API keys: deja que tus herramientas y agentes trabajen en MB Suite con los permisos que elijas

¿Para qué sirve una API key?

Una API key actúa en MB Suite como el miembro que representa —tú u otra persona del equipo— y nunca puede más que ese miembro: si es alguien que solo ve sus propios tratos, la API key solo ve esos tratos; si es Viewer, la API key solo lee. Además, tú eliges a qué módulos llega y si puede solo leer o también escribir. Todo lo que se hace con la API key queda registrado a nombre de esa persona.

Con una API key, tu sistema o un script llaman a la API REST de MB Suite, y Cursor, tu propio agente o cualquier app que acepte una API key se conectan por el MCP. Claude, ChatGPT, VS Code y Claude Code no la necesitan, porque se conectan pidiéndote permiso en una pantalla de MB Suite; el paso a paso de cada uno está en Conectar Claude, ChatGPT o Cursor a MB Suite con el MCP. Una API key no puede crear, ver ni cambiar otras API keys: se manejan solo desde esta pantalla.

¿Quién puede crear API keys?

La pestaña API keys de API y MCP la ven solo el owner y los admins; el resto del equipo ve solo MCP y Documentación. Para crearlas, la API y el MCP tienen que estar habilitados en el workspace (ver API, MCP y webhooks); si alguien los apagó, Crear API key queda deshabilitado hasta que se vuelvan a habilitar. En una Cuenta, además, depende de quién paga su suscripción: si la paga la propia Cuenta, no necesita el permiso de la agencia, pero solo puede crear y usar sus propias API keys cuando esa suscripción esté paga y activa (en la prueba gratis, Crear API key queda deshabilitado y la pantalla dice por qué); si la paga tu agencia, la agencia tiene que permitirlo primero. Mientras tanto, la pestaña API keys de la Cuenta muestra Esta Cuenta todavía no puede crear API keys. Para permitirlo:

• En el workspace de la agencia, ve a Configuración > Partners.
• En la fila de la Cuenta, abre el menú de los tres puntos y elige Ver permisos.
• En Permisos de módulos, en el bloque API y MCP del final, activa API keys propias de la Cuenta. El cambio se guarda solo.

En una Cuenta que paga su suscripción, ese interruptor aparece encendido y no se puede apagar: no necesita este permiso, y sus propias API keys dependen solo de que su suscripción esté paga y activa.

¿Cómo creo una API key?

• Ve a Configuración > API y MCP: se abre en la pestaña API keys. Presiona Crear API key.
• Si estás en un workspace, arriba eliges el Entorno: deja Producción para trabajar con tus datos reales. Prueba crea una API key de prueba, que trabaja en una organización de práctica (más abajo, para qué sirve).
• En Nombre, escribe para qué es (por ejemplo, «Cursor de Laura» o «Script de reportes»): así la reconoces en la tabla.
• En Actúa como, elige a quién representa: por defecto, a ti; también puedes elegir a otro miembro de la organización (un admin no puede elegir a un owner). La API key ve y hace lo mismo que esa persona, y esto no se puede cambiar después.
• En Permisos, elige para cada módulo Sin acceso, Lectura o Lectura y escritura. El CRM viene en Lectura: da solo lo que la herramienta necesita. Si le das Lectura y escritura a un módulo sensible —Miembros, Branding, Cuentas, Client Portal, Email Marketing o Integraciones—, su fila se pone en ámbar con un aviso, porque escribir ahí puede cambiar quién entra, tu marca, lo que reciben tus clientes o tus conexiones; en la tabla, ese permiso también se ve en ámbar.
• Deja Permitir eliminar apagado, salvo que la herramienta tenga que eliminar registros (más abajo, qué cambia).
• Deja Correo y calendario conectados apagado, salvo que la herramienta tenga que leer los correos y eventos vinculados al CRM (más abajo, qué es). Solo se puede activar si un owner ya lo permitió para la organización.
• Si la API key es de un agente de IA, activa API key de un agente de IA: lo que envíe por WhatsApp o por mensaje directo queda marcado como hecho por IA, igual que lo del Setter, y en los reportes cuenta como IA, no como una persona. No le da ningún permiso: marca lo que la API key envía y, como los términos de LinkedIn no permiten darle sus datos a una IA, la API key no recibe datos de LinkedIn.
• Debajo están los Permisos especiales: déjalos apagados, salvo que la API key sea de un agente de confianza que los necesite (más abajo, qué son).
• Si estás en el workspace de una agencia y la API key también tiene que trabajar en tus Cuentas, activa Acceder también a las Cuentas y elige Todas las Cuentas o Elegir Cuentas. Solo llega a las Cuentas que ve la persona de Actúa como.
• En Vencimiento, elige Nunca o un plazo de 30, 90 o 365 días: ese día la API key deja de funcionar sola.
• Presiona Crear API key. En la misma ventana aparece Guarda la API key: cópiala con Copiar y guárdala en tu gestor de contraseñas. Cierra con Listo, que se habilita cuando la copias o marcas Ya la guardé.

