Puedes comprobar buena parte de la postura de seguridad de un servidor MCP de anuncios desde un navegador en unos diez minutos, antes de que aparezca ninguna pantalla de OAuth. Haz siete comprobaciones sobre el dominio del servidor: dos archivos de descubrimiento OAuth, un security.txt, una tarjeta de servidor MCP, un modelo publicado de control de escrituras, una vía de revocación de sesiones y un contraste con el registro. Esta guía muestra cada comprobación con las URL en vivo de PaidSync para que veas exactamente cómo es un resultado aprobado, todas consultadas el 1 de agosto de 2026. La lista completa de controles de un servidor MCP de Google Ads seguro está en la página de seguridad de PaidSync.ai.
Ninguna de estas comprobaciones requiere un desarrollador. Cada una es una URL que pegas en un navegador o una frase que buscas en la documentación pública. Si un servidor falla las cuatro primeras, no tienes nada que verificar, y esa ausencia es en sí misma la respuesta.
Dos incidentes que explican esta página
postmark-mcp, septiembre de 2025, el primer servidor MCP malicioso en circulación
Investigadores de Koi Security encontraron un paquete de npm llamado postmark-mcp que suplantaba la biblioteca real de correo de Postmark. Desde la versión 1.0.16 añadía una línea de código que enviaba una copia oculta de cada correo enviado a través de él a la dirección de un atacante. Se descargó 1,643 veces antes de retirarse. Informe completo en The Hacker News.
El detalle que importa a los anunciantes: postmark-mcp no habría superado ninguna de las comprobaciones siguientes, porque un paquete de npm instalado localmente no publica ninguna postura de seguridad. Ni descubrimiento OAuth, ni contacto de seguridad, ni tarjeta de servidor, ni dominio verificado en el registro. El ataque funcionó mediante suplantación de nombre, y no había nada en una dirección fija con lo que comparar el nombre. Los servidores MCP remotos que publican documentos de descubrimiento te dan algo que ningún npm install da jamás: afirmaciones verificables en URL que el operador no puede variar discretamente según el visitante.
El segundo incidente es más difuso, y la honestidad exige decirlo. En la primavera de 2026, directivos publicitarios afirmaron en debates en línea que sus cuentas publicitarias de Meta habían sido restringidas o bloqueadas tras integrar herramientas de IA. Digiday informó el 29 de abril de 2026 de que «no se ha confirmado ningún vínculo oficial entre ambas cosas», y Meta no ha publicado ninguna declaración que relacione la aplicación de normas en cuentas publicitarias con ninguna herramienta de IA. Considera la ola de bloqueos como no probada. Pero fíjate en el patrón que tenían en común los casos denunciados: tokens de API en bruto, agentes ejecutándose sin supervisión, ningún paso de aprobación entre el modelo y la cuenta en vivo. Las comprobaciones 5 y 6 de más abajo existen para descartar exactamente ese patrón antes de que conectes nada.
Las siete comprobaciones de un vistazo
Cada comprobación es una URL o un comportamiento documentado. La columna derecha es el resultado real de PaidSync para que veas un estado aprobado, no porque superar estas comprobaciones sea exclusivo de PaidSync. Cualquier servidor MCP de anuncios bien gestionado puede y debe superar las siete.
| Comprobación | Dónde mirar | Resultado de PaidSync (1 ago 2026) |
|---|---|---|
| 1. Metadatos del servidor OAuth | /.well-known/oauth-authorization-server | 200, JSON, PKCE S256 |
| 2. Metadatos del recurso protegido | /.well-known/oauth-protected-resource | 200, JSON, permisos de lectura y escritura separados |
| 3. security.txt | /.well-known/security.txt | 200, contacto + Expires 2027 |
| 4. Tarjeta del servidor MCP | /.well-known/mcp/server-card.json | 200, autenticación obligatoria, PKCE obligatorio |
| 5. Modelo de control de escrituras | Documentación pública, mecanismos con nombre | dry_run + confirm_destructive documentados |
| 6. Revocación de sesiones | Documentación o panel | Revoca en cualquier momento desde el panel |
| 7. Coherencia con el registro | Registro oficial de MCP | Ficha activa, dominios acordes con la tarjeta |
Punto 1. Metadatos del servidor OAuth
Pega este patrón en un navegador, cambiando el dominio por el del servidor:
https://<server-domain>/.well-known/oauth-authorization-serverRFC 8414 define este archivo. Es el servidor declarando, en una dirección fija, cómo hace OAuth: dónde están sus endpoints de autorización y de token, qué tipos de concesión admite y si exige PKCE (la protección contra la interceptación del código, busca S256 en code_challenge_methods_supported). Un servidor que tiene este archivo usa OAuth según los estándares. Un servidor que no lo tiene gestiona tu acceso de otra forma, a menudo pidiéndote que pegues tokens en bruto de larga duración, que es el patrón detrás de la mayoría de las historias de terror de 2026.
