La respuesta corta
Empieza en solo lectura y abre después solo lo que cada tarea necesita. Hay cuatro niveles, que fijas en tu app de IA, en el servidor MCP y en su cuenta: solo lectura, preguntar antes de cada cambio, preguntar antes de eliminar o enviar y cambiar por su cuenta. Cada límite acota el daño, pero ninguno hace inofensivo un acceso.
En esta guía
¿Cuáles son los cuatro niveles de acceso?
Elige un nivel por herramienta, y empieza por el primero. Estos nombres son nuestros: cada herramienta de abajo ofrece algunos de ellos con sus propias palabras.
-
Solo lecturaEmpieza aquí
Tu IA puede consultar datos y resumirlos. No puede cambiar nada.
Sirve paraUna primera prueba, o un servicio que no puedes permitirte romper.
-
Preguntar antes de cada cambio
Tu IA lee con libertad. Cada cambio espera tu sí, después de que lo hayas visto.
Sirve paraUna tarea nueva, o cualquier cosa que importe.
-
Preguntar antes de eliminar o enviar
Tu IA hace cambios normales por su cuenta. Eliminar y enviar esperan tu sí.
Sirve paraHerramientas donde un cambio es fácil de revisar y de devolver.
-
Cambiar por su cuenta
Tu IA cambia cosas sin preguntar.
Sirve paraTrabajo que puedas revisar después y deshacer.
¿Dónde fijas un nivel en Claude, Cursor y VS Code?
Tu app de IA es el primer interruptor. Cada una te deja decidir herramienta por herramienta, con sus propias palabras.
| App de IA | Cómo se configura | Conviene saberlo |
|---|---|---|
| Claude Code | Escribe reglas allow, ask y deny, para un servidor entero o para una herramienta: mcp__github, mcp__github__get_*. Lístalas con /permissions. | Deny gana a ask, y ask gana a allow, por específica que sea la regla allow. En el modo por defecto, Claude Code te pide confirmación la primera vez que se usa cada herramienta. |
| Claude (claude.ai) | Desactiva las herramientas que no necesitas en el menú Search and tools. En los planes Team y Enterprise, los propietarios fijan los Tool permissions de un conector para toda la organización: Always allow, Needs approval o Blocked. | La ayuda de Claude dice que apruebes una herramienta para siempre solo cuando confíes en que funcione sin supervisión. En el modo de investigación, Claude puede llamar a las herramientas de los conectores sin pedir más aprobación, así que desactiva antes las de escritura. |
| Cursor | En Settings, Agents, Approvals & Execution, elige Auto-review, Allowlist o Run Everything. Permite herramientas con server:tool en permissions.json, como linear:list_issues. | La página de MCP de Cursor dice que, por defecto, pregunta antes de usar una herramienta MCP. Su página Run Modes recomienda Auto-review, donde un clasificador puede dejar que una llamada que no está en la lista se ejecute sin preguntarte. Para que pida confirmación en cada llamada, Cursor dice que uses Allowlist con la lista vacía. Run Everything ejecuta cada llamada. Cursor dice que Auto-review no es un límite de seguridad, y que las listas de permitidos no garantizan seguridad. |
| VS Code | En el chat, abre Configure Tools para activar o desactivar las herramientas de un servidor una por una. Un servidor de otra fuente pide tu confianza la primera vez que arranca. | VS Code advierte que los servidores MCP locales pueden ejecutar código arbitrario en tu computadora. Añade solo servidores de fuentes en las que confíes. |
En Claude Code, el nombre del servidor en una regla es el que le diste al añadirlo.
¿Cómo acotas el servidor y la cuenta que hay detrás?
