Cómo un servidor MCP llama a tu API en nombre de los usuarios: una estrategia de tokens en producción
Explica la estrategia de tokens salientes para servidores MCP: por qué el passthrough de tokens y M2M fallan, y cómo el intercambio de tokens mantiene los permisos alineados con los usuarios.
YijunDeveloper
Deja de perder semanas en la autenticación de usuarios
Lanza aplicaciones seguras más rápido con Logto. Integra la autenticación de usuarios en minutos y concéntrate en tu producto principal.
En nuestro artículo anterior, compartimos nuestra experiencia general construyendo el servidor MCP remoto de Logto. Este artículo cubre el diseño de la arquitectura y el flujo OAuth en detalle.
Con el servidor MCP como frontera, la autenticación para un servidor MCP remoto tiene dos partes: entrada y salida.
Entrada: el cliente MCP (VS Code, Cursor, etc.) inicia sesión mediante OAuth, obtiene un token de acceso y lo utiliza para acceder a tu servidor MCP
Salida: cuando gestiona llamadas de herramientas, el servidor MCP solicita tu propia API de negocio en nombre del usuario
La parte de entrada está bien definida en la especificación MCP, con muchas discusiones e implementaciones en la comunidad. También escribimos una guía de implementación antes. La parte de salida recibe mucha menos atención: el servidor MCP solo tiene un token para acceder a él mismo. ¿Cómo puede llamar a tu API de negocio en nombre del usuario?
Esta es la pregunta con la que estuvimos luchando mientras construíamos el servidor MCP de Logto. Logto Cloud es un producto B2B multi-tenant típico: un usuario puede pertenecer a múltiples tenants, y los permisos vienen del rol del usuario en cada tenant. La IA no solo necesita actuar como el usuario, también debe llegar al tenant correcto.
Este artículo sigue nuestro proceso real de decisión:
Por qué el servidor MCP debe desplegarse de forma independiente, como un recurso protegido separado
Dos enfoques para llamadas salientes que rechazamos (passthrough de token y token M2M) y sus problemas
El diseño final, intercambio de tokens más token de sujeto, incluyendo cómo los tokens de organización gestionan la multi-tenencia
Algunos principios a seguir si construyes algo similar
El problema principal: el doble rol de un servidor MCP#
Desde la perspectiva de OAuth, un servidor MCP remoto cumple dos roles al mismo tiempo:
Para el cliente MCP, es un servidor de recursos: el cliente debe presentar un token para acceder
Para la API de negocio, es un cliente: presenta un token para acceder a otro servicio
En otras palabras, el servidor MCP juega un rol diferente en cada lado, y cada lado utiliza un token diferente. El token que el cliente MCP obtiene mediante OAuth tiene el servidor MCP como audiencia, por lo que la API de negocio lo rechazará al validar la audiencia.
Así que la parte de salida es esencialmente un problema de delegación: ¿cómo logra el servidor MCP llamar a APIs downstream como el usuario, dentro de los permisos del usuario, sin tener las credenciales del usuario?
Decisión de arquitectura: el servidor MCP como servicio independiente#
Construir el endpoint MCP dentro del servicio de la API de negocio, compartiendo el mismo proceso y stack auth, parece la opción más directa. Después de analizarlo, elegimos despliegue independiente:
Aislamiento de riesgo: cuando tomamos la decisión, el SDK oficial de MCP no estaba listo para producción, y el protocolo evolucionaba rápidamente (el cambio de transporte de SSE a Streamable HTTP es un ejemplo). Logto es un servicio IAM y la disponibilidad del acceso de inicio de sesión es esencial. Con despliegue independiente, si el servidor MCP falla, solo se cae el punto de entrada IA. El servicio principal sigue intacto.
Iteración independiente: el ecosistema MCP cambia semanalmente y los problemas de compatibilidad requieren hotfixes en cualquier momento, mientras que el core tiene un proceso estricto de release con pruebas de regresión. Los despliegues separados evitan que uno frene el ritmo del otro.
Libertad de runtime: un servicio independiente puede elegir el entorno que mejor le convenga. El servidor MCP de Logto ejecuta en Cloudflare Workers: sin estado, escala por solicitud y casi sin ops. La opción embebida no permite esto.
El servidor MCP está desplegado en su propio dominio, mcp.logto.io, sin acoplamiento privado al servicio principal. Si un día queremos open source, no hay impedimento.
La opción embebida tampoco resuelve el problema del token: el endpoint MCP y la API de negocio compartirían el mismo identificador de recurso, así que el token que obtiene el cliente MCP traerá permisos completos de la API. La cuestión de "¿con qué permisos se ejecuta esta llamada?" pasa de intercambio de tokens entre servicios a paso de permisos en proceso, y el problema sigue existiendo. El despliegue independiente nos fuerza a diseñar el límite de permisos explícitamente, que es justo lo que trata el resto de este artículo.
El servidor MCP debe tener su propio identificador de recurso#
La discusión acerca de salidas parte de una pregunta más básica: ¿cuál debe ser la audiencia del token que recibe el cliente MCP?
Reutilizar el identificador de recurso de la API de negocio es la opción más directa: la Management API de Logto ya es un recurso OAuth estándar, así que el cliente MCP podría pedir su token directamente y el servidor MCP lo reenvía tal cual. Muchas implementaciones tempranas de servidores MCP hicieron exactamente esto.
El precio: si la audiencia del token MCP es la API de negocio, la frontera de permisos deja de existir.
Tus herramientas MCP se vuelven decoración: el token accedería toda la API sin pasar por las herramientas
El daño potencial de un token filtrado pasa de "unas pocas operaciones controladas expuestas por el MCP" a "toda la API de gestión"
Auditoría independiente, rate limiting y delimitación de permisos para escenarios MCP no tendrían base
Así que nuestra primera decisión: el servidor MCP es un recurso protegido separado, con su propio identificador de recurso (https://mcp.logto.io) y su propio scope.
Esto separa claramente los límites de permisos y también hace concreta la pregunta de salida: el token solo puede acceder al servidor MCP, entonces ¿qué usa el MCP para llamar la API?
Logto Console es una SPA. La forma de llamar a la Management API es simple: el usuario inicia sesión mediante OAuth en el navegador, obtiene un token con la Management API como audiencia, y el frontend llama la API directamente con ese token.
¿Podría el servidor MCP funcionar como otro tipo de Console? Dejar que el cliente MCP solicite el token de la API de negocio en el login y el servidor MCP simplemente lo reenvía sin conversión:
La ventaja de este enfoque es su extrema simplicidad: el servidor MCP solo reenvía tokens. Pero tiene problemas evidentes:
Primero, entra en conflicto con la decisión sobre el límite de permisos. El passthrough exige que el cliente MCP tenga el token de la API de negocio, justo lo que ya rechazamos.
Segundo, el servidor MCP deja de ser un recurso protegido real. La audiencia de los tokens que recibe no es la suya, así que la validación de audiencia pierde sentido y solo queda "verificar firma y emisor". Esto no cuadra con cómo la especificación MCP define la autorización (el servidor MCP debe actuar como servidor de recursos y declararse por RFC 9728 Protected Resource Metadata). Prácticamente enmascara un servicio backend como una SPA de navegador.
Tercero, los clientes MCP no colaborarán. Un cliente MCP compatible pide tokens según el Protected Resource Metadata, y la audiencia será el servidor MCP. No hay forma estándar de que solicite el token de la API de negocio, así que este camino no funciona en el lado cliente.
Si el token de usuario no funciona, ¿y si usamos la identidad del propio servidor MCP?
Se da al servidor MCP una aplicación M2M (máquina a máquina), obtiene un token con client credentials y llama la API de negocio con él. Esto es común entre servicios internos.
La autenticación de entrada funciona sin problemas: el token del cliente MCP tiene como audiencia el servidor MCP, este lo valida normalmente y después opera con su propio token M2M.
