Cuando trabajo con agentes de IA para tareas SEO intento evitar un problema bastante habitual: copiar datos desde una herramienta, pegarlos en una conversación y perder por el camino parte de su contexto o procedencia.

El MCP remoto de SISTRIX permite que OpenCode consulte sus datos mediante herramientas integradas. El agente puede investigar palabras clave, dominios, competidores, backlinks o visibilidad en sistemas de IA sin obligarme a trasladar tablas manualmente.

Actualizacion: Cambiar la autenticación de API key a OAuth 2.0

A partir del 31 de agosto de 2026, el MCP de SISTRIX dejará de aceptar conexiones autenticadas mediante una API key. Desde esa fecha será obligatorio utilizar OAuth 2.0.

El cambio no afecta a los datos ni a los créditos disponibles en la API. Lo que cambia es la forma en la que OpenCode autoriza la conexión: en lugar de almacenar una clave estática, iniciaremos sesión en SISTRIX Toolbox y aprobaremos el acceso.

En mi opinión, esto es un paso atrás que limita la flexibilidad de uso de la API, la limitación práctica más relevante podría aparecer en automatizaciones sin intervención humana. Para un uso interactivo con OpenCode, OAuth es más seguro y cómodo. Pero os dejo los pros y contras de API key vs Oauth2 para que saqueis vuestras propias conclusiones:

Ventajas de la API key

- Es sencilla para scripts, servidores y procesos de CI sin interfaz gráfica.

- Puede configurarse mediante variables de entorno.

- No requiere un inicio de sesión interactivo.

- Resulta fácil de trasladar entre entornos controlados.

Su principal problema es que actúa como un secreto estático. Si se filtra, cualquiera que la tenga podría utilizarla hasta que sea revocada.

Ventajas de OAuth 2.0

- No hay que copiar claves largas ni guardarlas en opencode.json.

- La autorización se realiza directamente desde SISTRIX Toolbox.

- Resulta más sencillo retirar el acceso concedido a un cliente.

- OpenCode gestiona las credenciales OAuth después de la autorización.

- Reduce el riesgo de publicar accidentalmente una API key.

OAuth no elimina todos los riesgos. Los tokens siguen siendo credenciales sensibles y el equipo donde OpenCode los almacena debe estar protegido.

Inconvenientes de OAuth 2.0

- El primer acceso requiere iniciar sesión y confirmar la autorización.

- Puede resultar menos cómodo en servidores sin navegador o procesos completamente desatendidos.

- Depende de que el cliente MCP implemente correctamente OAuth.

- Una sesión revocada o caducada puede exigir una nueva autorización.

- La conexión queda más vinculada al usuario de SISTRIX que realizó el proceso.

Pasos para migrar la API key de Sistrix a Oauth2:

1. Eliminar la autenticación anterior

Abre opencode.json y elimina del bloque de SISTRIX:

  • La propiedad api_key, si existe.
  • La cabecera Authorization: Bearer.
  • La cabecera X-API-Key.
  • La propiedad "oauth": false.

También puedes eliminar las variables de entorno que ya no se utilizarán, como:

  • SISTRIX_API_KEY
  • SISTRIX_MCP_TOKEN

El bloque anterior:

"sistrix": {
  "enabled": true,
  "headers": {
    "Accept": "application/json, text/event-stream",
    "Authorization": "Bearer {env:SISTRIX_MCP_TOKEN}"
  },
  "oauth": false,
  "timeout": 30000,
  "type": "remote",
  "url": "https://api.sistrix.com/mcp/"
}

Debe sustituirse por una configuración más sencilla:

"sistrix": {
  "enabled": true,
  "type": "remote",
  "url": "https://api.sistrix.com/mcp/"
}

Al no incluir una configuración manual de autenticación, OpenCode utilizará el descubrimiento automático de OAuth del servidor.

2. Autorizar OpenCode en SISTRIX

Guarda el archivo, reinicia OpenCode y ejecuta:

opencode mcp auth sistrix

OpenCode abrirá el proceso de autorización. Inicia sesión en SISTRIX Toolbox y confirma la solicitud mediante Allow.

OpenCode almacenará las credenciales OAuth resultantes. Ya no será necesario copiar una API key ni mantener el token dentro de una variable de entorno.