Acota el acceso en sí, y así un ajuste flojo en tu app de IA sale menos caro. El servidor y la cuenta que hay detrás son el segundo y el tercer interruptor.
| Herramienta | Cómo lo acotas | Conviene saberlo |
|---|---|---|
| GitHub | Ejecuta el servidor MCP de GitHub con --read-only (o GITHUB_READ_ONLY=1). Elige lo que ofrece con --toolsets o --tools, y quita herramientas con --exclude-tools. En el servidor remoto, usa la cabecera X-MCP-Readonly o la URL /readonly. | El modo de solo lectura gana a cualquier otra opción. Dale al servidor un token de acceso de grano fino: limitado a los repositorios que elijas, con permisos mínimos y con fecha de caducidad. |
| Notion | El MCP alojado de Notion funciona como tú y llega a lo que tú puedes ver. Para acotarlo, desactiva sus herramientas de escritura en tu app de IA. Con el servidor autoalojado de Notion, crea una integración interna con solo las capacidades que necesita la tarea: leer, actualizar, insertar contenido. No ve ninguna página hasta que compartes una, y al compartir una página también se comparten sus subpáginas. | Notion recomienda activar la confirmación antes de las acciones que cambian contenido. Ya no mantiene activamente el servidor autoalojado. |
| Tus archivos | Arranca el servidor de archivos MCP con las carpetas que puede usar. Solo funciona dentro de ellas. En Docker, añade ro a un montaje para que esa carpeta sea de solo lectura. | Su herramienta write_file sobrescribe un archivo que ya existe. Nuestro consejo: guarda la carpeta en Git o con copia de seguridad. |
¿Cómo empiezas en solo lectura y abres poco a poco?
Trata un acceso nuevo como una prueba. Cada paso le da a tu IA un poco más, y puedes parar en cualquiera de ellos.
- Conéctala en solo lecturaSolo lectura
Usa el modo de solo lectura del servidor, una capacidad de solo lectura o un montaje de solo lectura. Pide a tu IA un resumen real. Si con eso basta, para aquí.
- Comparte solo lo que necesita la tareaSolo lectura
Haz una lista de las carpetas, repositorios o páginas que importan, y deja el resto fuera. Una integración de Notion autoalojada no ve nada que no hayas compartido, y el servidor de archivos se queda dentro de las carpetas que indicas.
- Permite cambios, con una pregunta cada vezPreguntar antes de cada cambio
Activa las escrituras, pero deja que tu app de IA siga preguntando. Lee cada cambio antes de decir que sí, primero en una copia o en una página de prueba. En Claude Code, añade reglas ask para las herramientas de escritura y reglas deny para las que nunca quieras.
- Deja que las partes seguras funcionen solasPreguntar antes de eliminar o enviar
Tras unas cuantas tareas bien hechas, permite las lecturas y los cambios que puedas deshacer. Mantén la pregunta para eliminar y enviar. En Claude Code, permite un patrón como
mcp__github__get_*, que cubre las herramientas llamadasget_…. En Cursor, añadelinear:list_issuesamcpAllowlist. Revisa qué cambió después de cada tarea.
¿Qué no detienen los permisos?
Los permisos limitan lo que puede costar un error. No hacen inofensivo un acceso.
- Un acceso que concedes es un acceso. Notion dice que un cliente conectado puede usar el MCP de Notion para llegar al contenido que tú puedes ver. Un permiso de escritura permite que tu IA escriba.
- Lo que lee tu IA puede darle órdenes. Una página, un ticket o un servidor puede esconder instrucciones en lo que devuelve. El consejo de Notion es tratar el contenido que devuelven las herramientas como no confiable.
- Solo lectura también puede filtrar. Notion advierte que un cliente conectado puede enviar a sistemas fuera de Notion el contenido que devuelve el MCP de Notion.
- Las etiquetas son pistas. La especificación de MCP permite que una herramienta diga que es de solo lectura (
readOnlyHint) o destructiva (destructiveHint). Los clientes deben tratar esas etiquetas como no confiables, salvo que el servidor sea de confianza.