El gran defecto es que los permisos del token M2M no tienen relación con los permisos del usuario:
Exceso de permisos: los del token M2M indican "qué puede hacer el servidor MCP", no "qué puede hacer este usuario". Un usuario solo-lectura podría eliminar aplicaciones porque el token M2M tiene ese permiso
Pérdida de identidad: la API downstream siempre ve la aplicación M2M como llamante y las auditorías no se pueden relacionar con nadie concreto
'Deputy' confundido: el servidor MCP se vuelve un proxy de alto privilegio; cualquiera que logre que ejecute una llamada obtiene sus permisos
M2M es adecuado para escenarios sin contexto de usuario, como tareas programadas o sincronización entre sistemas. Un servidor MCP es distinto: cada llamada la inicia un usuario específico, así que debe ejecutarla con su identidad y permisos.
El diseño final: intercambio de tokens + token de sujeto#
Juntando los aprendizajes de ambos enfoques, obtenemos los requisitos del diseño correcto:
El token que sostiene el cliente MCP solo puede acceder al servidor MCP (lección del enfoque 1)
Al llamar APIs downstream, el servidor MCP debe actuar como el usuario, dentro de sus permisos (lección del enfoque 2)
Esto apunta a un mecanismo estándar: intercambio de tokens (RFC 8693). El servidor MCP toma una credencial que representa al usuario y la intercambia en el servidor de autenticación por un token de la API downstream. La identidad y permisos del usuario se mantienen durante el intercambio.
En Logto, esta "credencial que representa al usuario" viene de la función de suplantación de usuario: el token de sujeto. Es una credencial de vida corta y un solo uso, que el servidor solicita para un usuario específico, señalando que "el siguiente intercambio se hace como este usuario". El usuario no debe crear ni configurar nada, el flujo es automático. El token de sujeto es efímero y caduca tras usarse.
Hay cuatro roles en la arquitectura. El servidor MCP se despliega independientemente en mcp.logto.io:
El flujo de tokens tras una llamada de herramienta:
Paso a paso:
① Validación de entrada. El cliente MCP llama a una herramienta con el token de usuario. La audiencia del token es el identificador del servidor MCP, y su scope es mcp:all. El servidor MCP verifica firma, emisor, audiencia y scope, y obtiene la identidad del usuario. Entrada termina aquí. Este token nunca va downstream.
② Identidad de servicio. El servidor MCP usa sus propias credenciales M2M para obtener un access token con scope dedicado, access:mcp:api. Este scope tiene un solo propósito: llamar al endpoint dedicado del siguiente paso.
③ Petición del token de sujeto, el paso clave de toda la cadena. El servidor MCP llama a POST /api/mcp/subject-tokens, un endpoint abierto para MCP en Cloud, presentando dos credenciales al mismo tiempo:
Header Authorization: el token M2M, que prueba "soy el MCP oficial"
Header x-mcp-user-token: el token de usuario, prueba de "este usuario me ha autorizado y la autorización sigue válida"
Cloud verifica completamente el token de usuario: firma, emisor, expiración, la audiencia debe ser el identificador del MCP, y el scope debe incluir mcp:all. Tras verificar, el userId viene directo del claim sub. El endpoint no permite especificar usuario.
Este diseño previene el abuso de la credencial M2M. Si el endpoint aceptara cualquier userId, cualquiera con la M2M podría suplantar a cualquier usuario. Así, el MCP solo puede intercambiar credenciales para usuarios cuyo token válido esté presente.
El token de sujeto emitido es efímero y single-use. La implementación jamás lo cachea y pide uno fresco en cada uso.
④ Intercambio por tokens de trabajo. Con el token de sujeto, se realiza el intercambio estándar para obtener dos tipos de tokens según convenga:
Token de Cloud API: para operaciones a nivel de usuario como listar y crear tenants
Token de organización: limitado a un tenant objetivo (cada tenant en Logto Cloud es una organización). El token es emitido como el usuario y sus permisos son exactamente los del usuario en ese tenant
⑤ Llamada de salida. Se llama la API de negocio con el token intercambiado y se devuelve el resultado al cliente MCP.
El contexto multitenant se resuelve también en el paso de intercambio: el tenant vive en la capa de intercambio, no de conexión. list_tenants lista opciones con el token de Cloud API, el usuario elige en la conversación, y el MCP intercambia un token de organización para el tenant elegido. Un solo endpoint sirve a todos los tenants, sin despliegues por tenant, y un tenant creado a mitad de conversación está disponible al instante.
Si la comparamos con los fallos de los enfoques anteriores, cada punto está cubierto:
El radio de acción del token de usuario está contenido (lección del enfoque 1): su audiencia es solo el servidor MCP. Aunque se filtre, solo podría llamar a esas herramientas.
El token M2M no puede ser abusado (lección del enfoque 2): ya no llama a la API de negocio directamente y solo prueba la identidad del servicio. Emitir un token de sujeto exige concurrentemente el token válido del usuario; el MCP solo puede intercambiar credenciales de usuarios que le han autorizado realmente. El problema del 'confused deputy' desaparece.
No se almacenan credenciales de usuario: los tokens de sujeto se solicitan al momento y se descartan tras usarse. El MCP solo almacena sus credenciales M2M.
La revocación está acoplada: si el usuario revoca la autorización MCP, el token de usuario deja de ser válido, el check de x-mcp-user-token falla y la cadena downstream se detiene.
Los permisos siempre van alineados al usuario: los tokens intercambiados se emiten como el usuario. Un usuario solo-lectura sigue siéndolo vía MCP y la escalada de privilegios falla a nivel del auth server. Los logs de auditoría muestran la identidad real del usuario.
Visto desde atrás, el uso correcto de la credencial M2M en el diseño final es: prueba "quién soy", mientras la habilidad de "actuar como el usuario" se intercambia en el momento usando la autorización válida del usuario.
En resumen, la estrategia de tokens para un servidor MCP remoto se basa en algunos puntos clave:
Entrada y salida son dos tramos independientes de autenticación, y la audiencia del token MCP debe ser el propio MCP
La salida se resuelve por intercambio de tokens: si tu servidor de auth permite intercambiar directamente el token de entrada, el intercambio estándar basta; si no (por ejemplo, el de Logto requiere un token de sujeto como input), usa una función de suplantación para iniciar el intercambio desde el servidor
Multi-tenencia no cambia el mecanismo. El contexto organizacional es un parámetro del intercambio y los productos single-tenant simplemente lo omiten
La IA actúa en nombre del usuario, así que los permisos del token downstream deben restringirse a ese usuario
Un test sencillo: imagina que el token que sostiene el cliente MCP se filtra. Todo lo que debe poder hacer el atacante es llamar a esas herramientas del MCP, siempre dentro de los permisos del usuario real. Si pudiera llegar a la API completa directamente, la frontera de permisos estaría rota.
El ecosistema MCP sigue evolucionando rápido. La auth de entrada está bien resuelta por la especificación, pero "cómo llama downstream el MCP" aún depende de cada equipo. Esperamos que nuestra experiencia sea una referencia útil.
