---
title: Administrar túneles en la Console
url: https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/console
description: Crea túneles, registra certificados de CA, obtén el token del túnel y adjunta servidores MCP tunelizados a agentes desde la Claude Console.
---
Los "MCP tunnels" (túneles de MCP) están en "research preview" (vista previa de investigación). [Solicita acceso](https://claude.com/form/mcp-tunnels) para probarlos.
Esta página cubre el lado de la Console de un despliegue de túneles MCP: crear un túnel, registrar tu certificado de CA, obtener el token del túnel y adjuntar los [servidores MCP upstream](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#components) a un agente. [Desplegar túneles MCP con Helm](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/deploy-helm) y [Desplegar túneles MCP con Docker Compose](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/deploy-compose) cubren la ejecución del [tunnel stack (pila del túnel)](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#components) dentro de tu red.
## Requisitos previos
* **Uno o más servidores MCP** ejecutándose en tu red privada. El túnel enruta el tráfico hacia ellos; no los aloja. Consulta [Servidores MCP remotos](https://platform.claude.com/docs/es/agents-and-tools/remote-mcp-servers) para ver ejemplos que puedes desplegar.
* **Un rol de la Console con el permiso Manage tunnels (Administrar túneles)**, para que puedas crear y archivar túneles, rotar el token y administrar certificados. Los administradores y propietarios de la organización lo tienen de forma predeterminada; los roles personalizados y las concesiones por cuenta también pueden incluirlo. Los roles que no lo tienen cuentan con acceso de solo lectura a la página **MCP tunnels** y a los detalles del túnel.
* **Una forma de que tu pila se autentique ante la Tunnels API.** Elige una:
* **[Acceso programático](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) (recomendado).** Configura [Workload Identity Federation](https://platform.claude.com/docs/es/manage-claude/workload-identity-federation) durante la creación del túnel para que tu pila emita tokens de API de corta duración desde tu proveedor de identidad, obtenga el token del túnel y genere y registre un certificado de CA automáticamente. Requiere permiso para administrar reglas de federación, un emisor OIDC registrado y una regla de federación con el alcance `workspace:manage_tunnels`.
* **[Manual](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#credential-provisioning).** Omite el acceso programático. Después de crear el túnel, [obtén el token del túnel](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/console#get-the-connection-details), genera y [registra un certificado de CA](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate) tú mismo, y proporciona el token y tu certificado de servidor a tu pila del túnel como secretos.
## Crear un túnel
En la Claude Console, ve a la página [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Los túneles tienen alcance de workspace (espacio de trabajo); el nuevo túnel pertenece al workspace seleccionado actualmente en la Console. Selecciona el workspace que quieras en el selector de workspace de la barra lateral.
Haz clic en **New tunnel** e ingresa un nombre en el diálogo **Create tunnel**. El nombre es obligatorio e identifica el túnel en la lista, en la página de detalles y en el selector de servidores MCP del agente. Se asigna automáticamente un dominio con la forma `abcd1234.tunnel.anthropic.com`.
Si tu rol puede administrar reglas de federación, aparece un interruptor **Set up programmatic access** (desactivado de forma predeterminada). Si no, la Console muestra un aviso en su lugar y tu pila del túnel usa el flujo manual. El resto del flujo de creación es el mismo en ambos casos.
El acceso programático depende de [Workload Identity Federation](https://platform.claude.com/docs/es/manage-claude/workload-identity-federation); lee esa página primero si no estás familiarizado con los emisores de federación, las reglas y las cuentas de servicio. Para activar el interruptor necesitas:
1. **Un emisor OIDC registrado** para el proveedor de identidad desde el cual tu pila presenta tokens (como un clúster de Kubernetes, AWS IAM, Google Cloud o GitHub Actions). Registra uno en la pestaña **Issuers** de la página [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) en la Claude Console si tu organización no tiene uno.
2. **Una regla de federación con el alcance `workspace:manage_tunnels`.** Al activar el interruptor se muestra un selector **Federation rule**. Elige una regla existente con ese alcance, o haz clic en **Create federation rule** para crear una en línea.
3. **La cuenta de servicio de la regla agregada a este workspace.** La Tunnels API autoriza según las membresías de workspace de la cuenta de servicio. Si estás creando el túnel en un workspace distinto del predeterminado de la organización, [agrega la cuenta de servicio a ese workspace](https://platform.claude.com/docs/es/manage-claude/workspaces#role-inheritance) y pasa el ID del workspace al momento del despliegue (`api.wif.workspaceId` para Helm, `ANTHROPIC_WORKSPACE_ID` para Compose).
Omitir este paso está totalmente soportado; ambas guías de despliegue tienen una pestaña **Without programmatic access** (Sin acceso programático).
Haz clic en **Create tunnel**. La Console aprovisiona el túnel y abre la página de detalles.
Ambas rutas de despliegue necesitan:
* El **ID del túnel** (`tnl_...`), que se muestra en la página de detalles del túnel.
* El **dominio del túnel** (`abcd1234.tunnel.anthropic.com`), que se muestra en la página de detalles del túnel. Se usa como el `tunnel_domain` del proxy y en el SAN del certificado de servidor.
