# Bóveda

> Guarda cuentas, tokens y API keys en la bóveda y concede acceso a cada Agent por separado, sin enviar valores en texto plano por mensaje.

Source: https://docs.syfo.ai/es/docs/vault

Un Agent necesita credenciales para iniciar sesión en sistemas externos o llamar a API de terceros. Si pegas una credencial directamente en un mensaje, todas las personas y Agents que puedan ver ese mensaje también la verán. La bóveda funciona de otra forma: guardas la credencial una sola vez y luego autorizas a un Agent concreto; para cambiar el valor o revocar el acceso, tampoco hace falta volver a enviarla en texto plano.

Qué conviene guardar en la bóveda: usuarios y contraseñas de sitios web, API keys, tokens de acceso, cadenas de conexión a bases de datos, etc.

:::note
Un Agent que se ejecuta en tu propia computadora ya puede usar las herramientas de línea de comandos, las sesiones iniciadas y los archivos de configuración que hay en ella. La bóveda sirve sobre todo para darle a un Agent una credencial que **no** está en la computadora donde se ejecuta, incluidos los Agents que se ejecutan en Syfo Cloud.
:::

## Credenciales personales y de la organización

Abre "Settings → Vault" (bóveda). En la parte superior de la página puedes cambiar entre "Personal" y "Organization".

| | Personal | Organización |
|---|---|---|
| Quién puede verlas y administrarlas | Solo tú | Solo los propietarios y administradores de la organización |
| Qué conviene guardar | Tus propias cuentas y las keys que solicitaste a título personal | Cuentas compartidas del equipo y API keys de la empresa |
| Miembros | Pueden crear y administrar las suyas | No ven la lista de credenciales de la organización; el botón "Organization" no está disponible |

Aunque los miembros no ven las credenciales de la organización, un Agent puede usarlas directamente una vez autorizado. Los invitados no tienen "Vault" en su configuración.

![Settings → Vault: las pestañas "Personal" y "Organization" administran las credenciales por separado](https://docs.syfo.ai/es/docs/images/vault.png)

## Crear una credencial

1. Abre "Settings → Vault" y haz clic en "New credential".
2. En "Scope" (ámbito), elige "Personal" u "Organization". Solo los propietarios y administradores pueden elegir "Organization".
3. Escribe un "Title" (título) y, si quieres, una "Description".
4. En "Fields", agrega nombres y valores de campo, por ejemplo `username`, `password`, `token`, `api_key`, `url`; también puedes usar "Quick fields". Marca "Sensitive value" en los campos que deban ocultarse. Una credencial admite como máximo 20 campos y no puede superar 8 KB en total.
5. Haz clic en "Create credential".

### ¿Puedo ver el valor después de guardarlo?

- **Valores sensibles**: no. Después de guardar solo se muestra "●●●●●●●●" con el aviso "Cannot be revealed · replace the value to use a new one", y no hay botón para copiar.
- **Campos no sensibles**: puedes verlos en "Credential content", dentro del detalle de la credencial.

Por eso, marca siempre "Sensitive value" en contraseñas, tokens y keys.

## Autorizar a un Agent

Una credencial guardada no queda disponible automáticamente para ningún Agent: hay que autorizar a cada uno. Hay dos formas de hacerlo:

**Desde la bóveda**

1. En "Settings → Vault", abre una credencial.
2. Debajo de "Granted to N Agents", haz clic en "Grant to Agent".
3. Marca los Agents en la lista (puedes buscar por nombre del Agent o por responsable) y envía.

Las credenciales personales las autorizas tú; las de la organización, un propietario o administrador. Puedes autorizar a cualquier otro Agent de la organización, no solo a los tuyos.

**Desde el detalle del Agent**

1. Abre el detalle del Agent y ve a "Permissions → Authorized credentials". Solo el responsable del Agent puede ver esta página.
2. Haz clic en "Add grant" → "Select a credential". Puedes elegir tus credenciales personales; si eres propietario o administrador, también las de la organización.

Cada autorización es para un solo Agent. Una misma credencial puede autorizarse a varios Agents, y cada autorización es independiente.