%3btext-align:center%3b%7d%23mermaid-0 .edgeLabel p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 .edgeLabel rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 .labelBkg%7bbackground-color:rgba(232%2c 232%2c 232%2c 0.5)%3b%7d%23mermaid-0 .cluster rect%7bfill:%23ffffde%3bstroke:%23aaaa33%3bstroke-width:1px%3b%7d%23mermaid-0 .cluster text%7bfill:%23333%3b%7d%23mermaid-0 .cluster span%7bcolor:%23333%3b%7d%23mermaid-0 div.mermaidTooltip%7bposition:absolute%3btext-align:center%3bmax-width:200px%3bpadding:2px%3bfont-family:arial%2csans-serif%3bfont-size:12px%3bbackground:hsl(80%2c 100%25%2c 96.2745098039%25)%3bborder:1px solid %23aaaa33%3bborder-radius:2px%3bpointer-events:none%3bz-index:100%3b%7d%23mermaid-0 .flowchartTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-0 rect.text%7bfill:none%3bstroke-width:0%3b%7d%23mermaid-0 .icon-shape%2c%23mermaid-0 .image-shape%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3btext-align:center%3b%7d%23mermaid-0 .icon-shape p%2c%23mermaid-0 .image-shape p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bpadding:2px%3b%7d%23mermaid-0 .icon-shape rect%2c%23mermaid-0 .image-shape rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-pointEnd'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='4.5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-pointStart'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 5 L 10 10 L 10 0 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='11' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-circleEnd'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='-1' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-circleStart'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='12' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-0_flowchart-v2-crossEnd'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='-1' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-0_flowchart-v2-crossStart'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cg class='root'%3e%3cg class='clusters'/%3e%3cg class='edgePaths'%3e%3cpath marker-end='url(%23mermaid-0_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Client_Server_0' d='M268%2c59L276.615%2c59C285.229%2c59%2c302.458%2c59%2c319.021%2c59C335.583%2c59%2c351.479%2c59%2c359.427%2c59L367.375%2c59'/%3e%3cpath marker-end='url(%23mermaid-0_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Server_API_1' d='M631.375%2c59L639.915%2c59C648.456%2c59%2c665.536%2c59%2c681.951%2c59C698.365%2c59%2c714.112%2c59%2c721.986%2c59L729.859%2c59'/%3e%3c/g%3e%3cg class='edgeLabels'%3e%3cg transform='translate(319.6875%2c 59)' class='edgeLabel'%3e%3cg transform='translate(-26.6875%2c -12)' class='label'%3e%3cforeignObject height='24' width='53.375'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3etoken A%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(682.6171875%2c 59)' class='edgeLabel'%3e%3cg transform='translate(-26.2421875%2c -12)' class='label'%3e%3cforeignObject height='24' width='52.484375'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3etoken %3f%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='nodes'%3e%3cg transform='translate(138%2c 59)' id='flowchart-Client-0' class='node default'%3e%3crect height='78' width='260' y='-39' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -24)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eCliente MCP (VS Code / Cursor)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(501.375%2c 59)' id='flowchart-Server-1' class='node default'%3e%3crect height='102' width='260' y='-51' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -36)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='72' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServidor MCP (servidor de recurso a la izquierda%2c cliente a la derecha)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(818.125%2c 59)' id='flowchart-API-2' class='node default'%3e%3crect height='54' width='168.53125' y='-27' x='-84.265625' style='' class='basic label-container'/%3e%3cg transform='translate(-54.265625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='108.53125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eAPI de negocio%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/svg%3e)
%3btext-align:center%3b%7d%23mermaid-1 .edgeLabel p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-1 .edgeLabel rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-1 .labelBkg%7bbackground-color:rgba(232%2c 232%2c 232%2c 0.5)%3b%7d%23mermaid-1 .cluster rect%7bfill:%23ffffde%3bstroke:%23aaaa33%3bstroke-width:1px%3b%7d%23mermaid-1 .cluster text%7bfill:%23333%3b%7d%23mermaid-1 .cluster span%7bcolor:%23333%3b%7d%23mermaid-1 div.mermaidTooltip%7bposition:absolute%3btext-align:center%3bmax-width:200px%3bpadding:2px%3bfont-family:arial%2csans-serif%3bfont-size:12px%3bbackground:hsl(80%2c 100%25%2c 96.2745098039%25)%3bborder:1px solid %23aaaa33%3bborder-radius:2px%3bpointer-events:none%3bz-index:100%3b%7d%23mermaid-1 .flowchartTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-1 rect.text%7bfill:none%3bstroke-width:0%3b%7d%23mermaid-1 .icon-shape%2c%23mermaid-1 .image-shape%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3btext-align:center%3b%7d%23mermaid-1 .icon-shape p%2c%23mermaid-1 .image-shape p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bpadding:2px%3b%7d%23mermaid-1 .icon-shape rect%2c%23mermaid-1 .image-shape rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-1 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-1_flowchart-v2-pointEnd'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='4.5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-1_flowchart-v2-pointStart'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 5 L 10 10 L 10 0 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='11' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-1_flowchart-v2-circleEnd'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='-1' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-1_flowchart-v2-circleStart'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='12' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-1_flowchart-v2-crossEnd'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='-1' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-1_flowchart-v2-crossStart'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cg class='root'%3e%3cg class='clusters'/%3e%3cg class='edgePaths'%3e%3cpath marker-end='url(%23mermaid-1_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Client_Server_0' d='M157.813%2c47L178.646%2c47C199.479%2c47%2c241.146%2c47%2c282.146%2c47C323.146%2c47%2c363.479%2c47%2c383.646%2c47L403.813%2c47'/%3e%3cpath marker-end='url(%23mermaid-1_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Server_API_1' d='M667.813%2c47L688.646%2c47C709.479%2c47%2c751.146%2c47%2c792.146%2c47C833.146%2c47%2c873.479%2c47%2c893.646%2c47L913.813%2c47'/%3e%3c/g%3e%3cg class='edgeLabels'%3e%3cg transform='translate(282.8125%2c 47)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3etoken (aud = API de negocio)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(792.8125%2c 47)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3emismo token%2c simplemente reenviado%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='nodes'%3e%3cg transform='translate(82.90625%2c 47)' id='flowchart-Client-3' class='node default'%3e%3crect height='54' width='149.8125' y='-27' x='-74.90625' style='' class='basic label-container'/%3e%3cg transform='translate(-44.90625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='89.8125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eCliente MCP%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(537.8125%2c 47)' id='flowchart-Server-4' class='node default'%3e%3crect height='78' width='260' y='-39' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -24)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServidor MCP (simple proxy)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(1009.1875%2c 47)' id='flowchart-API-5' class='node default'%3e%3crect height='54' width='182.75' y='-27' x='-91.375' style='' class='basic label-container'/%3e%3cg transform='translate(-61.375%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='122.75'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eManagement API%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/svg%3e)