Lo demás que necesitas depende del [modo de aprovisionamiento de credenciales](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#credential-provisioning):
| Con acceso programático | Sin acceso programático |
| -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| El **ID de la regla de federación** (`fdrl_...`) de la regla que seleccionaste. La regla es de nivel de organización y no se almacena en el túnel; encuéntrala en la pestaña **Rules** de la página [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) (`platform.claude.com/settings/workload-identity-federation?tab=rules`) en la Claude Console. | El **token del túnel**, que se revela con el ícono de ojo junto a **Token** en la página de detalles. Trátalo como un secreto. Consulta [Obtener los detalles de conexión](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/console#get-the-connection-details). |
| El **ID de la organización** (un UUID), que se muestra en la página [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) en la Claude Console. | Un **certificado de CA** que generas y [registras en el túnel](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate). |
Con acceso programático, tu pila obtiene el token del túnel a través de la Tunnels API, genera la CA y el certificado de servidor localmente (la clave privada nunca sale de tu entorno) y registra solo el certificado público de la CA con Anthropic. Sigues siendo responsable de proteger las claves privadas y de renovar el certificado de servidor antes de que expire.
Tu organización puede tener hasta 10 túneles activos. Crear un túnel no establece ninguna conectividad; eso ocurre una vez que tu pila se conecta con el token del túnel y se registra un certificado de CA.
## Obtener los detalles de conexión
Abre el túnel. La página de detalles muestra una sección **Connection** con el dominio y el token, y una sección **Certificates**.
| Campo | Descripción |
| ---------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Domain** | Copia el valor `abcd1234.tunnel.anthropic.com` asignado. Las rutas de tu proxy son subdominios de este dominio. |
| **Token** | Haz clic en el ícono de ojo (**Show token**) para obtener el token del túnel, luego usa el ícono de copiar para copiarlo en el almacén de secretos de tu pila del túnel. Haz clic en **Rotate token** para invalidar el token actual y emitir uno nuevo. |
Cada revelación y rotación se registra en el registro de actividad de la [Compliance API](https://platform.claude.com/docs/es/manage-claude/compliance-api) de tu organización. La rotación no corta las conexiones de cloudflared que ya están establecidas, por lo que puedes rotar, volver a desplegar con el nuevo valor y dejar que las conexiones antiguas se drenen.
## Agregar un certificado de CA
Anthropic verifica el [TLS interno](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#components) hacia tu [proxy](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/concepts#components) contra los certificados de CA que registras en el túnel. Un túnel sin certificados activos no puede aceptar conexiones y no aparece en el selector de servidores MCP del agente hasta que se registre uno.
En la página de detalles del túnel, desplázate hasta la sección **Certificates** y haz clic en **Add certificate**.
Haz clic en **Choose file** para seleccionar un archivo `.pem`, `.crt` o `.cer`, arrastra el archivo al área de texto o pega el bloque PEM directamente. El modal rechaza material de clave privada y contenido que no sea un bloque `-----BEGIN CERTIFICATE-----`. El archivo debe ser de 8 kB o menos.
Haz clic en **Add certificate**. La huella digital y la fecha de expiración aparecen en la lista de certificados, y el contador de espacios en el encabezado de la sección se incrementa.
Un túnel admite hasta dos certificados activos para que puedas rotar sin tiempo de inactividad: registra el nuevo certificado junto al antiguo, vuelve a desplegar tu proxy con el nuevo par de claves, confirma que el tráfico fluye y luego haz clic en **Revoke** en la fila del certificado antiguo. Los certificados revocados permanecen visibles en la lista con una insignia **Revoked**.
## Desplegar la pila del túnel
El túnel existe en la Console, pero no fluye tráfico hasta que la pila del túnel esté ejecutándose dentro de tu red y conectada con el token del túnel. Sigue una de las guías de despliegue:
Ejecuta la pila del túnel en un solo host. Flujos con acceso programático y manual.
Ejecuta la pila del túnel en un clúster de Kubernetes. Flujos con acceso programático y manual.
## Usar el túnel en un agente
Una vez que tu pila esté ejecutándose y tenga uno o más servidores MCP configurados, adjunta un servidor MCP upstream a una sesión de Managed Agent. Para llamar a los mismos servidores desde la Messages API en su lugar, consulta [Usar los servidores MCP tunelizados](https://platform.claude.com/docs/es/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers).
El selector solo muestra túneles con al menos un certificado activo. Un túnel que todavía muestra **Needs certificate** en la lista **MCP tunnels** no aparece en el menú desplegable; registra primero un certificado de CA. El selector también tiene alcance de workspace: lista los túneles del mismo workspace que la sesión, no de otros workspaces.
En la Claude Console, ve a la página [Sessions](https://platform.claude.com/sessions) (`platform.claude.com/sessions`) y haz clic en **Create session**.
En el selector de agentes, elige **Create new agent** para poder editar la lista de servidores MCP directamente.
Haz clic en **+ MCP Server** y abre el menú desplegable. Los túneles creados en el workspace actual aparecen en la parte superior de la lista, encima del catálogo público de conectores. Selecciona el túnel que está frente al servidor al que quieres llegar.
La tarjeta muestra dos campos opcionales: **Subdomain** (antepuesto al dominio del túnel) y **Path** (agregado después de él). Completa uno o ambos, según cómo estén configuradas las rutas de tu proxy. La línea **Resolves to** muestra la URL completa del servidor MCP a la que se conecta el agente.
El túnel transporta tráfico; no se autentica ante el servidor MCP upstream. Configura OAuth o autenticación bearer en el servidor MCP de la misma forma que para cualquier otro servidor MCP.
## Archivar un túnel
Archivar detiene inmediatamente la aceptación de conexiones por parte del túnel y es permanente.
En la Claude Console, ve a la página [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). En el selector de workspace de la barra lateral, selecciona el workspace que contiene el túnel. Abre el menú de la fila del túnel y elige **Archive**. Los túneles archivados siguen visibles cuando filtras la lista por **Archived** o **All**.
## Próximos pasos
Instala en un clúster de Kubernetes usando el chart de Helm de Anthropic.
Guía de endurecimiento, rotación de credenciales y respuesta ante brechas.