¿Qué cambia con «Permitir eliminar»?

Apagado, la API key no puede eliminar nada, aunque tenga Lectura y escritura: lo irreversible, como eliminar tratos, personas o listas, solo es posible si lo activas, y además necesita al menos un módulo con Lectura y escritura. Aunque la API key pueda eliminar, un agente conectado por el MCP primero tiene que pedir una vista previa de lo que va a eliminar y confirmarla. En los módulos que guardan una copia, lo que se elimina queda 30 días en la Papelera —lo que se elimina del CRM, en la Papelera del CRM—; lo que vive fuera de MB Suite no vuelve: archivos adjuntos, plantillas de WhatsApp en Meta y eventos de tu calendario. Con cada borrado, la herramienta recibe qué copia quedó en la Papelera, así que, si la persona de Actúa como es owner o admin, puede restaurarla sola. En la tabla, una API key que puede eliminar lleva la etiqueta Puede eliminar.

¿Qué es «Correo y calendario conectados»?

Es un permiso aparte, apagado por defecto, en su propio bloque debajo de Permitir eliminar, que se pone en ámbar mientras está activado. Si lo activas, la API key lee los correos y eventos vinculados a personas, empresas o tratos del CRM, solo del buzón y el calendario de la persona a la que representa; nunca el buzón entero.

El buzón y el calendario conectados son los que esa persona conectó al CRM: Gmail, Outlook o IMAP para el correo, y Google Calendar u Outlook para el calendario. Del buzón, la API key lee solo las conversaciones vinculadas a una persona, empresa o trato; del calendario, solo los eventos en los que el organizador o algún invitado externo es una persona o empresa del CRM, además de las reservas de la página de reserva.

Como en todo lo de la API key, el límite es la persona de Actúa como: los buzones y calendarios de otros miembros nunca salen por la API key, aunque esa persona pueda verlos en la pantalla. Además, la API key necesita el CRM en Lectura o en Lectura y escritura; con Lectura y escritura, también puede vincular esas conversaciones a una persona del CRM y archivarlas o devolverlas a la bandeja (en un buzón de Gmail, también en Gmail). No borra correos.

Para activarlo en una API key, primero un owner tiene que permitirlo para la organización (en la sección siguiente, cómo). Mientras tanto, el interruptor de la API key está deshabilitado, con un aviso que dice dónde lo activa un owner: la tarjeta Correo y calendario conectados, en Configuración → API y MCP → API keys. En la tabla, una API key con este permiso lleva la etiqueta Correo y calendario conectados en la columna Permisos.

¿Quién permite el correo y calendario conectados en la organización?