%3btext-align:center%3b%7d%23mermaid-2 .edgeLabel p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-2 .edgeLabel rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-2 .labelBkg%7bbackground-color:rgba(232%2c 232%2c 232%2c 0.5)%3b%7d%23mermaid-2 .cluster rect%7bfill:%23ffffde%3bstroke:%23aaaa33%3bstroke-width:1px%3b%7d%23mermaid-2 .cluster text%7bfill:%23333%3b%7d%23mermaid-2 .cluster span%7bcolor:%23333%3b%7d%23mermaid-2 div.mermaidTooltip%7bposition:absolute%3btext-align:center%3bmax-width:200px%3bpadding:2px%3bfont-family:arial%2csans-serif%3bfont-size:12px%3bbackground:hsl(80%2c 100%25%2c 96.2745098039%25)%3bborder:1px solid %23aaaa33%3bborder-radius:2px%3bpointer-events:none%3bz-index:100%3b%7d%23mermaid-2 .flowchartTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-2 rect.text%7bfill:none%3bstroke-width:0%3b%7d%23mermaid-2 .icon-shape%2c%23mermaid-2 .image-shape%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3btext-align:center%3b%7d%23mermaid-2 .icon-shape p%2c%23mermaid-2 .image-shape p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bpadding:2px%3b%7d%23mermaid-2 .icon-shape rect%2c%23mermaid-2 .image-shape rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-2 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-2_flowchart-v2-pointEnd'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='4.5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-2_flowchart-v2-pointStart'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 5 L 10 10 L 10 0 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='11' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-2_flowchart-v2-circleEnd'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='-1' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-2_flowchart-v2-circleStart'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='12' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-2_flowchart-v2-crossEnd'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='-1' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-2_flowchart-v2-crossStart'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cg class='root'%3e%3cg class='clusters'/%3e%3cg class='edgePaths'%3e%3cpath marker-end='url(%23mermaid-2_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Client_Server_0' d='M157.813%2c35L178.646%2c35C199.479%2c35%2c241.146%2c35%2c282.146%2c35C323.146%2c35%2c363.479%2c35%2c383.646%2c35L403.813%2c35'/%3e%3cpath marker-end='url(%23mermaid-2_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Server_API_1' d='M567.391%2c35L588.224%2c35C609.057%2c35%2c650.724%2c35%2c691.724%2c35C732.724%2c35%2c773.057%2c35%2c793.224%2c35L813.391%2c35'/%3e%3c/g%3e%3cg class='edgeLabels'%3e%3cg transform='translate(282.8125%2c 35)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3etoken de usuario (aud = Servidor MCP)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(692.390625%2c 35)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3etoken M2M (permisos completos)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='nodes'%3e%3cg transform='translate(82.90625%2c 35)' id='flowchart-Client-6' class='node default'%3e%3crect height='54' width='149.8125' y='-27' x='-74.90625' style='' class='basic label-container'/%3e%3cg transform='translate(-44.90625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='89.8125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eCliente MCP%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(487.6015625%2c 35)' id='flowchart-Server-7' class='node default'%3e%3crect height='54' width='159.578125' y='-27' x='-79.7890625' style='' class='basic label-container'/%3e%3cg transform='translate(-49.7890625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='99.578125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServidor MCP%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(908.765625%2c 35)' id='flowchart-API-8' class='node default'%3e%3crect height='54' width='182.75' y='-27' x='-91.375' style='' class='basic label-container'/%3e%3cg transform='translate(-61.375%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='122.75'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eManagement API%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/svg%3e)
%3btext-align:center%3b%7d%23mermaid-3 .edgeLabel p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-3 .edgeLabel rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-3 .labelBkg%7bbackground-color:rgba(232%2c 232%2c 232%2c 0.5)%3b%7d%23mermaid-3 .cluster rect%7bfill:%23ffffde%3bstroke:%23aaaa33%3bstroke-width:1px%3b%7d%23mermaid-3 .cluster text%7bfill:%23333%3b%7d%23mermaid-3 .cluster span%7bcolor:%23333%3b%7d%23mermaid-3 div.mermaidTooltip%7bposition:absolute%3btext-align:center%3bmax-width:200px%3bpadding:2px%3bfont-family:arial%2csans-serif%3bfont-size:12px%3bbackground:hsl(80%2c 100%25%2c 96.2745098039%25)%3bborder:1px solid %23aaaa33%3bborder-radius:2px%3bpointer-events:none%3bz-index:100%3b%7d%23mermaid-3 .flowchartTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-3 rect.text%7bfill:none%3bstroke-width:0%3b%7d%23mermaid-3 .icon-shape%2c%23mermaid-3 .image-shape%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3btext-align:center%3b%7d%23mermaid-3 .icon-shape p%2c%23mermaid-3 .image-shape p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bpadding:2px%3b%7d%23mermaid-3 .icon-shape rect%2c%23mermaid-3 .image-shape rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-3 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-3_flowchart-v2-pointEnd'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='4.5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-3_flowchart-v2-pointStart'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 5 L 10 10 L 10 0 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='11' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-3_flowchart-v2-circleEnd'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='-1' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-3_flowchart-v2-circleStart'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='12' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-3_flowchart-v2-crossEnd'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='-1' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-3_flowchart-v2-crossStart'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cg