El archivo real de PaidSync, consultado el 1 de agosto de 2026:
https://paidsync.ai/.well-known/oauth-authorization-serverPunto 2. Metadatos del recurso protegido
RFC 9728 es el archivo complementario: el recurso declara qué servidores de autorización pueden emitir tokens para él y qué permisos existen. Hay dos cosas que leer aquí. Primero, si lectura y escritura son permisos separados, porque la separación significa que el servidor puede dar acceso a informes sin dar acceso para modificar. Segundo, si los dominios listados coinciden con el endpoint que estás a punto de configurar en Claude o ChatGPT. El modelo actual de autorización de MCP se apoya en estos dos documentos de descubrimiento, y la especificación MCP de 2026-07-28 reforzó aún más la autorización.
El archivo real de PaidSync, consultado el 1 de agosto de 2026:
https://paidsync.ai/.well-known/oauth-protected-resourcePunto 3. Archivo security.txt
RFC 9116 define el archivo donde un operador publica cómo notificar una vulnerabilidad. Busca una línea Contact y una fecha Expires en el futuro. Una fecha caducada significa que nadie lo mantiene. Un archivo ausente significa que un investigador que encuentre un fallo en el servidor que guarda tus cuentas publicitarias no tiene una vía autorizada para avisar a nadie. Es una comprobación de treinta segundos y filtra una parte sorprendente de los servidores de nivel aficionado.
El archivo real de PaidSync, consultado el 1 de agosto de 2026:
https://paidsync.ai/.well-known/security.txtComprobación 4. La tarjeta del servidor MCP
La tarjeta del servidor es el servidor describiéndose a sí mismo en formato legible por máquinas: nombre, endpoint, documentación y cómo funciona la autenticación. Lee tres campos. ¿authentication.required dice true? ¿El método OAuth apunta de vuelta a los archivos de descubrimiento de las comprobaciones 1 y 2? ¿El dominio del endpoint coincide con el sitio al que te estás conectando? Una tarjeta que no exige autenticación en un servidor de anuncios es una señal de alarma por sí sola, porque no debería existir un endpoint sin autenticar delante de cuentas publicitarias.
La tarjeta real de PaidSync, consultada el 1 de agosto de 2026:
https://paidsync.ai/.well-known/mcp/server-card.json¿Quieres ver un servidor que supera las comprobaciones desde dentro? El plan gratuito es de 100 tareas al mes, con un valor de $50, sin tarjeta.
Empieza gratis Cómo funciona el servidor MCPPunto 5. Control de escritura publicado
Cualquiera puede escribir «seguridad de nivel empresarial» en una página de inicio. Lo que buscas es distinto: documentación que nombre los mecanismos concretos que controlan las escrituras, porque los parámetros con nombre son afirmaciones comprobables. Busca en la documentación pública del servidor términos como dry_run, aprobación y confirmación para acciones destructivas. Si la documentación nunca nombra un mecanismo de control, supón que las escrituras no tienen control y actúa en consecuencia.
El modelo publicado de PaidSync, consultado el 1 de agosto de 2026, con la página de seguridad revisada de nuevo el 23 de septiembre de 2026: paidsync.ai/security indica que, por MCP, PaidSync no escribe ninguna tarjeta de aprobación, así que la comprobación humana es el aviso de confirmación de tu propio asistente. La documentación de operaciones masivas de Meta nombra ambos mecanismos: una previsualización dry_run está disponible en la mayoría de las herramientas de escritura para que inspecciones el cambio previsto antes de confirmar, y un patrón confirm_destructive se aplica a cualquier acción que modifique campañas en vivo. Las acciones de lectura nunca requieren confirmación.
Punto 6. Vía para revocar sesiones
Antes de conectar, sabe cómo desconectar. La pregunta: ¿puedes cortar el acceso de este servidor en menos de un minuto, sin rotar la contraseña de tu plataforma publicitaria? Un servidor de confianza te da dos capas. Del lado de la herramienta, un panel donde se pueden revocar sesiones y claves. Del lado de la plataforma, como la conexión se basa en OAuth, también puedes cortarla desde la configuración de seguridad de Google o de Meta. Los servidores que en cambio piden pegar tokens de API en bruto de larga duración fallan esta comprobación de forma estructural: tu único remedio es rotar credenciales, algo más lento y más fácil de olvidar.
La vía publicada de PaidSync, consultada el 1 de agosto de 2026: paidsync.ai/connect-mcp indica que el acceso se puede revocar desde tu panel de PaidSync.
Punto 7. Fichas de registro coherentes
Busca el servidor en el registro oficial de MCP y compara lo que dice el registro con la tarjeta del servidor de la comprobación 4:
https://registry.modelcontextprotocol.io/v0/servers?search=paidsyncCambia el término de búsqueda por cualquier servidor que estés evaluando. Lo que debe coincidir: los dominios del endpoint y el método de autenticación. La entrada de PaidSync en el registro, consultada el 1 de agosto de 2026, está activa, se publicó el 8 de abril de 2026, apunta a mcp.paidsync.ai y marca la clave de API como obligatoria y secreta. Todo eso concuerda con la tarjeta del servidor.