Lo decide un owner, para toda la organización, en la tarjeta Correo y calendario conectados de la pestaña API keys, debajo de Versión de la API. Vale para las API keys y para las apps conectadas, y viene desactivada. Los admins la ven con el interruptor deshabilitado y el aviso «Solo un owner puede cambiarlo»; el resto del equipo no ve la pestaña API keys. Para activarlo:

• Ve a Configuración > API y MCP: se abre en la pestaña API keys.
• En la tarjeta Correo y calendario conectados, activa el interruptor. Se abre Activar correo y calendario conectados, con lo que implica: léelo y presiona Activar. La tarjeta queda en ámbar y muestra la fecha en que se activó.
• Después, dale el permiso a cada API key que lo necesite, con Editar, y a cada app al autorizarla (Conectar Claude, ChatGPT o Cursor a MB Suite con el MCP). Activar la tarjeta no se lo da a ninguna API key ni app por sí solo: cada una necesita su propio permiso.

Desactivarla no pide confirmación y corta al instante: ninguna API key ni app conectada lee el contenido de los buzones ni de los calendarios conectados, aunque tenga el permiso. No hace falta editar API keys ni desconectar apps: las que lo tienen quedan en pausa —en la tabla, la etiqueta ámbar sale de la columna Permisos y, al abrir sus permisos, aparece Correo y calendario conectados · pausado— y vuelven a leer en cuanto un owner active la tarjeta de nuevo. Mientras está en pausa, en Editar puedes quitarle el permiso a una API key, pero no dárselo.

¿Qué son los «Permisos especiales»?

Son tres permisos que van más allá de los módulos, pensados para API keys de agentes de confianza. Vienen apagados, en su propio bloque debajo de Permisos, y cada uno se pone en ámbar mientras está activado. Los puede dar un owner o un admin, nunca en una API key de Prueba.

Revelar contraseñas de la Bóveda: la API key puede pedir por la API —nunca por el MCP— la contraseña de las credenciales de la Bóveda que elijas, hoy hasta 50. Al activarlo, elígelas en el selector que aparece debajo: las que la persona de Actúa como no puede ver salen deshabilitadas, porque esa persona tiene que tener acceso a cada una, también en el momento de revelarla. La API key necesita además al menos Lectura en la Bóveda: si no la tiene, el bloque te avisa y el diálogo no deja guardar. Y hay un tope por hora —hoy, 30 contraseñas— para la persona a la que representa, sumando todas sus API keys.

Cada contraseña que la API key revela queda en la Actividad de la credencial como «reveló el secreto», a nombre de esa persona y, en gris, con el nombre de la API key. Si la API key pide una credencial que no le diste, o una a la que la persona ya no tiene acceso, no recibe nada y la Actividad lo registra como «intentó revelar el secreto sin permiso».

Editar agentes de IA en vivo: la API key ve las instrucciones y el conocimiento de los agentes de IA y puede editarlos, incluidos los que atienden en vivo en el Equipo IA (los que ocupan un puesto: ver Agentes y puestos), por la API o por el MCP. Cada cambio pasa por una vista previa que la misma API key confirma: darle este permiso es aprobar esos cambios de antemano. Como en todo, no pasa de lo que la persona de Actúa como puede ver y editar.

Crear agentes de IA: la API key puede crear agentes de IA en la organización —y en las Cuentas que alcanza—, también la versión propia de uno de los agentes de MB Suite, por la API o por el MCP. Cada alta pasa por una vista previa que la misma API key confirma: darle este permiso es aprobar esas altas de antemano. Un agente nuevo no atiende a nadie hasta que un puesto del Equipo IA del CRM o del Social Inbox lo toma como su agente —desde la app, o al crear o editar ese puesto por la API o el MCP—, y la persona de Actúa como tiene que poder editar agentes (un Viewer no puede). Para ver o editar después lo que creó, la API key necesita además Editar agentes de IA en vivo.