3. Comprobar la conexión

Después de completar la autorización, ejecuta:

opencode mcp list

El servidor sistrix debería aparecer conectado y sus herramientas volverán a estar disponibles. También desaparecerá el aviso sobre la retirada de las API keys que SISTRIX añade a las respuestas de conexiones antiguas.

Si necesitas repetir la autorización, elimina primero las credenciales OAuth guardadas:

opencode mcp logout sistrix
opencode mcp auth sistrix

No esperaría hasta el 31 de agosto para hacer el cambio. Migrar antes permite comprobar permisos y resolver cualquier problema sin interrumpir los flujos SEO que ya dependen del MCP.

La configuración es sencilla, pero hay dos detalles importantes:

  1. No guardar el token en texto plano.
  2. No confundir la autenticación mediante Bearer con OAuth.

No todas las consultas van a devolver datos, ni el MCP sustituye el criterio SEO. Se trata de poder darle a tu agente la posibilidad de extraer datos de Sistrix y trabajar con ellos de forma autónoma. Para que después tu puedas corregir e intrepretar los informes y conclusiones generados. La disponibilidad de los endpoints y las funciones depende del paquete que tengas contratado, del país analizado y de la cobertura de SISTRIX para cada consulta.

Qué necesitas antes de empezar

Si quieres utilizar API key antes del cambio a Oauth2 te dejo también las instrucciones.

Para reproducir esta configuración necesitas:

  • OpenCode instalado y funcionando.
  • Acceso a SISTRIX y un token válido.
  • Permisos para crear variables de entorno de usuario.
  • Acceso a la configuración global de OpenCode.
  • Una copia de seguridad de la configuración actual.

En Windows, el archivo global se encuentra en:

C:\Users\<usuario>\.config\opencode\opencode.json

Sustituye <usuario> por el nombre de tu cuenta de Windows.

Antes de modificarlo, recomiendo cerrar OpenCode y crear una copia:

opencode.json.backup

Tu configuración puede incluir otros agentes, permisos o servidores MCP. El objetivo es añadir SISTRIX sin reemplazar ni reorganizar el resto del archivo. Puedes simplemente pegar el código y tu token a la IA y pedirle que te configure el MCP, pero esto deja tu token expuesto y no es recomendable. Así que mejor te voy a guiar paso a paso para que puedas hacerlo correctamente y de forma sencilla.

Paso 0. ¿Cómo consigo el token de Sistrix?

Estando logado en tu cuenta, accede a esta URL: https://app.sistrix.com/account/api

Pulsa en el botón "Crear" y copia el token en lugar seguro

Paso 1. Guardar el token sin incluirlo en el JSON

No recomiendo escribir el token directamente en opencode.json.

Además de quedar expuesto, podría terminar accidentalmente en un repositorio, una captura de pantalla o una copia de seguridad compartida.

La alternativa es guardarlo como variable de entorno del usuario y hacer que OpenCode la lea cuando arranca.

La variable se llamará:

SISTRIX_MCP_TOKEN

Opción recomendada: usar la interfaz de Windows

Prefiero esta vía porque evita pegar el secreto en una consola cuyo historial pueda quedar almacenado.

  1. Abre el menú Inicio.
  2. Busca Variables de entorno.
  3. Selecciona Editar las variables de entorno de tu cuenta.
  4. En las variables de usuario, pulsa Nueva.
  5. Introduce como nombre: 
    SISTRIX_MCP_TOKEN
  6. Introduce el token de SISTRIX como valor.
  7. Confirma los cambios.

No añadas comillas, el prefijo Bearer ni espacios adicionales. OpenCode añadirá Bearer mediante la configuración.

Una variable de entorno evita que el token quede dentro del JSON, pero no es un gestor de secretos. Los procesos ejecutados con tu usuario podrían llegar a leerla. Sigue siendo necesario proteger la cuenta y limitar los permisos.

Alternativa con PowerShell

También puedes crear la variable desde PowerShell:

[Environment]::SetEnvironmentVariable(
    "SISTRIX_MCP_TOKEN",
    "<PEGA_AQUI_TU_TOKEN>",
    "User"
)

Esta opción puede dejar el secreto en el historial de la consola, los registros o una captura. Por eso considero preferible utilizar la interfaz de Windows.

Las ventanas y terminales que ya estaban abiertas no reciben automáticamente la nueva variable. Después habrá que reiniciar OpenCode.

