Tokens: Mis tokens MCP y panel de administración¶

Además de OAuth, local_mcp 0.8.x permite que cada usuario cree un token personal desde Moodle, y da a los administradores un panel para ver y revocar todos los tokens del sitio. El valor del token nunca se guarda: Moodle solo conserva un hash SHA-256.

Mis tokens MCP (cada usuario)¶

Cualquier usuario identificado con local/mcp:managetokens (permitida por defecto al rol de usuario autenticado) puede abrir la página {wwwroot}/local/mcp/tokens.php.

Abre el menú de usuario y elige Preferencias. En Servidor MCP, abre Mis tokens MCP. El mismo enlace está también en el menú de usuario.
Escribe un nombre (hasta 255 caracteres).
Lectura va siempre incluida. Escritura y Admin solo aparecen si tus roles lo permiten. Escritura sale desactivada, con una explicación, mientras el sitio tenga la escritura apagada.
Elige la duración: 30, 90 o 365 días. Las opciones por encima del máximo del administrador no se muestran.
Crea el token. Moodle lo muestra una sola vez, con botón de copiar, la URL del servidor MCP, la cabecera Authorization: Bearer, un fragmento de mcp.json para Cursor y otro para Claude Desktop con npx mcp-remote. Copia lo que necesites antes de salir de la página.
La tabla Tus tokens muestra nombre, alcances, creación, último uso, caducidad, estado (Activo, Revocado, Caducado) y tipo. Revocar pide confirmación y corta el token al momento.

Aviso

Un token abre tus cursos con tus permisos. Guárdalo como una contraseña. Quien lo copie puede actuar como tú hasta que lo revoques.

Un token personal no tiene token de refresco. Cuando caduca, crea otro.

Panel de tokens del administrador¶

Administración del sitio → Extensiones → Extensiones locales → MCP tokens ({wwwroot}/local/mcp/admintokens.php).

Accesible para administradores del sitio (moodle/site:config) y para quien tenga local/mcp:admin en el contexto de sistema, como un gestor.
Lista todos los tokens MCP del sitio: tokens OAuth de acceso y de refresco y tokens personales. El valor nunca se muestra.
Filtra por usuario (nombre de usuario o id), estado (activo, revocado, caducado, todos) y tipo.
Revoca un token, todos los tokens de un usuario o todos los tokens del sitio. Cada acción pide confirmación.

Ajustes¶

Ajuste	Por defecto	Qué hace
Allow personal access tokens (`local_mcp/allowpersonal`)	activado	Permite a los usuarios crear tokens personales. Si se apaga, pueden seguir revocando los que ya tienen.
Maximum personal token lifetime (days) (`local_mcp/patmaxdays`)	365	Oculta las duraciones más largas. Se mantiene entre 30 y 365.

Desde la línea de comandos¶

cli/list_tokens.php muestra los tokens personales con el tipo personal y su nombre; cli/revoke_token.php --id=N revoca una fila. Consulta Comandos CLI.

Consulta también OAuth y tokens.