Los owners y los admins manejan los permisos especiales como el resto de la API key: los dan, los apagan y eligen las credenciales de la Bóveda. También rotan o reactivan una API key que los tiene, y rotarla los conserva. Lo único que sigue siendo solo de los owners es manejar una API key que actúa como un owner: un admin no puede crearla, editarla, rotarla ni reactivarla. Para cortarla de urgencia, un admin sí puede Suspender o Revocar.

Cómo se usan por la API está en la pestaña Documentación, en la guía Permisos y alcances.

¿Qué es el modo de herramientas del MCP?

Está en Avanzado, en Modo de herramientas del MCP, y solo importa si usas la API key con el MCP. Compacto (recomendado) le da al agente cinco herramientas generales con las que encuentra, lee y ejecuta cualquier operación que la API key permita. Una herramienta por operación le suma una herramienta por cada operación (crear un trato, moverlo de etapa…): es un modo más preciso, pero más pesado para el modelo. Si dudas, deja el compacto.

¿Cómo se usa la API key?

Va en cada pedido a la API REST (https://api.mb-suite.com/v1) o al servidor MCP (https://mcp.mb-suite.com) de MB Suite, en el encabezado Authorization, con la forma Bearer mbs_live_…. Así la usan tu sistema, Cursor, un agente propio o un script: la configuración exacta del MCP está en Conectar Claude, ChatGPT o Cursor a MB Suite con el MCP, y la de la API, en la pestaña Documentación. Lo masivo, la mayoría de los borrados y lo que manda algo fuera de MB Suite —un WhatsApp, un correo—, cambia algo en otra plataforma o tiene un costo aparte pasan primero por una vista previa que la misma herramienta confirma; cómo funciona está en esa misma pestaña.

¿Cómo pruebo sin tocar mis datos reales?

Con una API key de prueba. Empieza con mbs_test_ y trabaja solo en la organización de práctica del workspace: una organización aparte, con datos de ejemplo del CRM y su propio cupo, donde nada sale al mundo —los correos, los WhatsApp y los PDF se simulan, y lo demás que toca otra plataforma responde con un error 409—. Es el lugar para probar tu integración o tu agente antes de darle una API key de Producción.

• En un workspace, en la pestaña API keys, busca la tarjeta Organización de práctica y presiona Crear API key de prueba (o, en Crear API key, elige Prueba en el Entorno).
• Complétala como cualquier otra API key. Actúa como un owner o un admin del workspace —son quienes entran a la organización de práctica— y no lleva permisos especiales, Cuentas ni correo y calendario conectados.
• La primera vez, la organización de práctica se crea sola y se siembra con los datos de ejemplo; la tarjeta muestra de qué fecha son y cuántas API keys de prueba están activas.

Cuando quieras empezar de cero, Reiniciar datos de prueba borra todo lo que tiene la organización de práctica —personas, empresas, tratos, actividades, papelera, eventos y entregas de webhooks— y vuelve a sembrar los datos de ejemplo; las API keys de prueba y los webhooks de prueba se mantienen. Pide confirmación con Reiniciar y no se puede deshacer. Para probar también tus webhooks, en la pestaña Webhooks elige Prueba: esos webhooks reciben solo lo que hacen las API keys de prueba (ver Webhooks). En la tabla, una API key de prueba lleva la etiqueta Prueba, y sus pedidos no aparecen en el Registro de tu organización: quedan en la de práctica.

¿Qué muestra la pestaña API keys?

Arriba, el bloque Versión de la API: la organización queda fijada en la versión vigente cuando crea su primera API key, y cada API key conserva la suya. Así, cuando salga una versión nueva, lo que ya conectaste no cambia de un día para otro. Debajo están la tarjeta Correo y calendario conectados (más arriba, qué es) y, en un workspace, la de la Organización de práctica.