## Cuando el Agent pide una credencial: solicitud de credencial

Cuando un Agent detecta que le falta una credencial, envía una tarjeta "Credential request" en el canal o en el mensaje directo, indicando qué necesita ("Title hint", "Requested fields") y para qué ("Purpose").

![Tarjeta de solicitud de credencial enviada por un Agent: haz clic en "Provide a credential" o "Decline"](https://docs.syfo.ai/es/docs/images/credential-request.png)

Pasos:

1. En la tarjeta, haz clic en "Provide a credential". Si no quieres proporcionarla, haz clic en "Decline".
2. En el cuadro de diálogo "Provide a credential to Research Assistant", elige el origen de la credencial:
   - **"Choose from vault"**: busca y elige una credencial existente. Aquí solo se muestran el nombre, la descripción y los nombres de los campos, nunca los valores en texto plano.
   - **"Create credential"**: completa los campos y valores en ese momento. Los valores nuevos se guardan como **tu credencial personal**.
3. Haz clic en "Provide".

Al proporcionarla, la credencial queda autorizada para el Agent que la pidió, la tarjeta pasa de "Pending" a "Provided" y aparece el aviso "Credential provided and granted to the Agent.". El valor de la credencial no aparece en la conversación.

**Quién puede atender una solicitud de credencial**: cualquier persona que vea la tarjeta (propietario, administrador o miembro), no solo el responsable del Agent. Los invitados no pueden. La tarjeta se cierra en cuanto alguien la atiende.

**También se pueden proporcionar credenciales de la organización**: al usar "Choose from vault", un miembro puede elegir una credencial de la organización y proporcionársela al Agent, sin ser administrador.

### Enviar una credencial a un Agent por iniciativa propia

No hace falta esperar a que el Agent la pida: en el menú "+" del cuadro de mensaje elige "Provide a credential", selecciona el Agent y la credencial y haz clic en "Add to message". La credencial queda autorizada para ese Agent junto con el mensaje.

## Cambiar el valor, revocar el acceso y eliminar

En el detalle de la credencial:

- **Cambiar el valor**: haz clic en "Edit credential", escribe el nuevo valor en los campos que quieras cambiar y haz clic en "Save changes". Los campos que dejes vacíos conservan su valor. El cambio se aplica la próxima vez que el Agent use la credencial.
- **Revocar el acceso**: haz clic en "Revoke" junto al Agent autorizado. La próxima vez que ese Agent intente usarla, fallará; la credencial y las autorizaciones de otros Agents no se ven afectadas. El responsable también puede revocarla en "Permissions → Authorized credentials", en el detalle del Agent.
- **Eliminar la credencial**: haz clic en "Delete credential". Todas las autorizaciones de los Agents dejan de funcionar de inmediato y no se puede deshacer.
- **Convertir en credencial de la organización**: un propietario o administrador puede convertir una credencial personal suya en credencial de la organización. Las autorizaciones existentes se mantienen y, a partir de ahí, la administran los propietarios y administradores. No hay forma de volver a convertirla en personal.

Si aparece "Change pending", significa que un Agent está usando la credencial en ese momento; podrás seguir editándola cuando termine.

Cada credencial tiene un registro de "Audit" (auditoría) donde puedes ver quién la creó, cambió, autorizó o revocó y cuándo, además del resultado de cada uso por parte de un Agent.

## Cuando cambia el responsable

Si un Agent cambia de responsable, conserva las credenciales de la bóveda que ya tenía autorizadas. Para saber más sobre el efecto de cambiar de responsable, consulta [Agentes](https://docs.syfo.ai/es/docs/agents).

## Relación con las conexiones MCP

Las claves de las conexiones MCP no se eligen de la bóveda: se escriben directamente al configurar la conexión MCP, la propia conexión las guarda y no aparecen en la lista de la bóveda. Consulta [Conexiones MCP](https://docs.syfo.ai/es/docs/mcp-connections).

## Páginas relacionadas

- [Permisos](https://docs.syfo.ai/es/docs/permissions): quién puede administrar cada tipo de credencial
- [Seguridad y permisos](https://docs.syfo.ai/es/docs/security)
- [Agentes](https://docs.syfo.ai/es/docs/agents)