class='root'%3e%3cg class='clusters'%3e%3cg data-look='classic' id='cloud' class='cluster'%3e%3crect height='405' width='310' y='8' x='1078' style=''/%3e%3cg transform='translate(1133%2c 8)' class='cluster-label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServicios existentes de Logto Cloud%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg data-look='classic' id='workers' class='cluster'%3e%3crect height='285' width='310' y='103' x='518' style=''/%3e%3cg transform='translate(573%2c 103)' class='cluster-label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eDespliegue independiente (Cloudflare Workers)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='edgePaths'%3e%3cpath marker-end='url(%23mermaid-3_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-dotted edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Client_Auth_0' d='M237.45%2c120L263.375%2c109.833C289.3%2c99.667%2c341.15%2c79.333%2c387.908%2c69.167C434.667%2c59%2c476.333%2c59%2c523%2c59C569.667%2c59%2c621.333%2c59%2c673%2c59C724.667%2c59%2c776.333%2c59%2c823%2c59C869.667%2c59%2c911.333%2c59%2c953%2c59C994.667%2c59%2c1036.333%2c59%2c1065.749%2c61.326C1095.165%2c63.651%2c1112.331%2c68.303%2c1120.914%2c70.628L1129.496%2c72.954'/%3e%3cpath marker-end='url(%23mermaid-3_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_Client_MCP_1' d='M268%2c197.745L288.833%2c203.954C309.667%2c210.163%2c351.333%2c222.582%2c393%2c228.791C434.667%2c235%2c476.333%2c235%2c500.667%2c235C525%2c235%2c532%2c235%2c535.5%2c235L539%2c235'/%3e%3cpath marker-end='url(%23mermaid-3_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_MCP_Auth_2' d='M738.707%2c196L753.589%2c187.167C768.471%2c178.333%2c798.236%2c160.667%2c833.951%2c151.833C869.667%2c143%2c911.333%2c143%2c953%2c143C994.667%2c143%2c1036.333%2c143%2c1065.749%2c140.674C1095.165%2c138.349%2c1112.331%2c133.697%2c1120.914%2c131.372L1129.496%2c129.046'/%3e%3cpath marker-end='url(%23mermaid-3_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_MCP_CloudApi_3' d='M803%2c235L807.167%2c235C811.333%2c235%2c819.667%2c235%2c844.667%2c235C869.667%2c235%2c911.333%2c235%2c953%2c235C994.667%2c235%2c1036.333%2c235%2c1060.667%2c235C1085%2c235%2c1092%2c235%2c1095.5%2c235L1099%2c235'/%3e%3cpath marker-end='url(%23mermaid-3_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_MCP_TenantApi_4' d='M725.112%2c274L742.26%2c286.833C759.408%2c299.667%2c793.704%2c325.333%2c831.685%2c338.167C869.667%2c351%2c911.333%2c351%2c953%2c351C994.667%2c351%2c1036.333%2c351%2c1062.73%2c351C1089.128%2c351%2c1100.255%2c351%2c1105.819%2c351L1111.383%2c351'/%3e%3c/g%3e%3cg class='edgeLabels'%3e%3cg transform='translate(673%2c 59)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3eInicio de sesi%c3%b3n OAuth (PKCE)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(393%2c 235)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3eProtocolo MCP %2b token de usuario%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(953%2c 143)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3eauth M2M / intercambio de token%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(953%2c 235)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3esolicitar token de sujeto (dos credenciales)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(953%2c 351)' class='edgeLabel'%3e%3cg transform='translate(-100%2c -24)' class='label'%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3cp%3ellamar con token intercambiado%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='nodes'%3e%3cg transform='translate(138%2c 159)' id='flowchart-Client-9' class='node default'%3e%3crect height='78' width='260' y='-39' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -24)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eCliente MCP (Cliente OAuth)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(673%2c 235)' id='flowchart-MCP-10' class='node default'%3e%3crect height='78' width='260' y='-39' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -24)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServidor MCP (Recurso protegido: mcp.logto.io)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(1233%2c 101)' id='flowchart-Auth-11' class='node default'%3e%3crect height='54' width='233.40625' y='-27' x='-116.703125' style='' class='basic label-container'/%3e%3cg transform='translate(-86.703125%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='173.40625'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eServidor de Auth (OIDC)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(1233%2c 235)' id='flowchart-CloudApi-12' class='node default'%3e%3crect height='78' width='260' y='-39' x='-130' style='' class='basic label-container'/%3e%3cg transform='translate(-100%2c -24)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='48' width='200'%3e%3cdiv style='display: table%3b white-space: break-spaces%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b width: 200px%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eCloud API (/api/mcp/subject-tokens)%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(1233%2c 351)' id='flowchart-TenantApi-13' class='node default'%3e%3crect height='54' width='235.234375' y='-27' x='-117.6171875' style='' class='basic label-container'/%3e%3cg transform='translate(-87.6171875%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='175.234375'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eTenant Management API%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/svg%3e)
'%3c/tspan%3e%3c/text%3e%3c/g%3e%3cg%3e%3crect class='actor actor-bottom' ry='3' rx='3' name='S' height='65' width='150' stroke='%23666' fill='%23eaeaea' y='707' x='394'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='739.5' x='469'%3e%3ctspan dy='0' x='469'%3eServidor MCP%3c/tspan%3e%3c/text%3e%3c/g%3e%3cg%3e%3crect class='actor actor-bottom' ry='3' rx='3' name='C' height='65' width='150' stroke='%23666' fill='%23eaeaea' y='707' x='0'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='739.5' x='75'%3e%3ctspan dy='0' x='75'%3eCliente MCP%3c/tspan%3e%3c/text%3e%3c/g%3e%3cg%3e%3cline name='P' stroke='%23999' stroke-width='0.5px' class='actor-line 200' y2='707' x2='1440' y1='65' x1='1440' id='actor3'/%3e%3cg id='root-3'%3e%3crect class='actor actor-top' ry='3' rx='3' name='P' height='65' width='150' stroke='%23666' fill='%23eaeaea' y='0' x='1365'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='32.5' x='1440'%3e%3ctspan dy='0' x='1440'%3eCloud API%3c/tspan%3e%3c/text%3e%3c/g%3e%3c/g%3e%3cg%3e%3cline name='A' stroke='%23999' stroke-width='0.5px' class='actor-line 200' y2='707' x2='1143' y1='65' x1='1143' id='actor2'/%3e%3cg id='root-2'%3e%3crect class='actor actor-top' ry='3' rx='3' name='A' height='65' width='205' stroke='%23666' fill='%23eaeaea' y='0' x='1040.5'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='32.5' x='1143'%3e%3ctspan dy='0' x='1143'%3e'Servidor de Auth (OIDC)'%3c/tspan%3e%3c/text%3e%3c/g%3e%3c/g%3e%3cg%3e%3cline name='S' stroke='%23999' stroke-width='0.5px' class='actor-line 200' y2='707' x2='469' y1='65' x1='469' id='actor1'/%3e%3cg id='root-1'%3e%3crect class='actor actor-top' ry='3' rx='3' name='S' height='65' width='150' stroke='%23666' fill='%23eaeaea' y='0' x='394'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='32.5' x='469'%3e%3ctspan