# AX-SYS-04: Permite que los agentes se autentiquen sin barreras solo para humanos

> Access and identity · foundational · AX-SYS-04

Ofrece tokens de API con alcances definidos en lugar de OAuth solo para navegador, y devuelve errores de permiso explícitos. Nunca pongas CAPTCHAs en endpoints de API.

## Por qué

Los agentes se atascan con los CAPTCHAs y el OAuth interactivo. El marco canónico de AX (agentexperience.ax, Accesibilidad para Agentes) afirma que exigir un humano cuando no es absolutamente necesario es un antipatrón, y que el techo de calidad de una experiencia de agente está limitado por el nivel de paridad de acceso que se ofrece a los agentes frente a otros medios. Las buenas prácticas de MCP exigen autenticación con tokens acotados y sin barreras solo para humanos en los endpoints de API.

## Haz

Emite claves acotadas y devuelve un 403 con un motivo.

## No hagas

Proteger los endpoints de API detrás de un desafío para humanos.

## Artefacto

```http
HTTP/1.1 403 Forbidden
WWW-Authenticate: Bearer error="insufficient_scope", scope="orders:write"
Content-Type: application/json

{
  "error": "insufficient_scope",
  "message": "This token cannot write orders.",
  "required_scope": "orders:write",
  "your_scopes": ["orders:read"],
  "grant_at": "https://acme.com/settings/tokens",
  "docs": "https://acme.com/docs/scopes.md"
}
```

## Fuentes

1. [agentexperience.ax — Principles of AX](https://agentexperience.ax/concepts/principles-of-ax/) — Agent Accessibility: requiring a human where not absolutely necessary is an anti-pattern; quality ceiling is capped at access parity between agents and other mediums
2. [Mathias Biilmann — One Year of AX](https://biilmann.blog/articles/one-year-of-ax/) — Access pillar: Can the agent access your product? Do they have the right permissions? Must the human be in the loop?
3. [MCP Specification 2025-11-25](https://modelcontextprotocol.io/specification/2025-11-25) — MCP requires OAuth 2.0 authorization flows with scoped tokens; CAPTCHA on API endpoints blocks agent access entirely

---
Source: Agent Experience Principles (axprinciples.com)