Los permisos actúan antes de un cambio. Devolverlo después es otra tarea: Deshacer lo que hizo un agente de IA
¿Puedes fijar los niveles una vez, para todas tus herramientas?
Sí, para las herramientas que pasan por Delta MCP. Delta MCP es una app gratuita que se sitúa entre tus apps de IA y sus servidores MCP. Cada conector recibe uno de cuatro modos: Solo lectura, Preguntar antes de cada cambio, Preguntar antes de eliminar o enviar, o Cambiar por su cuenta.
- Un modo por conector. Elígelo en la pantalla Connectors, en When your AI wants to change something. La lectura nunca se pregunta. El cambio llega a las conversaciones abiertas en la siguiente llamada de tu IA, sin reiniciar nada.
- Acciones sueltas aparte. En Advanced, pon una acción en Like the connector, en uno de los cuatro modos o en Off. Una acción en Off desaparece de la vista de tu IA, y una llamada a ella se rechaza.
- Una tarjeta antes de un cambio que debes aprobar. Muestra cada cambio, antes y después, y lo que se puede deshacer. Una tarjeta que se cierra sin respuesta es un rechazo: no se hace nada.
- Activity después. Sea cual sea el modo, cada tarea aparece con cada cambio, antes y después. Undo devuelve lo que puede, y te dice antes de hacer clic lo que no, como un mensaje ya enviado.
Eliminar y enviar se reconocen por el nombre de una acción. Una acción con un nombre raro cuenta como un cambio normal, y el modo decide igual que con cualquier otro. Cuando necesites estar seguro, elige Preguntar antes de cada cambio, o desactiva la acción. Y como todos los permisos de aquí, los modos te protegen de los errores de tu IA: tu IA sigue actuando con tus derechos.
Los conectores que se ejecutan dentro de Claude, como Gmail, Google Calendar y Google Drive, siguen en Claude tras su propio inicio de sesión. Fija sus niveles en Claude, como en la tabla de arriba.
Preguntas
¿Cuál es la forma más segura de conectar una IA a Notion o GitHub?
Empieza en solo lectura. En GitHub, ejecuta el servidor MCP con --read-only y usa un token de acceso de grano fino limitado a los repositorios que elijas. El MCP alojado de Notion funciona como tú, así que desactiva sus herramientas de escritura en tu app de IA. Un servidor autoalojado de Notion se puede limitar a las capacidades y las páginas compartidas que elijas. Haz que tu app de IA siga preguntando antes de los cambios, y amplía un paso cada vez.
¿Hay un modo de solo lectura para los servidores MCP?
Depende del servidor. El servidor MCP de GitHub lo tiene: --read-only, o la cabecera X-MCP-Readonly en el servidor remoto. La especificación de MCP permite que una herramienta se etiquete como de solo lectura con readOnlyHint. Los clientes no deben fiarse de esa etiqueta si viene de un servidor no confiable. Si un servidor no tiene opción de solo lectura, desactiva sus herramientas de escritura en tu app de IA.
¿Cómo impido que Claude Code use una herramienta de escritura de un servidor MCP?
Añade una regla deny con el nombre de la herramienta, como mcp__github__merge_pull_request, con /permissions o en tu configuración. Las reglas deny ganan a las de ask y allow. Una herramienta que aparece en una regla deny se quita de lo que ve Claude.
¿Solo lectura significa que mis datos no pueden salir?
No. La solo lectura impide cambios, no lo que tu IA hace con lo que lee. Notion advierte que un cliente conectado puede enviar a sistemas fuera de Notion el contenido que devuelve el MCP de Notion. El contenido que lee tu IA también puede traer instrucciones. Trata como no confiable lo que devuelven las herramientas.
¿Debo dejar que mi IA use herramientas MCP sin preguntar?
En las lecturas, a menudo sí. En los cambios, la especificación de MCP dice que una persona debe estar siempre al tanto, capaz de denegar las llamadas a herramientas. Un término medio: permite las lecturas y deja la pregunta para los cambios. Permite más solo donde puedas revisar cada cambio y deshacerlo.