Paso 2. Añadir SISTRIX al objeto mcp

Abre:

C:\Users\<usuario>\.config\opencode\opencode.json

Localiza el objeto principal llamado mcp y añade únicamente este bloque:

"sistrix": {
  "enabled": true,
  "headers": {
    "Accept": "application/json, text/event-stream",
    "Authorization": "Bearer {env:SISTRIX_MCP_TOKEN}"
  },
  "oauth": false,
  "timeout": 30000,
  "type": "remote",
  "url": "https://api.sistrix.com/mcp/"
}

La estructura general debería quedar así:

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "otro-servidor": {
      "type": "remote",
      "url": "https://ejemplo.com/mcp"
    },
    "sistrix": {
      "enabled": true,
      "headers": {
        "Accept": "application/json, text/event-stream",
        "Authorization": "Bearer {env:SISTRIX_MCP_TOKEN}"
      },
      "oauth": false,
      "timeout": 30000,
      "type": "remote",
      "url": "https://api.sistrix.com/mcp/"
    }
  }
}

Este ejemplo solo muestra dónde colocar el bloque. No reemplaces tu archivo completo, porque perderías el resto de la configuración.

También debes comprobar las comas entre servidores. Un JSON inválido puede impedir que OpenCode arranque correctamente.

La interpolación correcta de la variable

OpenCode utiliza esta sintaxis:

{env:SISTRIX_MCP_TOKEN}

No utilices:

${SISTRIX_MCP_TOKEN}

La segunda forma es frecuente en otros entornos, pero OpenCode no la sustituye en esta configuración.

Por qué desactivo OAuth

Esta conexión utiliza una cabecera HTTP con un token Bearer:

Authorization: Bearer <token>

Por eso el bloque contiene:

"oauth": false

No estamos iniciando un flujo OAuth ni abriendo una página para identificarnos. OpenCode lee la variable de entorno y envía su valor mediante la cabecera Authorization.

Mezclar ambos métodos complica el diagnóstico y puede hacer que OpenCode intente iniciar una autenticación que no corresponde.

Configurar el token en Linux

En Linux puedes guardar el token como una variable de entorno persistente. Si utilizas Bash, abre ~/.bashrc; si utilizas Zsh, abre ~/.zshrc. Añade esta línea:

export SISTRIX_MCP_TOKEN="TU_TOKEN_DE_SISTRIX"

Guarda el archivo y carga de nuevo la configuración:

source ~/.bashrc

Para Zsh utiliza:

source ~/.zshrc

Comprueba que la variable existe sin mostrar el token completo:

test -n "$SISTRIX_MCP_TOKEN" && echo "Token configurado"

El bloque de OpenCode no cambia. La cabecera debe seguir utilizando:

"Authorization": "Bearer {env:SISTRIX_MCP_TOKEN}"

El token quedará almacenado en texto plano dentro del archivo de configuración del shell. Limita sus permisos con chmod 600 ~/.bashrc o chmod 600 ~/.zshrc, evita subir ese archivo a un repositorio y reinicia OpenCode para que reciba la nueva variable.

Paso 3. Reiniciar OpenCode y comprobar la conexión

Guarda opencode.json y cierra completamente OpenCode.

La configuración y las variables de entorno no se recargan en caliente. Una sesión antigua puede conservar el entorno con el que se inició y no detectar el nuevo token.

Después de abrirlo de nuevo, ejecuta:

opencode mcp list

El resultado esperado es que sistrix aparezca conectado.

Para obtener más información sobre la conexión:

opencode mcp debug sistrix

En mi comprobación, el endpoint respondió a la inicialización con HTTP 200 y text/event-stream. Después, opencode mcp list mostró SISTRIX conectado.

Esta es la primera prueba que haría antes de solicitar cualquier análisis SEO, para detectar si hay algún problema de configuración o una limitación del plan o de los datos.

Primera prueba útil desde OpenCode

No empezaría solicitando un análisis completo de un dominio. Prefiero probar una tarea pequeña, concreta y fácil de verificar.

Por ejemplo:

Consulta en SISTRIX las métricas disponibles para la keyword "auditoría SEO"
en España. Separa los datos obtenidos de SISTRIX de tu interpretación y avisa
si alguna consulta no está incluida en mi acceso.

También podemos comprobar la intención de búsqueda:

Analiza la intención de búsqueda y las funcionalidades de la SERP disponibles
para "consultor SEO" en España. No completes datos ausentes ni hagas
estimaciones propias.