dy='0' x='469'%3eServidor MCP%3c/tspan%3e%3c/text%3e%3c/g%3e%3c/g%3e%3cg%3e%3cline name='C' stroke='%23999' stroke-width='0.5px' class='actor-line 200' y2='707' x2='75' y1='65' x1='75' id='actor0'/%3e%3cg id='root-0'%3e%3crect class='actor actor-top' ry='3' rx='3' name='C' height='65' width='150' stroke='%23666' fill='%23eaeaea' y='0' x='0'/%3e%3ctext style='text-anchor: middle%3b font-size: 16px%3b font-weight: 400%3b font-family: arial%2c sans-serif%3b' class='actor actor-box' alignment-baseline='central' dominant-baseline='central' y='32.5' x='75'%3e%3ctspan dy='0' x='75'%3eCliente MCP%3c/tspan%3e%3c/text%3e%3c/g%3e%3c/g%3e%3cstyle%3e%23mermaid-4%7bfont-family:arial%2csans-serif%3bfont-size:16px%3bfill:%23333%3b%7d%23mermaid-4 .error-icon%7bfill:%23552222%3b%7d%23mermaid-4 .error-text%7bfill:%23552222%3bstroke:%23552222%3b%7d%23mermaid-4 .edge-thickness-normal%7bstroke-width:1px%3b%7d%23mermaid-4 .edge-thickness-thick%7bstroke-width:3.5px%3b%7d%23mermaid-4 .edge-pattern-solid%7bstroke-dasharray:0%3b%7d%23mermaid-4 .edge-thickness-invisible%7bstroke-width:0%3bfill:none%3b%7d%23mermaid-4 .edge-pattern-dashed%7bstroke-dasharray:3%3b%7d%23mermaid-4 .edge-pattern-dotted%7bstroke-dasharray:2%3b%7d%23mermaid-4 .marker%7bfill:%23333333%3bstroke:%23333333%3b%7d%23mermaid-4 .marker.cross%7bstroke:%23333333%3b%7d%23mermaid-4 svg%7bfont-family:arial%2csans-serif%3bfont-size:16px%3b%7d%23mermaid-4 p%7bmargin:0%3b%7d%23mermaid-4 .actor%7bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3bfill:%23ECECFF%3b%7d%23mermaid-4 text.actor%26gt%3btspan%7bfill:black%3bstroke:none%3b%7d%23mermaid-4 .actor-line%7bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3b%7d%23mermaid-4 .messageLine0%7bstroke-width:1.5%3bstroke-dasharray:none%3bstroke:%23333%3b%7d%23mermaid-4 .messageLine1%7bstroke-width:1.5%3bstroke-dasharray:2%2c2%3bstroke:%23333%3b%7d%23mermaid-4 %23arrowhead path%7bfill:%23333%3bstroke:%23333%3b%7d%23mermaid-4 .sequenceNumber%7bfill:white%3b%7d%23mermaid-4 %23sequencenumber%7bfill:%23333%3b%7d%23mermaid-4 %23crosshead path%7bfill:%23333%3bstroke:%23333%3b%7d%23mermaid-4 .messageText%7bfill:%23333%3bstroke:none%3b%7d%23mermaid-4 .labelBox%7bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3bfill:%23ECECFF%3b%7d%23mermaid-4 .labelText%2c%23mermaid-4 .labelText%26gt%3btspan%7bfill:black%3bstroke:none%3b%7d%23mermaid-4 .loopText%2c%23mermaid-4 .loopText%26gt%3btspan%7bfill:black%3bstroke:none%3b%7d%23mermaid-4 .loopLine%7bstroke-width:2px%3bstroke-dasharray:2%2c2%3bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3bfill:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3b%7d%23mermaid-4 .note%7bstroke:%23aaaa33%3bfill:%23fff5ad%3b%7d%23mermaid-4 .noteText%2c%23mermaid-4 .noteText%26gt%3btspan%7bfill:black%3bstroke:none%3b%7d%23mermaid-4 .activation0%7bfill:%23f4f4f4%3bstroke:%23666%3b%7d%23mermaid-4 .activation1%7bfill:%23f4f4f4%3bstroke:%23666%3b%7d%23mermaid-4 .activation2%7bfill:%23f4f4f4%3bstroke:%23666%3b%7d%23mermaid-4 .actorPopupMenu%7bposition:absolute%3b%7d%23mermaid-4 .actorPopupMenuPanel%7bposition:absolute%3bfill:%23ECECFF%3bbox-shadow:0px 8px 16px 0px rgba(0%2c0%2c0%2c0.2)%3bfilter:drop-shadow(3px 5px 2px rgb(0 0 0 / 0.4))%3b%7d%23mermaid-4 .actor-man line%7bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3bfill:%23ECECFF%3b%7d%23mermaid-4 .actor-man circle%2c%23mermaid-4 line%7bstroke:hsl(259.6261682243%2c 59.7765363128%25%2c 87.9019607843%25)%3bfill:%23ECECFF%3bstroke-width:2px%3b%7d%23mermaid-4 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg/%3e%3cdefs%3e%3csymbol height='24' width='24' id='computer'%3e%3cpath d='M2 2v13h20v-13h-20zm18 11h-16v-9h16v9zm-10.228 6l.466-1h3.524l.467 1h-4.457zm14.228 3h-24l2-6h2.104l-1.33 4h18.45l-1.297-4h2.073l2 6zm-5-10h-14v-7h14v7z' transform='scale(.5)'/%3e%3c/symbol%3e%3c/defs%3e%3cdefs%3e%3csymbol clip-rule='evenodd' fill-rule='evenodd' id='database'%3e%3cpath d='M12.258.001l.256.004.255.005.253.008.251.01.249.012.247.015.246.016.242.019.241.02.239.023.236.024.233.027.231.028.229.031.225.032.223.034.22.036.217.038.214.04.211.041.208.043.205.045.201.046.198.048.194.05.191.051.187.053.183.054.18.056.175.057.172.059.168.06.163.061.16.063.155.064.15.066.074.033.073.033.071.034.07.034.069.035.068.035.067.035.066.035.064.036.064.036.062.036.06.036.06.037.058.037.058.037.055.038.055.038.053.038.052.038.051.039.05.039.048.039.047.039.045.04.044.04.043.04.041.04.04.041.039.041.037.041.036.041.034.041.033.042.032.042.03.042.029.042.027.042.026.043.024.043.023.043.021.043.02.043.018.044.017.043.015.044.013.044.012.044.011.045.009.044.007.045.006.045.004.045.002.045.001.045v17l-.001.045-.002.045-.004.045-.006.045-.007.045-.009.044-.011.045-.012.044-.013.044-.015.044-.017.043-.018.044-.02.043-.021.043-.023.043-.024.043-.026.043-.027.042-.029.042-.03.042-.032.042-.033.042-.034.041-.036.041-.037.041-.039.041-.04.041-.041.04-.043.04-.044.04-.045.04-.047.039-.048.039-.05.039-.051.039-.052.038-.053.038-.055.038-.055.038-.058.037-.058.037-.06.037-.06.036-.062.036-.064.036-.064.036-.066.035-.067.035-.068.035-.069.035-.07.034-.071.034-.073.033-.074.033-.15.066-.155.064-.16.063-.163.061-.168.06-.172.059-.175.057-.18.056-.183.054-.187.053-.191.051-.194.05-.198.048-.201.046-.205.045-.208.043-.211.041-.214.04-.217.038-.22.036-.223.034-.225.032-.229.031-.231.028-.233.027-.236.024-.239.023-.241.02-.242.019-.246.016-.247.015-.249.012-.251.01-.253.008-.255.005-.256.004-.258.001-.258-.001-.256-.004-.255-.005-.253-.008-.251-.01-.249-.012-.247-.015-.245-.016-.243-.019-.241-.02-.238-.023-.236-.024-.234-.027-.231-.028-.228-.031-.226-.032-.223-.034-.22-.036-.217-.038-.214-.04-.211-.041-.208-.043-.204-.045-.201-.046-.198-.048-.195-.05-.19-.051-.187-.053-.184-.054-.179-.056-.176-.057-.172-.059-.167-.06-.164-.061-.159-.063-.155-.064-.151-.066-.074-.033-.072-.033-.072-.034-.07-.034-.069-.035-.068-.035-.067-.035-.066-.035-.064-.036-.063-.036-.062-.036-.061-.036-.06-.037-.058-.037-.057-.037-.056-.038-.055-.038-.053-.038-.052-.038-.051-.039-.049-.039-.049-.039-.046-.039-.046-.04-.044-.04-.043-.04-.041-.04-.04-.041-.039-.041-.037-.041-.036-.041-.034-.041-.033-.042-.032-.042-.03-.042-.029-.042-.027-.042-.026-.043-.024-.043-.023-.043-.021-.043-.02-.043-.018-.044-.017-.043-.015-.044-.013-.044-.012-.044-.011-.045-.009-.044-.007-.045-.006-.045-.004-.045-.002-.045-.001-.045v-17l.001-.045.002-.045.004-.045.006-.045.007-.045.009-.044.011-.045.012-.044.013-.044.015-.044.017-.043.018-.044.02-.043.021-.043.023-.043.024-.043.026-.043.027-.042.029-.042.03-.042.032-.042.033-.042.034-.041.036-.041.037-.041.039-.041.04-.041.041-.04.043-.04.044-.04.046-.04.046-.039.049-.039.049-.039.051-.039.052-.038.053-.038.055-.038.056-.038.057-.037.058-.037.06-.037.061-.036.062-.036.063-.036.064-.036.066-.035.067-.035.068-.035.069-.035.07-.034.072-.034.072-.033.074-.033.151-.066.155-.064.159-.063.164-.061.167-.06.172-.059.176-.057.179-.056.184-.054.187-.053.19-.051.195-.05.198-.048.201-.046.204-.045.208-.043.211-.041.214-.04.217-.038.22-.036.223-.034.226-.032.228-.031.231-.028.234-.027.236-.024.238-.023.241-.02.243-.019.245-.016.247-.015.249-.012.251-.01.253-.008.255-.005.256-.004.258-.001.258.001zm-9.258 