Administrar claves de API

Esta guía muestra dónde se guarda cada credencial que usa Control Center y cómo cambiarla.

No se guarda nada en la computadora en la que estás escribiendo. Todas las credenciales viven en el servidor; cuál responde a una petición concreta depende de si hay una persona detrás.

Credencial	Dónde se guarda	Quién la usa
Tu credencial del host de código / de tickets	El archivo de secretos 0600 del servidor, indexado por tu id de usuario	Todo lo que pides tú: la superficie de PR, las ejecuciones de tus agentes, tus imágenes
La identidad de la aplicación del servidor	El mismo archivo, más `server_settings` para lo que no son secretos	Trabajo que no pidió ninguna persona: webhooks, sondeo de PR, sincronización de tickets
Claves de proveedores de modelos y tokens OAuth	El propio almacén de credenciales del servidor	El adaptador integrado, para todos los espacios de trabajo de la instalación
Tokens del bot de Slack	`<dataDir>/<workspaceId>/chat_credentials/` en el servidor	El puente de chat de ese espacio de trabajo
Credenciales de CLI externas	Lo que use esa CLI	Claude Code, en el host del servidor

Dos credenciales de GitHub, y responden a preguntas distintas

La tuya, obtenida al iniciar sesión (flujo de dispositivo) o al pegar un token. Es la que usa toda petición hecha en tu nombre, así que un comentario publicado por ti lleva tu nombre. Otro miembro no puede leerla, y conecta la suya
La del servidor, procedente de la GitHub App que registró el operador. Responde a todo lo que no tiene solicitante, de modo que el acceso al host de código no desaparece cuando alguien se va o rota un token

La tuya se configura en la tarjeta Alojamiento de código, en Ajustes → Espacio de trabajo → Perfil e identidad; la del servidor, en Aplicaciones de proveedor, en Ajustes → Servidor → Inicio de sesión único. Consulta Configurar la integración de GitHub y Crear la GitHub App.

Configurar las claves de los proveedores de modelos

El adaptador integrado autentica los proveedores por sí mismo, y esas credenciales viven en el servidor.

Ve a Ajustes → Servidor → Proveedores de modelos
Desplázate hasta Proveedores y modelos
Conecta el proveedor —OAuth en el navegador para OpenAI, Codex, Cursor y Kimi Code; una clave API para Anthropic y el resto

Consulta Administrar adaptadores y modelos para ver la lista completa y para agregar un endpoint personalizado.

Estas credenciales son globales del host: una sola clave sirve a todos los espacios de trabajo de la instalación. Los tokens OAuth se renuevan antes de que caduquen.

Las CLI de adaptadores externos conservan sus propias credenciales, en su propia configuración, en el host del servidor: Control Center no las administra. Autentica Claude Code tal como indica su propia documentación, en la computadora donde se ejecuta cc_server.

El diálogo Variables de entorno de cada adaptador parece un buen sitio donde poner la clave de uno de ellos, pero no lo es: escribe en tu dispositivo, mientras que el servidor lee su propia copia y nada conecta ambas. Consulta Administrar adaptadores y modelos.

Conectar un proveedor de tickets

La tarjeta Tickets de Ajustes → Espacio de trabajo → General reúne las dos mitades de una misma decisión: en qué proveedor viven tus tickets y la credencial para él. Elegir Local oculta la fila de la credencial: los tickets locales viven en la base de datos de este servidor y no hay nada a lo que autenticarse.

Tu clave se guarda en el servidor asociada a tu id de usuario, igual que la del host de código. El servidor conserva aparte su propia clave de Linear (Aplicaciones de proveedor), que es la que usa la sincronización de tickets cuando no lo pidió ninguna persona. En el sandbox de un agente no se inyecta ninguna clave de tickets; los agentes escriben tickets con las herramientas de Control Center, que preguntan a la regla Escribir en un rastreador externo. Consulta Configurar la integración con Linear.

Rotar o revocar

Tu credencial de GitHub: pulsa Desconectar y vuelve a iniciar sesión o pega el nuevo token. Revoca la antigua en GitHub
La aplicación del servidor: genera una nueva clave privada o un nuevo secreto de cliente en la página de GitHub de la aplicación, pégalo en Aplicaciones de proveedor y pulsa Probar
Un proveedor de modelos: en su fila, cierra la sesión (OAuth) o elimina la clave, y vuelve a conectarlo
Slack: vuelve a pegar los tokens en el diálogo de conexión. Consulta Configurar la integración de Slack

Solución de problemas

La lista de PR está vacía, pero mi token funciona en `curl`

Comprueba el subtítulo de la fila Alojamiento de código. Si menciona otra fuente (“mediante la aplicación de este servidor”, “desde el entorno”), la credencial que estás probando no es la que responde: la tuya no se guardó.

El token se acepta, pero las peticiones posteriores fallan

El token se comprueba tal como se guarda, así que la fila nombra la cuenta que hay detrás, pero solo la cuenta, no los ámbitos. Un token con pocos ámbitos se conecta y luego falla en peticiones concretas. Comprueba los ámbitos y la caducidad:

curl -H "Authorization: token YOUR_TOKEN" https://api.github.com/user