O probar una consulta de dominio:

Consulta qué información está disponible para example.com en España.
Separa los datos procedentes de SISTRIX de tus conclusiones y explica
cualquier limitación de cobertura o del plan.

Incluyo el país porque SISTRIX trabaja con mercados concretos. El MCP acepta un conjunto cerrado de códigos de país, por lo que conviene utilizar códigos compatibles y comprobar la cobertura.

También pido al agente que separe datos e interpretación. Es una regla pequeña, pero evita presentar una conclusión del modelo como si fuera una métrica entregada directamente por SISTRIX.

Qué se puede consultar mediante el MCP

El MCP expone diferentes áreas de SISTRIX. La disponibilidad efectiva de cada operación depende del plan y de los permisos del token.

Investigación de palabras clave

Las vistas de keywords permiten trabajar con:

  • Métricas de una palabra clave.
  • Rankings orgánicos.
  • Tráfico disponible.
  • Nivel de competencia.
  • Intención de búsqueda.
  • Funcionalidades presentes en la SERP.
  • Estimaciones de tráfico por posición.

Las vistas actuales incluyen metrics, seo, traffic, competition, searchintent, serpfeatures y traffic_estimation.

Esto permite contrastar una selección de keywords, estudiar su intención o comprobar qué tipo de resultados muestra Google.

No significa que cualquier término vaya a tener información. Las consultas muy específicas, nuevas o con poco volumen pueden no devolver datos suficientes.

Análisis de dominios

Dependiendo del acceso contratado, las herramientas de dominio pueden consultar:

  • Visibilidad orgánica.
  • Número de palabras clave posicionadas.
  • Distribución de rankings.
  • Competidores orgánicos.
  • Oportunidades de mejora.
  • Ideas relacionadas con el dominio.
  • Estimaciones de tráfico.

Estos datos son útiles para preparar un análisis competitivo o priorizar áreas de investigación. No los utilizaría como diagnóstico automático.

Una caída de visibilidad indica que algo ha cambiado. No explica por sí sola la causa.

Backlinks

El MCP también permite trabajar con información sobre enlaces, textos de anclaje y destinos enlazados.

Aquí conviene controlar el alcance. Pedir todos los backlinks de un dominio puede generar demasiado ruido. Una consulta limitada por destino, texto o patrón suele ser más útil.

Proyectos y visibilidad en IA

Si el token tiene acceso a proyectos configurados en SISTRIX, OpenCode puede consultar las vistas disponibles para esos proyectos.

También existen herramientas relacionadas con la visibilidad en sistemas de IA: marcas, prompts, competidores y fuentes citadas, según la cobertura disponible.

Lo trataría como una fuente adicional para investigar visibilidad, no como una medición universal. Los resultados dependen de los modelos, países, prompts y fechas incluidos por SISTRIX.

Limitaciones reales

La conexión MCP resuelve el acceso técnico, pero no elimina las restricciones comerciales ni la falta de datos.

Algunas operaciones dependen del plan

Las vistas de rankings y determinadas funciones de dominio pueden requerir permisos adicionales.

En esos casos puede aparecer:

5001

Este error no demuestra necesariamente que la configuración esté mal. Si opencode mcp list muestra el servidor conectado y otras consultas responden, revisaría primero la cobertura del paquete contratado.

Una keyword puede no tener datos

Puede ocurrir con términos nuevos, muy específicos, con poco volumen o en mercados con menor cobertura.

En estos casos conviene probar una variante más amplia, revisar el país o reconocer que SISTRIX no dispone de datos suficientes.

La ausencia de resultados tampoco equivale automáticamente a cero búsquedas, simplemente la herramienta no tiene esa data disponible.

Los resultados necesitan interpretación

Una métrica de competencia, intención o tráfico no decide por sí sola qué página debemos crear.

También hay que revisar:

  • Relevancia para el negocio.
  • Intención real observada en la SERP.
  • Autoridad y capacidad del dominio.
  • Contenido existente.
  • Estacionalidad.
  • Coste de producir y mantener la página.
  • Relación con el recorrido del usuario.

El MCP reduce trabajo manual, pero no conviertas una métrica aislada en una estrategia.