20.499v.01l.001.021.003.021.004.022.005.021.006.022.007.022.009.023.01.022.011.023.012.023.013.023.015.023.016.024.017.023.018.024.019.024.021.024.022.025.023.024.024.025.052.049.056.05.061.051.066.051.07.051.075.051.079.052.084.052.088.052.092.052.097.052.102.051.105.052.11.052.114.051.119.051.123.051.127.05.131.05.135.05.139.048.144.049.147.047.152.047.155.047.16.045.163.045.167.043.171.043.176.041.178.041.183.039.187.039.19.037.194.035.197.035.202.033.204.031.209.03.212.029.216.027.219.025.222.024.226.021.23.02.233.018.236.016.24.015.243.012.246.01.249.008.253.005.256.004.259.001.26-.001.257-.004.254-.005.25-.008.247-.011.244-.012.241-.014.237-.016.233-.018.231-.021.226-.021.224-.024.22-.026.216-.027.212-.028.21-.031.205-.031.202-.034.198-.034.194-.036.191-.037.187-.039.183-.04.179-.04.175-.042.172-.043.168-.044.163-.045.16-.046.155-.046.152-.047.148-.048.143-.049.139-.049.136-.05.131-.05.126-.05.123-.051.118-.052.114-.051.11-.052.106-.052.101-.052.096-.052.092-.052.088-.053.083-.051.079-.052.074-.052.07-.051.065-.051.06-.051.056-.05.051-.05.023-.024.023-.025.021-.024.02-.024.019-.024.018-.024.017-.024.015-.023.014-.024.013-.023.012-.023.01-.023.01-.022.008-.022.006-.022.006-.022.004-.022.004-.021.001-.021.001-.021v-4.127l-.077.055-.08.053-.083.054-.085.053-.087.052-.09.052-.093.051-.095.05-.097.05-.1.049-.102.049-.105.048-.106.047-.109.047-.111.046-.114.045-.115.045-.118.044-.12.043-.122.042-.124.042-.126.041-.128.04-.13.04-.132.038-.134.038-.135.037-.138.037-.139.035-.142.035-.143.034-.144.033-.147.032-.148.031-.15.03-.151.03-.153.029-.154.027-.156.027-.158.026-.159.025-.161.024-.162.023-.163.022-.165.021-.166.02-.167.019-.169.018-.169.017-.171.016-.173.015-.173.014-.175.013-.175.012-.177.011-.178.01-.179.008-.179.008-.181.006-.182.005-.182.004-.184.003-.184.002h-.37l-.184-.002-.184-.003-.182-.004-.182-.005-.181-.006-.179-.008-.179-.008-.178-.01-.176-.011-.176-.012-.175-.013-.173-.014-.172-.015-.171-.016-.17-.017-.169-.018-.167-.019-.166-.02-.165-.021-.163-.022-.162-.023-.161-.024-.159-.025-.157-.026-.156-.027-.155-.027-.153-.029-.151-.03-.15-.03-.148-.031-.146-.032-.145-.033-.143-.034-.141-.035-.14-.035-.137-.037-.136-.037-.134-.038-.132-.038-.13-.04-.128-.04-.126-.041-.124-.042-.122-.042-.12-.044-.117-.043-.116-.045-.113-.045-.112-.046-.109-.047-.106-.047-.105-.048-.102-.049-.1-.049-.097-.05-.095-.05-.093-.052-.09-.051-.087-.052-.085-.053-.083-.054-.08-.054-.077-.054v4.127zm0-5.654v.011l.001.021.003.021.004.021.005.022.006.022.007.022.009.022.01.022.011.023.012.023.013.023.015.024.016.023.017.024.018.024.019.024.021.024.022.024.023.025.024.024.052.05.056.05.061.05.066.051.07.051.075.052.079.051.084.052.088.052.092.052.097.052.102.052.105.052.11.051.114.051.119.052.123.05.127.051.131.05.135.049.139.049.144.048.147.048.152.047.155.046.16.045.163.045.167.044.171.042.176.042.178.04.183.04.187.038.19.037.194.036.197.034.202.033.204.032.209.03.212.028.216.027.219.025.222.024.226.022.23.02.233.018.236.016.24.014.243.012.246.01.249.008.253.006.256.003.259.001.26-.001.257-.003.254-.006.25-.008.247-.01.244-.012.241-.015.237-.016.233-.018.231-.02.226-.022.224-.024.22-.025.216-.027.212-.029.21-.03.205-.032.202-.033.198-.035.194-.036.191-.037.187-.039.183-.039.179-.041.175-.042.172-.043.168-.044.163-.045.16-.045.155-.047.152-.047.148-.048.143-.048.139-.05.136-.049.131-.05.126-.051.123-.051.118-.051.114-.052.11-.052.106-.052.101-.052.096-.052.092-.052.088-.052.083-.052.079-.052.074-.051.07-.052.065-.051.06-.05.056-.051.051-.049.023-.025.023-.024.021-.025.02-.024.019-.024.018-.024.017-.024.015-.023.014-.023.013-.024.012-.022.01-.023.01-.023.008-.022.006-.022.006-.022.004-.021.004-.022.001-.021.001-.021v-4.139l-.077.054-.08.054-.083.054-.085.052-.087.053-.09.051-.093.051-.095.051-.097.05-.1.049-.102.049-.105.048-.106.047-.109.047-.111.046-.114.045-.115.044-.118.044-.12.044-.122.042-.124.042-.126.041-.128.04-.13.039-.132.039-.134.038-.135.037-.138.036-.139.036-.142.035-.143.033-.144.033-.147.033-.148.031-.15.03-.151.03-.153.028-.154.028-.156.027-.158.026-.159.025-.161.024-.162.023-.163.022-.165.021-.166.02-.167.019-.169.018-.169.017-.171.016-.173.015-.173.014-.175.013-.175.012-.177.011-.178.009-.179.009-.179.007-.181.007-.182.005-.182.004-.184.003-.184.002h-.37l-.184-.002-.184-.003-.182-.004-.182-.005-.181-.007-.179-.007-.179-.009-.178-.009-.176-.011-.176-.012-.175-.013-.173-.014-.172-.015-.171-.016-.17-.017-.169-.018-.167-.019-.166-.02-.165-.021-.163-.022-.162-.023-.161-.024-.159-.025-.157-.026-.156-.027-.155-.028-.153-.028-.151-.03-.15-.03-.148-.031-.146-.033-.145-.033-.143-.033-.141-.035-.14-.036-.137-.036-.136-.037-.134-.038-.132-.039-.13-.039-.128-.04-.126-.041-.124-.042-.122-.043-.12-.043-.117-.044-.116-.044-.113-.046-.112-.046-.109-.046-.106-.047-.105-.048-.102-.049-.1-.049-.097-.05-.095-.051-.093-.051-.09-.051-.087-.053-.085-.052-.083-.054-.08-.054-.077-.054v4.139zm0-5.666v.011l.001.02.003.022.004.021.005.022.006.021.007.022.009.023.01.022.011.023.012.023.013.023.015.023.016.024.017.024.018.023.019.024.021.025.022.024.023.024.024.025.052.05.056.05.061.05.066.051.07.051.075.052.079.051.084.052.088.052.092.052.097.052.102.052.105.051.11.052.114.051.119.051.123.051.127.05.131.05.135.05.139.049.144.048.147.048.152.047.155.046.16.045.163.045.167.043.171.043.176.042.178.04.183.04.187.038.19.037.194.036.197.034.202.033.204.032.209.03.212.028.216.027.219.025.222.024.226.021.23.02.233.018.236.017.24.014.243.012.246.01.249.008.253.006.256.003.259.001.26-.001.257-.003.254-.006.25-.008.247-.01.244-.013.241-.014.237-.016.233-.018.231-.02.226-.022.224-.024.22-.025.216-.027.212-.029.21-.03.205-.032.202-.033.198-.035.194-.036.191-.037.187-.039.183-.039.179-.041.175-.042.172-.043.168-.044.163-.045.16-.045.155-.047.152-.047.148-.048.143-.049.139-.049.136-.049.131-.051.126-.05.123-.051.118-.052.114-.051.11-.052.106-.052.101-.052.096-.052.092-.052.088-.052.083-.052.079-.052.074-.052.07-.051.065-.051.06-.051.056-.05.051-.049.023-.025.023-.025.021-.024.02-.024.019-.024.018-.024.017-.024.015-.023.014-.024.013-.023.012-.023.01-.022.01-.023.008-.022.006-.022.006-.022.004-.022.004-.021.001-.021.001-.021v-4.153l-.077.054-.08.054-.083.053-.085.053-.087.053-.09.051-.093.051-.095.051-.097.05-.1.049-.102.048-.105.048-.106.048-.109.046-.111.046-.114.046-.115.044-.118.044-.12.043-.122.043-.124.042-.126.041-.128.04-.13.039-.132.039-.134.038-.135.037-.138.036-.139.036-.142.034-.143.034-.144.033-.147.032-.148.032-.15.03-.151.03-.153.028-.154.028-.156.027-.158.026-.159.024-.161.024-.162.023-.163.023-.165.021-.166.02-.167.019-.169.018-.169.017-.171.016-.173.015-.173.014-.175.013-.175.012-.177.01-.178.01-.179.009-.179.007-.181.006-.182.006-.182.004-.184.003-.184.001-.185.001-.185-.001-.184-.001-.184-.003-.182-.004-.182-.006-.181-.006-.179-.007-.179-.009-.178-.01-.176-.01-.176-.012-.175-.013-.173-.014-.172-.015-.171-.016-.17-.017-.169-.018-.167-.019-.166-.02-.165-.021-.163-.023-.162-.023-.161-.024-.159-.024-.157-.026-.156-.027-.155-.028-.153-.028-.151-.03-.15-.03-.148-.032-.146-.032-.145-.033-.143-.034-.141-.034-.14-.036-.137-.036-.136-.037-.134-.038-.132-.039-.13-.039-.128-.041-.126-.041-.124-.041-.122-.043-.12-.043-.117-.044-.116-.044-.113-.046-.112-.046-.109-.046-.106-.048-.105-.048-.102-.048-.1-.05-.097-.049-.095-.051-.093-.051-.09-.052-.087-.052-.085-.053-.083-.053-.08-.054-.077-.054v4.153zm8.74-8.179l-.257.004-.254.005-.25.008-.247.011-.244.012-.241.014-.237.016