La capa de recuperación de la IA
más allá de los límites de cada sistema
Lo que la IA vio en cualquier decisión llega a través de la capa de conectores. Microsoft Graph, SharePoint, el servidor MCP, el sidecar de cronogramas, el correo entrante, los webhooks salientes, el gestor de integraciones OAuth. Aislado por organización, y cada llamada de la IA a una herramienta queda registrada con su entrada, su resultado y la persona detrás.
La capa de recuperación detrás de las decisiones de la IA
El modelo de decisión de tres zonas de Onplana (consulta el artículo completo (en inglés)) aplica en la zona de acción y propone en la zona de sugerencia. En cada decisión, la IA razona sobre un contexto, y la mayor parte de ese contexto no está en la base de datos de Onplana. Los conectores son la vía por la que llega.
Cada llamada de la IA a una herramienta, desde el asistente de la aplicación o un agente conectado, queda registrada con la herramienta, su entrada, su resultado, la persona y la hora. Los propietarios y administradores de la organización leen esos registros desde el plan Enterprise en la página Audit Logs, en Agent Activity. No se guardan el prompt completo ni el contexto que recuperó el modelo, así que el registro muestra lo que hizo la IA, no todo lo que leyó.
Todos los conectores siguen la misma postura: OAuth donde el sistema de origen lo exige (Microsoft Graph, SharePoint, nubes de archivos de terceros), PAT para clientes programáticos (MCP, API REST, webhooks), aislamiento por organización desde el alta, de modo que un token de la organización A no puede leer ni escribir en la B, y cada llamada de la IA a una herramienta a través de ellos queda registrada.
Siete conectores disponibles hoy
Dirección, autenticación, plan y qué hace cada uno. La lista de integraciones crece según la demanda de los clientes; los proveedores con mucha coincidencia van primero.
Servidor MCP
El catálogo de herramientas de Onplana expuesto con el Model Context Protocol. Claude Desktop, Cursor, Goose, Continue y cualquier otro cliente compatible con MCP puede conectarse y usar 346 herramientas tipadas (leer proyectos, crear tareas, registrar horas, consultar riesgos, ejecutar revisiones de gobierno). Las mismas restricciones y el mismo registro que el chat de la aplicación.
Autenticación: OAuth 2.1 con Dynamic Client Registration (RFC 7591) o Personal Access Token
Microsoft Graph (M365)
OAuth por usuario a Microsoft Graph para correo (Mail.ReadWrite), calendario (Calendars.ReadWrite), publicaciones en canales de Teams (ChannelMessage.Send), archivos (Files.ReadWrite) y personas (User.Read). Las funciones de IA lo usan para resumir un hilo, programar una reunión con las partes interesadas, publicar actualizaciones de estado en canales de Teams y adjuntar documentos de SharePoint a tareas.
Autenticación: OAuth por usuario, los tokens se renuevan con lib/oauthTokens.ts, invalid_grant marca revokedAt
Sitios de SharePoint + bibliotecas de documentos
Explora los sitios de SharePoint a los que la persona tiene acceso y adjunta documentos de SharePoint a tareas o proyectos sin copiarlos en Onplana. Modo vinculado (el archivo sigue en SharePoint y Onplana guarda el enlace). La integración muestra además los metadatos del documento en el espacio de trabajo del proyecto.
Autenticación: Hereda el ámbito OAuth del usuario en Microsoft Graph
Webhook de correo entrante (buzón del proyecto)
Cada proyecto tiene una dirección de correo entrante. Reenvíale un correo y se convierte en una tarea nueva, con el asunto como título y el cuerpo como descripción. Una respuesta al correo de una tarea llega como comentario en esa tarea, y una palabra de estado en su primera línea puede mover la tarea. Los adjuntos no se guardan. Las peticiones de las partes interesadas no se quedan en los buzones esperando a que alguien las clasifique a mano.
Autenticación: Webhook público en /api/inbound-email, asociado al proyecto por la dirección entrante
Sidecar de cronogramas (importación de .mpp / .xml / .xer)
Sube un archivo de Microsoft Project (.mpp, .mpx, .xml de MSPDI, .xer de Primavera) y el sidecar basado en MPXJ lo convierte en el árbol de tareas de Onplana: tareas, dependencias (FS/SS/FF/SF + posposición), ExtendedAttributes como campos personalizados, línea base + coste planificado (de MSPDI). Después, la detección de riesgos con IA se ejecuta sobre el cronograma importado.
