Permitir que una aplicación se conecte
Comprueba la identidad y los permisos de una aplicación antes de darle acceso, y revócalo cuando lo necesites.
Un token personal funciona bien para un script que controlas tú. OAuth es más seguro para una aplicación hecha por otra persona: la aplicación le pide acceso a Ebbe, tú revisas la petición, y tu contraseña no se comparte nunca con ella.
La pantalla de consentimiento
Llegas aquí porque te ha mandado un programa. Lee cuatro cosas antes de pulsar Permitir.
El nombre. Es como se haya llamado la aplicación a sí misma. No está verificado y no puede estarlo — cualquiera puede decir que es cualquier cosa. Trátalo como una etiqueta, no como una prueba.
El origen. Para una aplicación que se identifica mediante una dirección publicada, Ebbe enseña el host del que se obtuvo esa dirección. Este sí es una prueba: el DNS y TLS lo avalan, y un impostor puede copiar un nombre pero no servir desde el host de otra persona. Si un nombre y un origen no encajan —una aplicación que se llama como algo conocido, servida desde un host del que no has oído hablar nunca—, ese desencaje es todo el aviso.
El host de redirección. Adonde se te devolverá después. La especificación exige que se enseñe, y el motivo es que es adonde iría un código de autorización.
Un aviso de bucle local, si la redirección va a tu propia máquina. Eso es normal en una herramienta de escritorio o de línea de comandos, y lleva una salvedad inevitable: cualquier programa de la máquina podría haber ocupado ese puerto y haberse hecho pasar por el que pretendías. Está bien si acabas de arrancar la herramienta tú; merece una pausa si no.
Después, los permisos, como interruptores. Leer se concede siempre y no se puede desactivar — una conexión que no puede hacer absolutamente nada no es una conexión. Escribir puedes rechazarlo permitiendo lo demás, y la aplicación recibe exactamente lo que quede activado, que puede ser menos de lo que pidió.
Debajo, la cuenta en cuyo nombre actuaría, para que veas que has iniciado sesión como quien crees.
Denegar es una respuesta de verdad, y es la correcta siempre que algo de lo anterior no cuadre.
Qué puede hacer después
Solo lo que hayas permitido. Nunca tu contraseña, nunca tu dirección, nunca tu cuenta, nunca nada administrativo — la misma lista cerrada que un token personal.
Su acceso caduca cada hora y se renueva automáticamente en segundo plano mientras dure la conexión, que son treinta días de uso. Deja de usarla y decae por su cuenta.
Cómo salir
Cuenta → Acceso API → Aplicaciones conectadas. Una fila por conexión: cómo se llama, qué puede hacer, si es para la API o para MCP, y cuándo se lo permitiste.
Quitar el acceso lo revoca al momento — no al terminar la hora, ni «dentro de un día». Lo siguiente que intente esa aplicación deja de funcionar.
Una marca señala una aplicación registrada automáticamente en lugar de haber sido introducida por un administrador. Eso te ayuda a distinguir los datos aportados automáticamente de las entradas creadas por el operador.
Al revocar no se elimina nada. Tu presupuesto queda intacto; solo estás retirando el permiso para acceder a él.
Si no aparece nada
La sección no aparece siquiera cuando no has conectado nunca nada, que es el estado normal. Si esperabas ver algo y no lo ves, lo más probable es que la autorización nunca llegara a completarse — vuelve a la aplicación e inténtalo otra vez.