WorkOS presenta auth.md, un protocolo abierto para el registro de agentes de IA

La mayoría de las aplicaciones web no ofrece una vía estructurada para que un agente de IA se registre y obtenga acceso. WorkOS propone una solución: auth.md, un protocolo abierto basado en OAuth que simplifica la integración de agentes sin rellenar formularios a mano.

El problema que resuelve auth.md

Hoy, cuando un desarrollador quiere conectar un agente de IA a una aplicación, tiene que rellenar a mano un formulario de registro, indicar los permisos y obtener una clave de API. El agente no puede hacerlo de forma automática: no existe un modo estándar de saber qué flujos admite el servicio, qué permisos exige y cómo conseguir credenciales vinculadas a un usuario real.

Esto se convierte en un cuello de botella al escalar. Cada nuevo agente requiere configuración manual, y los desarrolladores deben escribir integraciones a medida para cada aplicación y mantener la documentación al día.

auth.md cambia el enfoque. Es un archivo Markdown corriente que la aplicación publica en su propio dominio (por ejemplo, example.com/auth.md). El archivo contiene todo lo que el agente necesita para registrarse por su cuenta:

• Métodos admitidos (OAuth 2.0, claves de API, mTLS y otros)
• Scopes y permisos necesarios para distintos casos de uso
• Endpoints para obtener credenciales y tokens de larga duración
• Ejemplos de código y recomendaciones para empezar rápido
• Información sobre límites de tasa (rate limits), cuotas y vigencia de los tokens

Cómo funciona en la práctica

Cuando un agente de IA debe integrarse con una aplicación, accede a su dominio, encuentra auth.md y lee las instrucciones. Después inicia automáticamente el proceso de registro adecuado, solicita los permisos necesarios y recibe un token o una clave de API vinculados a un usuario real. La persona no tiene que rellenar nada a mano: todo el proceso se realiza de forma programática.

Por ejemplo, si un agente se conecta a un servicio de correo, puede pedir justo los permisos que necesita (leer mensajes, enviar respuestas), sin acceso a otras funciones (borrar mensajes, cambiar la configuración de la cuenta). Cada permiso figura de forma explícita en auth.md, de modo que el usuario ve lo que solicita el agente y puede aprobarlo o rechazarlo.

WorkOS eligió Markdown en lugar de JSON o XML porque es un formato fácil de leer y editar tanto para desarrolladores como para agentes de IA. Además, un archivo Markdown se versiona cómodamente en git, permite seguir los cambios, añadir comentarios y actualizarse sin volver a desplegar la aplicación.

Qué significa para el ecosistema

auth.md es un paso hacia la estandarización de la integración de agentes de IA en la web. Si el protocolo logra suficiente respaldo entre los grandes servicios, los agentes de IA podrán registrarse por su cuenta en cientos de aplicaciones sin intervención manual de los desarrolladores. Eso aceleraría de forma notable la automatización de tareas rutinarias.

Sin embargo, surgen nuevas preguntas de seguridad: ¿cómo evitar el acceso no autorizado a través de agentes? ¿Cómo gestionar los permisos si el registro es totalmente automático? WorkOS espera que la estandarización abierta facilite el debate en la comunidad y ayude a elaborar buenas prácticas para un registro automático y seguro de agentes.