Encima de la tabla ves cuántas API keys activas tienes sobre el máximo de tu plan: si llegas al tope, revoca las que ya no uses (los cupos de cada plan están en Precios). Buscar por nombre encuentra una API key, y el filtro Activas y suspendidas / Todas decide si ves también las revocadas, rotadas y vencidas. De cada API key, la tabla muestra el Nombre con el comienzo de la API key, a quién representa (Actúa como), un resumen de sus Permisos, las Cuentas que alcanza (Solo este workspace o Solo esta Cuenta, Todas las Cuentas o cuántas), el Estado, el Último uso con el país desde donde se usó y cuándo Vence.

La columna Permisos muestra cuántos módulos alcanza la API key y en cuántos puede escribir. Debajo, en ámbar, lo sensible: Puede eliminar, Correo y calendario conectados, los permisos especiales (Puede revelar con el número de contraseñas, Edita agentes de IA en vivo y Crea agentes de IA) y la escritura en un módulo sensible; si no cabe todo en una línea, +N dice cuántos más hay. Haz clic en el resumen para ver, debajo de la fila, todos los permisos agrupados por área, como en el editor de la API key, y, si la API key todavía se puede editar, el botón Editar permisos. En la columna Nombre, junto al comienzo de la API key, Prueba marca las API keys de prueba y, en violeta, Agente de IA marca las API keys de un agente de IA: es una marca, no un permiso.

Si pasas el cursor por un estado que no es Activa, ves el motivo y qué hacer.

¿Cómo edito, roto, suspendo o revoco una API key?

Todo está en el menú Acciones de la fila (los tres puntos), y funciona también mientras la API y el MCP están apagados. Una API key Revocada o Rotada ya no se puede cambiar: su menú solo tiene Ver en el registro (y una de Prueba no tiene menú), y al hacer clic en la fila se abren sus permisos.

Al editar, Vencimiento arranca en Sin cambio, que conserva el vencimiento que la API key ya tenía, y Nunca se lo quita. Para extenderlo, o para que una API key Vencida vuelva a funcionar, elige un plazo nuevo —se cuenta desde ese día— o Nunca.

¿Por qué una API key quedó suspendida sola?

Por un uso sospechoso. Si una API key junta muchos pedidos rechazados en pocos minutos, o intenta entrar a organizaciones que no son la suya, MB Suite la suspende sola y avisa en las notificaciones a los owners y admins. Suele ser una integración mal configurada —una API key vieja en un script, un permiso que falta— o alguien que la usa sin permiso. Revisa qué pasó con Ver en el registro: si reconoces el problema y ya lo corregiste, Reactivar la vuelve a encender con los mismos permisos; si no la reconoces, revócala.

Porque la persona dejó la organización. La API key actúa como esa persona, así que depende de ella: si deja la organización, sus API keys quedan suspendidas, y si le cambian el rol o los permisos, quedan limitadas a los nuevos. Si la persona vuelve, puedes reactivarlas; si no, revócalas. Para que una integración no se corte cuando alguien se va, crea la API key a nombre de quien vaya a seguir a cargo.

Una API key le abre los datos de tu organización —contactos, empresas, tratos y actividades, las métricas de las plataformas que conectaste cuyos términos lo dejan (Google Ads, Business Profile, YouTube y TikTok no; de LinkedIn, solo los informes de tus cuentas publicitarias y páginas y los leads de tus formularios de Lead Gen, y solo por la API REST, no por el MCP) y, si activas Correo y calendario conectados, los correos y eventos vinculados al CRM; con los permisos especiales, también las contraseñas que elegiste de la Bóveda y las instrucciones de tus agentes de IA— a la herramienta donde la pegas, dentro de los permisos que le diste. Crea API keys solo para herramientas que controlas, con lo mínimo que necesitan, y revócalas cuando dejen de usarse. El uso de las API keys y el tratamiento de esos datos se rigen por nuestros Términos y Condiciones, nuestra Política de privacidad y nuestro Acuerdo de Tratamiento de Datos (DPA). Siguiente paso: Conectar Claude, ChatGPT o Cursor a MB Suite con el MCP.