Autenticación: Subida en la aplicación (multer, límite de 50 MB) o la versión pública gratuita en /tools/schedule-health-check
Webhooks salientes
Eventos de proyectos, tareas, comentarios, miembros y migraciones (project.created, task.status_changed, comment.created, migration.completed y más). Cargas firmadas con HMAC-SHA256, reintentos con espera progresiva e historial de entregas por endpoint. Conecta Onplana a Zapier, n8n, tu propia canalización ETL o tu runbook de respuesta a incidentes.
Autenticación: Secreto por webhook, cabecera de la carga firmada (X-Webhook-Signature)
Gestor de integraciones OAuth
La interfaz de administración de la organización para conectar servicios de terceros (Google Drive, Microsoft 365 con OneDrive y SharePoint, Box y Dropbox). El ciclo de vida de los tokens pasa por lib/oauthTokens.ts: renovar cuando caducan, revocar al desconectar, marcar como inválidos ante invalid_grant. Desconectar es suave (la fila se conserva y se vacían sus tokens), no un borrado definitivo.
Autenticación: Permiso de organización (org.integration.manage, ADMIN o superior por defecto)
Microsoft Planner: conserva Planner y añade el portafolio
Business+Los equipos siguen trabajando en Planner. Vincula sus planes a un portafolio de Onplana en un solo paso, y cada plan se convierte en un proyecto que una suscripción de Microsoft Graph mantiene al día: un cambio en Planner hace que Onplana vuelva a leer el plan y recalcule el progreso y las fechas del proyecto.
- Un estado para cada plan, a partir de las propias fechas y el porcentaje completado de Planner. Un plan sin fechas figura como sin valorar.
- Dependencias entre tareas de planes distintos, elegidas desde el portafolio y dibujadas en su línea de tiempo.
- Hitos retrasados, dependencias en riesgo e incidencias y riesgos abiertos de todos los planes, cada fila enlazada al elemento.
- En Integraciones aparecen los planes vinculados con su última sincronización, «Sincronizar ahora» y «Desvincular». Planner es el dueño de los campos de las tareas; Onplana no escribe de vuelta.
Autenticación: la conexión de Microsoft de quien vincula, con los permisos Tasks y Groups; cada notificación de cambio se comprueba con un secreto guardado por suscripción.
Conserva Planner. Añade el portafolio.Autenticación + seguridad
Tres piezas que se mantienen igual en todos los conectores.
Credenciales en Key Vault
Los secretos de cliente de Onplana para terceros (Microsoft, Google, hCaptcha, Stripe, etc.) están en Azure Key Vault y el equipo de operaciones los rota aparte. Los tokens OAuth de cada usuario se guardan cifrados en filas OauthConnection.
Tokens aislados por organización
Cada PAT y cada token OAuth pertenece a una sola organización desde el alta. Las llamadas de los conectores no pueden cruzar los límites de una organización porque el organizationId está ligado a la fila del token y nunca se lee de una cabecera de la petición.
Un registro en cada llamada de la IA
Cada llamada de la IA a una herramienta a través de un conector escribe su registro: la herramienta, su entrada, su resultado, la persona y la hora. Los webhooks salientes añaden una fila WebhookDelivery con el cuerpo completo de la petición y la respuesta + los tiempos. El correo entrante pasa por el historial normal de tareas y comentarios.
Lo que los conectores no hacen
La lista honesta de esta capa.
Enviar correo en tu nombre
El correo de Outlook es solo borrador: una IA escribe el borrador en tu propio buzón y tú lo revisas y lo envías. Una publicación en un canal de Teams no tiene borrador, así que la herramienta no publica sin una confirmación explícita, y el agente de la aplicación no puede publicar. Los webhooks salientes se disparan con los eventos a los que te suscribiste.
Cruzar los límites de una organización
Un PAT o un token OAuth dado de alta en la organización A no llega a los datos de la B. Quien pertenece a varias organizaciones conecta cada una por separado. Se impone en el servidor, en la fila del token, no en la cabecera de la petición.
Saltarse las restricciones del plan
El acceso a los conectores sigue el plan de la organización: el servidor MCP, el correo entrante y el correo, el calendario y Teams de Microsoft Graph están en todos los planes, incluido el gratuito, los enlaces a archivos de SharePoint y OneDrive desde el plan Professional y los webhooks salientes desde el plan Business. La restricción está en el servidor; un cliente MCP puede autenticarse, pero las llamadas que superan el plan devuelven 402 con el camino para mejorarlo.
