAs y el OAuth interactivo. El marco canónico de AX (agentexperience.ax, Accesibilidad para Agentes) afirma que exigir un humano cuando no es absolutamente necesario es un antipatrón, y que el techo de calidad de una experiencia de agente está limitado por el nivel de paridad de acceso que se ofrece a los agentes frente a otros medios. Las buenas prácticas de MCP exigen autenticación con tokens acotados y sin barreras solo para humanos en los endpoints de API.

Haz

Emite claves acotadas y devuelve un 403 con un motivo.

No hagas

Proteger los endpoints de API detrás de un desafío para humanos.

Artefacto

HTTP/1.1 403 Forbidden
WWW-Authenticate: Bearer error="insufficient_scope", scope="orders:write"
Content-Type: application/json

{
  "error": "insufficient_scope",
  "message": "This token cannot write orders.",
  "required_scope": "orders:write",
  "your_scopes": ["orders:read"],
  "grant_at": "https://acme.com/settings/tokens",
  "docs": "https://acme.com/docs/scopes.md"
}