SMOC ya es una API: MCP, REST y escrituras opcionales

Escrito por: Kristoffer Kvam
September 11, 2026

Ahora, una única capa de invocación a nivel de empresa impulsa dos superficies: los clientes de IA usan MCP, las canalizaciones usan REST v2 y el endpoint de contactos heredado permanece. Las claves predeterminadas son de solo lectura. Marca Permitir escrituras limitadas al crear una clave, y las mismas herramientas podrán actualizar contactos, listas y etiquetas, así como enviar una respuesta de texto a la bandeja de entrada.

Qué se ha lanzado

SMOC ya contaba con un servidor MCP HTTP transmitible en el mismo worker que la API pública. Cada herramienta de dominio se puede llamar de dos maneras:

MCP en https://api.smoc.ai/mcp para Claude, Cursor, VS Code y otros clientes MCP
REST v2 en POST /api/v2/{toolName} con el mismo cuerpo JSON

La política, la tenencia, los límites de velocidad, la confirmación y la idempotencia se ejecutan una sola vez. Una escritura bloqueada en MCP también se bloquea en REST.

GET /api/company/mongocontact no cambia. Las claves de Zapier siguen siendo de solo lectura y mantienen la misma ruta, cabecera token y formato de respuesta.

Qué puedes leer

Las claves de cliente cubren la empresa, no solo los contactos:

Contactos, estadísticas, etiquetas y listas de prospectos
Perfil de empresa, activos y estado de rastreo CPCS
Catálogo de Studio — versiones, temas, portfolios de segmentación, trabajos de generación y traducción
Analítica de flujos
Hilos de bandeja de entrada de LinkedIn y conversaciones de flujo de mensajes

Un token de cliente no puede seleccionar otra empresa. Las claves de superusuario siguen pasando companyId cuando es necesario.

Qué pueden hacer las claves con permisos de escritura

Crea la clave en Ajustes → Integraciones → MCP o API y marca Permitir escrituras limitadas. Las claves existentes de solo lectura no obtienen permisos de escritura hasta que crees una nueva con esa casilla marcada.

Contactos y listas

Crear o actualizar un contacto
Crear o renombrar una etiqueta, asignarla o desasignarla
Crear o renombrar una lista de prospectos, añadir o eliminar un contacto

Empresa y rastreo

Actualizar campos del perfil de empresa
Actualizar los datos básicos de los activos de la empresa
Añadir una URL CPCS para rastrear

Metadatos de Studio

Renombrar un diagrama de flujo
Actualizar el estado de una recomendación (aplicar / rechazar — no publicar)

Bandeja de entrada

Archivar un hilo, marcarlo como no leído o marcar como gestionado sin respuesta
Enviar una respuesta solo de texto con inbox_threads_send

Para enviar se necesita threadId, body y idempotencyKey. La clave debe poder cargar ese hilo primero; si falta o pertenece a otra empresa, devuelve no encontrado. Los reintentos con la misma clave no envían dos veces. El límite es de 10 envíos por minuto. Sin archivos adjuntos.

Qué sigue sin estar disponible para claves de cliente

Tener permisos de escritura no significa ser administrador total.

Las claves de cliente aún no pueden:

Eliminar contactos, etiquetas, listas, empresas o activos
Publicar un flujo o activarlo en vivo (flowcharts_set_active)
Crear o duplicar un diagrama de flujo
Cambiar la segmentación
Iniciar trabajos que consumen créditos (generación, cambios en la programación de rastreo)
Iniciar una campaña de prospección en LinkedIn

Eso sigue siendo solo para superusuarios. Esa es la línea entre "tu IA puede trabajar en tu empresa" y "tu IA puede poner el producto en producción".

Cómo elegir

Zapier / sincronizaciones existentes: mantén GET /api/company/mongocontact
Canalizaciones y scripts: POST /api/v2/{toolName} (Bearer o token)
Clientes de IA: MCP, luego skills_search si el nombre de la herramienta no es obvio

OpenAPI está en GET /api/v2/openapi.json.

Cómo activar las escrituras

Console → Ajustes → Integraciones → MCP (o API).
Genera una clave. Marca Permitir escrituras limitadas.
Cópiala una vez. Guárdala como cualquier otro secreto.
Apunta el cliente a https://api.smoc.ai/mcp con Authorization: Bearer <key>, o llama a POST /api/v2/{toolName}.
Pide al cliente que ejecute whoami, luego mcp_capabilities. La lista de capacidades te indica qué escrituras puede ver esa clave.

Si falta una herramienta, mcp_capabilities nombra el permiso. El envío en la bandeja de entrada necesita inbox:write en una clave con permisos de escritura. Las claves antiguas sin permisos para la bandeja de entrada necesitan rotación.

Por qué este formato

Abrimos primero las lecturas para que Claude y Cursor pudieran ver la empresa sin una segunda API. Abrimos las escrituras solo donde un error es recuperable: una etiqueta, la pertenencia a una lista, una URL de empresa, una respuesta de texto con clave de idempotencia.

No abrimos publicar, activar en vivo, eliminar ni enviar campañas. Eso consume créditos o cambia lo que ven los prospectos. Eso sigue detrás de una persona en Console — o un token de superusuario.

Las mismas herramientas están en REST v2, así que un script y un cliente MCP no pueden divergir.