¿Delta MCP puede hacer un conector de solo lectura?
Sí, para los conectores que pasan por ella. Pon el modo del conector en Solo lectura: tu IA puede leer, nunca cambiar, y cada cambio se rechaza. Los otros modos preguntan antes de cada cambio, preguntan antes de eliminar o enviar, o cambian por su cuenta. Los conectores que funcionan dentro de Claude, como Gmail, siguen en Claude y se configuran allí.
Fuentes
- Claude Code, Configure permissions Reglas allow, ask y deny y su orden; nombres de reglas de MCP como mcp__github__get_*; el comando /permissions; el modo por defecto.
- Claude Help Center, Use connectors to extend Claude's capabilities Permisos de herramientas por conector (Always allow, Needs approval, Blocked) y quién puede fijarlos.
- Claude Help Center, Get started with custom connectors using remote MCP El menú Search and tools; el modo de investigación ejecuta herramientas de conectores sin más aprobación; instrucciones ocultas en servidores maliciosos.
- Cursor, Model Context Protocol (MCP) Cursor pide aprobación antes de usar herramientas MCP por defecto.
- Cursor, Run Modes Los tres modos de ejecución y dónde fijarlos. Auto-review es el valor recomendado por defecto, no un límite de seguridad. Una Allowlist vacía pregunta cada vez.
- Cursor, permissions.json reference El formato server:tool de la lista de permitidos de MCP; las listas de permitidos no garantizan seguridad.
- VS Code, Add and manage MCP servers in VS Code Configure Tools activa o desactiva herramientas una a una; el diálogo de confianza para servidores de otras fuentes.
- GitHub, GitHub MCP Server Toolsets, herramientas individuales y la marca de solo lectura.
- GitHub, Server Configuration Guide El modo de solo lectura como marca, cabecera y URL; herramientas excluidas; el modo de solo lectura gana a cualquier otra opción.
- GitHub Docs, Managing your personal access tokens Tokens de acceso de grano fino: repositorios elegidos, permisos mínimos, una fecha de caducidad.
- Notion, Internal connections Una integración nueva no tiene acceso a páginas; compartir una página comparte sus subpáginas; las capacidades de una integración.
- Notion, Notion MCP El servidor MCP de Notion alojado lee y actualiza el contenido al que puedes acceder.
- Notion, Hosting Notion MCP locally El servidor de código abierto ya no tiene mantenimiento activo y necesita tu propia integración de Notion y tu token de API.
- Notion, Security best practices Un cliente conectado llega a lo que tú puedes ver; inyección de prompts; contenido que sale de Notion; confirmación antes de los cambios.
- Model Context Protocol, Filesystem MCP Server Acceso limitado a los directorios permitidos; montajes de solo lectura con ro; pistas de las herramientas; write_file sobrescribe archivos existentes.
- Model Context Protocol, Tools (specification 2026-07-28) Una persona en el proceso, capaz de denegar llamadas a herramientas; las anotaciones de las herramientas no son confiables salvo que vengan de servidores de confianza.
- Delta MCP, Modes Los cuatro modos, las acciones sueltas aparte, la tarjeta de aprobación y cómo se reconocen eliminar y enviar.
- Delta MCP, Activity and Undo Cada cambio, antes y después, en Activity, y lo que Undo devuelve y lo que no puede devolver.
Sigue leyendo
- Cómo deshacer los cambios de IA en Notion, GitHub y archivos¿Un agente de IA cambió o borró algo? Mira qué cambió, deshazlo en Notion, GitHub o tus archivos, y qué ya no tiene vuelta atrás.
- Puerta de enlace MCP, proxy o Delta MCP: ¿cuál necesitas?Puerta de enlace MCP o proxy MCP: qué hace cada uno, dónde corre y para quién es, y una app local que verifica cada tarea y registra cada cambio.
