Conector de reservas de Center

Qué hace

• Encuentra negocios publicados en Center.
• Responde preguntas solo con los datos públicos de cada negocio.
• Consulta horarios libres.
• Reserva para la persona que inició sesión, con su aprobación.

Es distinto del servidor de encargos de Center de cada persona.

Punto de acceso y descubrimiento

https://app.center.com/mcp

Streamable HTTP: un mensaje JSON-RPC por POST, como application/json. GET y DELETE responden 405.

Autorización (OAuth 2.1)

1. Sin token bearer, POST /mcp responde 401 con un desafío WWW-Authenticate que indica los metadatos del recurso protegido y los permisos.
2. El asistente lee los documentos de descubrimiento y se registra. Los clientes solo son públicos (token_endpoint_auth_method: none). Las redirecciones deben ser https, o http en loopback; deben coincidir exactamente, y una redirección loopback puede usar cualquier puerto.
3. La persona abre la página de consentimiento. La solicitud debe llevar code_challenge con code_challenge_method=S256 (PKCE S256 es obligatorio; plain se rechaza), state y resource. Si lleva resource, debe ser https://app.center.com/mcp.
4. La persona inicia sesión con un código de un solo uso que recibe por mensaje de texto en su teléfono. El inicio de sesión por correo aún no está disponible.
5. La página de consentimiento nombra al asistente (tal como se registró), los permisos y exactamente lo que recibe un negocio cuando la persona reserva. La persona elige Permitir o No permitir.
6. Un código de un solo uso (10 minutos) vuelve con state e iss (RFC 9207). El intercambio de token verifica el verificador PKCE y devuelve un token de acceso (1 hora) y un token de actualización (60 días). Los tokens de actualización rotan en cada uso; reutilizar uno anterior revoca todo el vínculo. Los tokens están ligados a https://app.center.com/mcp.

Las credenciales son opacas. Center solo guarda sus resúmenes SHA-256.

Permisos (scopes)

Cualquier persona con sesión iniciada puede usar las herramientas de lectura. Una herramienta de reserva llamada sin bookings.write recibe HTTP 403 insufficient_scope y un desafío para ampliar permisos.

Herramientas

El conector solo ve negocios publicados. Cada resultado se arma campo por campo a partir del registro público.

Un precio solo se indica cuando el dueño lo confirmó o viene de la página pública del propio negocio. Cualquier otro se muestra como "precio no publicado", nunca $0. Un negocio sin nada que reservar en línea devuelve booking_supported: false con cómo reservar (su enlace de reservas y su teléfono).

Depósitos

El conector no cobra pagos, y el dinero nunca pasa por un asistente. Cuando un servicio cobra un depósito o el precio completo al reservar, prepare_booking se niega con deposit_required. La negativa incluye el monto del depósito cuando está publicado, además de la página de reservas y el teléfono del negocio. No se aparta nada, y nada se reserva sin el depósito que exige el negocio.

Errores

• Sin token válido: HTTP 401 con el desafío de RFC 9728 (WWW-Authenticate: Bearer resource_metadata=…, scope=…).
• Falta un permiso: HTTP 403 insufficient_scope.
• Al pasar un límite: HTTP 429 con Retry-After y un error JSON-RPC cuyo data es {error: 'rate_limited', retry_after_seconds}.
• Una negativa de una herramienta es un resultado con isError: true y structuredContent: {error: <motivo>, message, …}.

Motivos:

• invalid_arguments
• business_not_found
• service_not_found
• service_not_bookable_online
• booking_not_supported
• deposit_required
• slot_unavailable
• proposal_not_found
• proposal_expired
• terms_changed
• booking_not_found
• cancel_window_passed
• already_cancelled
• test_account_real_business
• booking_unavailable
• ask_unavailable

Límites de uso

Por minuto:

Cada dirección puede hacer hasta 600 solicitudes por minuto a /mcp, porque los asistentes llaman desde direcciones compartidas.

Privacidad

• Los datos vienen solo del registro público del negocio. Ninguna herramienta lee los clientes, las reservas ni las conversaciones de un negocio.
• Los horarios son solo horarios libres: el conector nunca dice quién ocupa otro horario, nunca nombra a otro cliente y nunca da datos privados del personal.
• Cada persona ve, cancela y cambia solo las reservas que hizo con el conector. La reserva de cualquier otra persona responde booking_not_found.

Cuando la persona reserva, el negocio recibe el nombre de su cuenta de Center y su teléfono verificado. La página de consentimiento lo dice antes de que dé acceso.

Soporte y políticas

Preguntas o problemas: help@center.com

• Política de Privacidad
• Términos del Servicio