Ejecutar trabajo autónomo de varios pasos entre sistemas
Los conectores exponen funciones; el chat de la aplicación y los agentes externos las usan llamada a llamada. Los flujos de agentes de varios pasos que planifican y ejecutan a lo largo de muchas llamadas pertenecen a la capa de agentes.
Preguntas frecuentes
¿Cómo se guardan las credenciales de los conectores?
En dos capas. Los secretos propios de Onplana (claves de API de Anthropic, endpoints de Azure OpenAI, secretos de cliente OAuth de terceros, credenciales SMTP, hCaptcha, Stripe, etc.) están en Azure Key Vault y el equipo de operaciones los rota aparte. Los tokens OAuth de cada usuario (sus tokens de acceso y renovación de Microsoft Graph) están en filas OauthConnection marcadas con la organización, cifrados y renovados automáticamente cuando caducan. Desconectar es una revocación suave: la fila se conserva y se vacían sus tokens.
¿Puede un conector cruzar los límites entre inquilinos?
No. Cada llamada de un conector está ligada a una sola organización. Las llamadas desde la aplicación pasan por el mismo middleware withOrganization que la API REST, así que cada consulta lleva el organizationId. Un PAT o un token OAuth pertenece a una organización desde el alta, así que las llamadas de un agente conectado toman la organización del token, nunca de una cabecera de la petición. Quien pertenece a varias organizaciones conecta cada una por separado.
¿Qué contiene el registro de una llamada de un conector?
Cada llamada de la IA a una herramienta a través de un conector queda registrada con la herramienta, su entrada, su resultado, la persona y la hora, y se lee en la página Audit Logs, en Agent Activity. Los webhooks salientes escriben además en WebhookDelivery, con el cuerpo completo de la petición y la respuesta y los tiempos. El correo entrante escribe a través del historial normal de tareas y comentarios. Un revisor lee el registro sin conexiones adicionales.
¿En qué se diferencia el servidor MCP de la API REST?
Las mismas funciones, otro protocolo. El servidor MCP habla Streamable HTTP (el estándar de transporte de MCP) y responde a la llamada MCP tools/list con un catálogo de herramientas tipadas, así que los clientes de agentes compatibles con MCP descubren solos las acciones de Onplana. La API REST habla HTTP+JSON y está documentada en /api/openapi.json. Usa MCP desde una sesión de Claude Desktop o Cursor; usa REST desde un script de backend. Ambos llaman a los mismos manejadores, con las mismas restricciones y el mismo registro.
¿Puedo pedir un conector nuevo que Onplana incluya?
Hoy la lista de conectores es la de arriba. El gestor de integraciones + la renovación OAuth son reutilizables; el cuello de botella es la configuración OAuth de cada proveedor + las definiciones de herramientas. El equipo de Onplana recibe solicitudes de integración en hi@onplana.com; los proveedores con mucha coincidencia de clientes (p. ej., Atlassian, ServiceNow, Salesforce) tienen prioridad.
¿Por qué el sidecar de cronogramas está entre los conectores?
Porque sale FUERA del modelo de datos de Onplana para leer un formato de archivo ajeno. El sidecar MPXJ en Java (una aplicación de contenedor aparte) lee .mpp / .xml / .xer, devuelve la estructura leída por HTTP y la canalización de importación de Onplana la escribe en el árbol del proyecto. Es un conector al mundo de los archivos de Microsoft Project, igual que la integración con SharePoint es un conector al mundo de las nubes de documentos.
Sigue por el área de IA
Los conectores son una de tres capas. Las otras dos tratan las funciones de IA del producto y el trabajo de agentes en varios pasos.
Estás aquí: Conectores
La capa de recuperación de la IA más allá de los límites de cada sistema.
Colaboración
Personas + agentes de IA en un mismo equipo: asigna trabajo a la IA, colabora en los comentarios de las tareas, aprueba los borradores.
Leer másIA nativa
La zona de acción: la IA aplica directamente. Borrador de plan, lenguaje natural, borrador de estado, preguntas al portafolio, recomendaciones.
Leer másAgentes
El modelo de la zona de sugerencia, proponer y aprobar: alertas de riesgo, cambios de recursos, calendarios sugeridos.
Leer másMira los conectores en tu organización
Regístrate gratis, conecta Microsoft Graph o sube un archivo .mpp en dos minutos y mira cómo las funciones de IA empiezan a traer contexto de tus herramientas.