Solución de problemas

SISTRIX no aparece conectado

Ejecuta:

opencode mcp list

Si no aparece conectado:

  • Comprueba que sistrix esté dentro de mcp.
  • Confirma que el endpoint sea https://api.sistrix.com/mcp/.
  • Revisa que "type" sea "remote".
  • Comprueba que "enabled" sea true.
  • Cierra completamente OpenCode y vuelve a abrirlo.
  • Ejecuta opencode mcp debug sistrix.

Error 401 o 403

Un 401 suele apuntar a un token ausente, incorrecto, caducado o revocado. Un 403 puede indicar que la credencial es válida, pero no tiene permiso para la operación solicitada.

Comprueba que:

  • La variable se llama exactamente SISTRIX_MCP_TOKEN.
  • Su valor no incluye comillas ni el prefijo Bearer.
  • La configuración utiliza Bearer {env:SISTRIX_MCP_TOKEN}.
  • El token sigue activo.
  • OpenCode se reinició después de crear la variable.
  • El acceso contratado incluye la función solicitada.

No pegues el token en un chat, un issue o una captura para pedir ayuda.

Error 5001

Si la conexión general funciona, el error puede indicar que la función no está incluida en el paquete o acceso API de la cuenta.

Prueba una consulta más básica y comprueba la cobertura contratada. No cambies la autenticación a OAuth para intentar resolverlo: son problemas distintos.

La consulta no devuelve datos

Revisa:

  • El código de país.
  • El nivel de especificidad de la keyword.
  • El formato del dominio.
  • La cobertura de la vista solicitada.
  • Que el agente no interprete la ausencia de datos como un cero.

OpenCode no encuentra la variable

Cierra todas las ventanas y procesos de OpenCode. Si trabajas desde una terminal, ciérrala también y abre una nueva.

Las aplicaciones abiertas antes de crear la variable conservan el entorno anterior.

El JSON es inválido

Los errores más habituales son:

  • Falta una coma entre servidores.
  • Sobra una coma al final de un objeto.
  • sistrix se ha colocado fuera de mcp.
  • Se han usado comillas tipográficas.
  • Se ha reemplazado parte de la configuración.
  • Se han añadido comentarios que JSON no admite.

Si el problema empezó después del cambio, recupera la copia de seguridad y vuelve a añadir únicamente el bloque de SISTRIX.

Seguridad y mantenimiento del token

Conectar una fuente de datos a un agente amplía lo que ese agente puede consultar. Por eso trato el token como cualquier otra credencial profesional.

Mis reglas son:

  • No guardarlo dentro de opencode.json.
  • No incluirlo en repositorios Git.
  • No pegarlo en prompts, documentación o tickets.
  • No mostrarlo en capturas.
  • Evitar comandos que lo dejen en el historial.
  • Revisar los logs antes de compartirlos.
  • Utilizar el menor alcance necesario.
  • Revocarlo ante cualquier sospecha de exposición.
  • Rotarlo según la política de seguridad de la organización.
  • Eliminarlo de equipos que ya no necesiten acceso.

Si rotas el token, solo necesitas actualizar SISTRIX_MCP_TOKEN y reiniciar OpenCode. El bloque MCP puede permanecer igual.

Checklist final

  • He creado una copia de seguridad de opencode.json.
  • El token está en SISTRIX_MCP_TOKEN.
  • El token no aparece en el archivo de configuración.
  • He añadido solamente el bloque sistrix dentro de mcp.
  • La interpolación utiliza {env:SISTRIX_MCP_TOKEN}.
  • La configuración contiene oauth: false.
  • He reiniciado OpenCode.
  • opencode mcp list muestra sistrix conectado.
  • He probado una consulta pequeña con un país compatible.
  • Sé qué operaciones cubre mi plan de SISTRIX.

¿Cómo instalarlo en Claude o Chatgpt?

El MCP acerca el dato, no sustituye el análisis SEO

La mejora principal de esta integración consiste en reducir pasos manuales y permitir que el agente consulte una fuente autorizada dentro de un proceso reproducible.

Puedo investigar keywords, contrastar dominios o revisar backlinks sin copiar tablas entre herramientas. También puedo exigir que el agente identifique qué datos proceden de SISTRIX, qué parte es interpretación y qué consultas no están disponibles.

Ese control es más importante que automatizarlo todo.

El MCP acerca los datos de SISTRIX al agente, pero todavía tenemos que decidir qué preguntas tienen sentido, comprobar la cobertura y convertir las señales en recomendaciones útiles.

La herramienta facilita el acceso, pero el criterio SEO continúa siendo humano.