Cómo configurar OpenConnector en un día: OAuth seguro para agentes IA

Darle tus contraseñas a un agente de IA es una locura. Pero todo agente que lee tu email, actualiza tu Notion o gestiona tus tickets necesita acceso a tus cuentas. Esa entrega de contraseñas y API keys en crudo al proceso del agente es el problema que arrastra cada demo que has visto.

OpenConnector es la alternativa open-source. Un gateway que se interpone entre el agente y tus credenciales: el agente nunca ve tus secrets, solo recibe resultados de ejecución.

Qué es

Un connector gateway que conecta 1.000+ proveedores SaaS a agentes de IA. Alternativa open-source a Pipedream y Composio. Maneja OAuth, API keys, credenciales custom y proveedores sin auth. Todo detrás de una frontera inspeccionable.

El agente descubre acciones, consulta esquemas y ejecuta a través del gateway. Tus secrets se quedan dentro del runtime. El agente recibe metadatos, etiquetas seguras de cuenta y resultados.

1. Despliegue

La forma más rápida es Docker Compose:

docker compose up

Esto descarga ghcr.io/oomol-lab/open-connector:latest y arranca el runtime. Si prefieres construir desde source:

docker compose -f docker-compose.yml -f docker-compose.build.yml up --build

Abre el console y la referencia de API:

• http://localhost:3000 — Web Console
• http://localhost:3000/docs — API reference

Verifica que el runtime funciona con una acción sin auth:

curl -s -X POST http://localhost:3000/v1/actions/hackernews.get_top_stories \
  -H 'content-type: application/json' \
  -d '{"input":{}}'

2. Conecta un proveedor

GitHub es el ejemplo más simple porque usa personal access token:

curl -s -X PUT http://localhost:3000/api/connections/github \
  -H 'content-type: application/json' \
  -d '{"authType":"api_key","values":{"apiKey":"github_pat_..."}}'

Ahora ejecuta una acción contra esa conexión:

curl -s -X POST http://localhost:3000/v1/actions/github.get_current_user \
  -H 'content-type: application/json' \
  -d '{"input":{}}'

Para OAuth2 (Gmail, Notion, Slack) necesitas registrar OAuth apps en cada proveedor y configurar client credentials. El gateway maneja token refresh automáticamente.

3. Conecta tu agente

Cinco caminos, todos llegan al mismo gateway:

SDK — Cliente TypeScript para código de aplicación:

import { OpenConnector } from "@oomol/connector-sdk";
const oc = new OpenConnector("http://localhost:3000");

CLI — oo connector como relay local para agentes. Busca, inspecciona y ejecuta acciones desde el terminal.

MCP — Expone las acciones a agent hosts compatibles vía http://localhost:3000/mcp. Si usas Claude Code, Cursor o cualquier agente con soporte MCP, apuntas ahí y listo.

HTTP / OpenAPI — Llama /v1/actions/* directamente o consulta /openapi.json para integraciones custom.

Web Console — Dashboard local para navegar conectores, configurar credenciales, crear tokens de runtime y inspeccionar uso.

4. MCP: el camino más rápido para Claude Code

Si usas Claude Code o cualquier agente con MCP, este es el camino más corto:

1. Arranca OpenConnector con docker compose up
2. Conecta tus proveedores desde la Web Console
3. Añade el endpoint MCP a tu config de agente: http://localhost:3000/mcp
4. Tu agente ahora ve todas las acciones disponibles como herramientas MCP

El agente nunca toca tus credenciales. Llama una acción, el gateway ejecuta con tus secrets, devuelve el resultado.

5. Opciones de despliegue

No tienes que quedarte en Docker local. Cuatro opciones:

Self-hosted — Docker o Node.js con SQLite o PostgreSQL. Para equipos que quieren control total.

Cloudflare Workers — Workers + D1 + R2 + Static Assets. Para despliegue ligero hosted. Hay video tutorial que sigue el flujo completo.

Fly.io — Runtime Docker hosted con SQLite en volumen o PostgreSQL externo. TLS y health checks incluidos.

OOMOL hosted — OAuth apps gestionados, credits mensuales incluidos. Para empezar rápido sin configurar OAuth apps tú mismo. Los provider IDs y action IDs son los mismos que en self-hosted, así que puedes migrar después.

Qué controlas

El gateway mantiene todo dentro de un runtime inspeccionable:

• Credenciales — API keys, OAuth2, custom. Nunca salen del runtime
• Scopes — Define qué acciones puede ejecutar cada conexión
• Tokens de runtime — Tokens temporales para agentes, revocables
• Políticas allow/block — Bloquea acciones específicas por conexión
• Run logs — Registro de cada ejecución, con secrets redactados
• Transit files — Archivos temporales con almacenamiento local o S3-compatible

Lo que no es

No es un agente. Es infraestructura entre el agente y tus apps. No genera prompts, no razona, no decide qué hacer. Solo ejecuta acciones de forma segura cuando el agente las pide.

Tampoco es un sustituto de OAuth apps. Si despliegues self-hosted, necesitas registrar tus propias OAuth apps en cada proveedor. Si no quieres hacer eso, usa OOMOL hosted.

·