-.233.018-.231.021-.226.022-.224.023-.22.026-.216.027-.212.028-.21.031-.205.032-.202.033-.198.034-.194.036-.191.038-.187.038-.183.04-.179.041-.175.042-.172.043-.168.043-.163.045-.16.046-.155.046-.152.048-.148.048-.143.048-.139.049-.136.05-.131.05-.126.051-.123.051-.118.051-.114.052-.11.052-.106.052-.101.052-.096.052-.092.052-.088.052-.083.052-.079.052-.074.051-.07.052-.065.051-.06.05-.056.05-.051.05-.023.025-.023.024-.021.024-.02.025-.019.024-.018.024-.017.023-.015.024-.014.023-.013.023-.012.023-.01.023-.01.022-.008.022-.006.023-.006.021-.004.022-.004.021-.001.021-.001.021.001.021.001.021.004.021.004.022.006.021.006.023.008.022.01.022.01.023.012.023.013.023.014.023.015.024.017.023.018.024.019.024.02.025.021.024.023.024.023.025.051.05.056.05.06.05.065.051.07.052.074.051.079.052.083.052.088.052.092.052.096.052.101.052.106.052.11.052.114.052.118.051.123.051.126.051.131.05.136.05.139.049.143.048.148.048.152.048.155.046.16.046.163.045.168.043.172.043.175.042.179.041.183.04.187.038.191.038.194.036.198.034.202.033.205.032.21.031.212.028.216.027.22.026.224.023.226.022.231.021.233.018.237.016.241.014.244.012.247.011.25.008.254.005.257.004.26.001.26-.001.257-.004.254-.005.25-.008.247-.011.244-.012.241-.014.237-.016.233-.018.231-.021.226-.022.224-.023.22-.026.216-.027.212-.028.21-.031.205-.032.202-.033.198-.034.194-.036.191-.038.187-.038.183-.04.179-.041.175-.042.172-.043.168-.043.163-.045.16-.046.155-.046.152-.048.148-.048.143-.048.139-.049.136-.05.131-.05.126-.051.123-.051.118-.051.114-.052.11-.052.106-.052.101-.052.096-.052.092-.052.088-.052.083-.052.079-.052.074-.051.07-.052.065-.051.06-.05.056-.05.051-.05.023-.025.023-.024.021-.024.02-.025.019-.024.018-.024.017-.023.015-.024.014-.023.013-.023.012-.023.01-.023.01-.022.008-.022.006-.023.006-.021.004-.022.004-.021.001-.021.001-.021-.001-.021-.001-.021-.004-.021-.004-.022-.006-.021-.006-.023-.008-.022-.01-.022-.01-.023-.012-.023-.013-.023-.014-.023-.015-.024-.017-.023-.018-.024-.019-.024-.02-.025-.021-.024-.023-.024-.023-.025-.051-.05-.056-.05-.06-.05-.065-.051-.07-.052-.074-.051-.079-.052-.083-.052-.088-.052-.092-.052-.096-.052-.101-.052-.106-.052-.11-.052-.114-.052-.118-.051-.123-.051-.126-.051-.131-.05-.136-.05-.139-.049-.143-.048-.148-.048-.152-.048-.155-.046-.16-.046-.163-.045-.168-.043-.172-.043-.175-.042-.179-.041-.183-.04-.187-.038-.191-.038-.194-.036-.198-.034-.202-.033-.205-.032-.21-.031-.212-.028-.216-.027-.22-.026-.224-.023-.226-.022-.231-.021-.233-.018-.237-.016-.241-.014-.244-.012-.247-.011-.25-.008-.254-.005-.257-.004-.26-.001-.26.001z' transform='scale(.5)'/%3e%3c/symbol%3e%3c/defs%3e%3cdefs%3e%3csymbol height='24' width='24' id='clock'%3e%3cpath d='M12 2c5.514 0 10 4.486 10 10s-4.486 10-10 10-10-4.486-10-10 4.486-10 10-10zm0-2c-6.627 0-12 5.373-12 12s5.373 12 12 12 12-5.373 12-12-5.373-12-12-12zm5.848 12.459c.202.038.202.333.001.372-1.907.361-6.045 1.111-6.547 1.111-.719 0-1.301-.582-1.301-1.301 0-.512.77-5.447 1.125-7.445.034-.192.312-.181.343.014l.985 6.238 5.394 1.011z' transform='scale(.5)'/%3e%3c/symbol%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto-start-reverse' markerHeight='12' markerWidth='12' markerUnits='userSpaceOnUse' refY='5' refX='7.9' id='arrowhead'%3e%3cpath d='M -1 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker refY='4.5' refX='4' orient='auto' markerHeight='8' markerWidth='15' id='crosshead'%3e%3cpath style='stroke-dasharray: 0%2c 0%3b' d='M 1%2c2 L 6%2c7 M 6%2c2 L 1%2c7' stroke-width='1pt' stroke='black' fill='none'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='28' markerWidth='20' refY='7' refX='15.5' id='filled-head'%3e%3cpath d='M 18%2c7 L9%2c13 L14%2c7 L9%2c1 Z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='40' markerWidth='60' refY='15' refX='15' id='sequencenumber'%3e%3ccircle r='6' cy='15' cx='15'/%3e%3c/marker%3e%3c/defs%3e%3cg%3e%3crect class='note' height='37' width='417' stroke='%23666' fill='%23EDF2AE' y='207' x='260.5'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='noteText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='212' x='469'%3e%3ctspan x='469'%3eValidaci%c3%b3n de entrada: firma / emisor / audiencia / scope%3c/tspan%3e%3c/text%3e%3c/g%3e%3cg%3e%3crect class='note' height='37' width='494' stroke='%23666' fill='%23EDF2AE' y='386' x='1193'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='noteText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='391' x='1440'%3e%3ctspan x='1440'%3eVerifica token M2M y de usuario%3b userId viene del claim sub%3c/tspan%3e%3c/text%3e%3c/g%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='80' x='608'%3eInicio de sesi%c3%b3n OAuth (PKCE%2c resource = mcp.logto.io)%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='109' x2='1139' y1='109' x1='76'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='124' x='611'%3etoken de usuario (aud = mcp.logto.io%2c scope = mcp:all)%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='153' x2='79' y1='153' x1='1142'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='168' x='271'%3e%e2%91%a0 llamada de herramienta %2b token de usuario%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='197' x2='465' y1='197' x1='76'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='259' x='805'%3e%e2%91%a1 client credentials (M2M)%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='288' x2='1139' y1='288' x1='470'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='303' x='808'%3etoken M2M (scope = access:mcp:api)%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='332' x2='473' y1='332' x1='1142'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='347' x='953'%3e%e2%91%a2 POST /api/mcp/subject-tokens (token M2M %2b x-mcp-user-token)%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='376' x2='1436' y1='376' x1='470'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='438' x='956'%3etoken de sujeto (ef%c3%admero%2c single-use)%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='467' x2='473' y1='467' x1='1439'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='482' x='805'%3e%e2%91%a3 intercambio de tokens (token de sujeto %2b tenant objetivo)%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='511' x2='1139' y1='511' x1='470'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='526' x='808'%3etoken de Cloud API / token de organizaci%c3%b3n (permisos = los reales del usuario)%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='555' x2='473' y1='555' x1='1142'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='570' x='953'%3e%e2%91%a4 llamada a API de negocio con el token intercambiado%3c/text%3e%3cline style='fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine0' y2='599' x2='1436' y1='599' x1='470'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='614' x='956'%3eresultado%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='643' x2='473' y1='643' x1='1439'/%3e%3ctext style='font-family: arial%2c sans-serif%3b font-size: 16px%3b font-weight: 400%3b' dy='1em' class='messageText' alignment-baseline='middle' dominant-baseline='middle' text-anchor='middle' y='658' x='274'%3eresultado de la herramienta%3c/text%3e%3cline style='stroke-dasharray: 3%2c 3%3b fill: none%3b' marker-end='url(%23arrowhead)' stroke='none' stroke-width='2' class='messageLine1' y2='687' x2='79' y1='687' x1='468'/%3e%3c/svg%3e)