Un matiz honesto del que conviene aprender: la descripción de la entrada del registro aún conserva el texto de su instantánea de abril, que menciona más de 200 herramientas, mientras que la tarjeta del servidor en vivo refleja el catálogo actual de más de 630 herramientas en 14 plataformas. Así es la desviación benigna. Las descripciones y las cifras envejecen entre actualizaciones del registro. Los dominios no. Una cifra desactualizada es cosmética; un dominio que no coincide es como funciona la suplantación, y postmark-mcp fue exactamente un ataque de suplantación de nombre. Haz que los dominios coincidan y trata cualquier discrepancia ahí como descalificante.
Qué pasa con usar solo el MCP oficial
Una objeción razonable: ¿para qué verificar a terceros si Google lanza su propio servidor MCP? Por lo que es el servidor oficial. Google anunció su servidor MCP de código abierto de la Google Ads API el 7 de octubre de 2025 en el Google Ads Developer Blog, y el repositorio expone tres herramientas: búsqueda, metadatos de recursos y una lista de clientes accesibles. Todo lectura. Ni pausar, ni cambiar presupuesto, ni palabras clave negativas, ni mutación de ningún tipo.
That makes the official server a safe choice for reporting: since its 2 Nov 2026 release its writes cover assets and labels, each proposed first and confirmed second. The moment you want an AI to act on what it finds, you are choosing a third-party server whether you planned to or not. Meta, for its part, is opening its ad ecosystem to third-party AI tools, as Digiday covered in April 2026. So "just use the official one" does not remove the verification problem. It narrows it to the exact category where verification matters most: servers that can write. Running Google's read-only server for diagnostics alongside a verified write-capable server is a reasonable pairing, not a contradiction.
Lo que esta lista no hace
Límites honestos, léelos antes de fiarte de esto
Estas siete comprobaciones verifican la postura, no el código. Un servidor que las supera ha hecho un trabajo de seguridad verificable en público, lo que se correlaciona con hacer también el trabajo invisible, pero no es una prueba de ello. La lista no puede auditar el interior de un servidor, no puede analizar sus dependencias y no puede prometer que una plataforma publicitaria nunca marcará la actividad automatizada en tu cuenta. Además, apenas se aplica a servidores MCP basados en npm instalados localmente, que no publican ninguno de estos documentos; para ellos, tus protecciones son la procedencia del paquete y el análisis de dependencias, una disciplina distinta. Y en el caso concreto de PaidSync, para que aquí se aplique el mismo estándar: las herramientas de Search Console son de solo lectura, y TikTok, Snapchat, Reddit y Pinterest permiten gestionar y optimizar campañas existentes pero no crear nuevas, y Microsoft Ads crea campañas de búsqueda y Performance Max, en pausa. Una lista de comprobación que supera el autor de esta página sigue siendo una lista que deberías ejecutar tú mismo. Las URL están todas arriba.
Falla las comprobaciones 1 a 4: no conectes una cuenta con gasto real. No hay nada que verificar, y esa ausencia es el hallazgo.
Supera de la 1 a la 4, silencio en la 5: solo informes. No concedas permiso de escritura a un servidor cuya documentación nunca nombra sus mecanismos de control.
Supera las siete: una configuración defendible. Mantén activados los controles de aprobación, empieza con permiso de lectura y amplíalo con criterio.
Añadir a ChatGPT: abre PaidSync.ai en el directorio de plugins de ChatGPT, instálalo e inicia sesión.
Añadir a Claude: abre PaidSync.ai en el directorio de conectores de Claude, haz clic en Conectar e inicia sesión.
Preguntas frecuentes
¿Es seguro conectar Claude a mi cuenta publicitaria?
Depende por completo del servidor intermedio, no de Claude. Claude habla con tu cuenta publicitaria a través de un servidor MCP, y ese servidor guarda el acceso. Antes de conectar, haz las siete comprobaciones en el navegador de arriba: los dos archivos de descubrimiento OAuth, un security.txt, una tarjeta de servidor MCP, documentación que nombre sus mecanismos de control de escrituras, una vía de revocación de sesiones y una ficha coherente en el registro oficial de MCP. Un servidor que supera las siete, con cada escritura sujeta a aprobación humana, es una configuración defendible. Un servidor que falla las cuatro primeras no te da nada que verificar, y esa es tu respuesta.
¿Qué es una tarjeta de servidor MCP y dónde la encuentro?
Un archivo JSON legible por máquinas que un servidor MCP remoto publica en /.well-known/mcp/server-card.json y que describe qué es el servidor: nombre, endpoint, documentación y cómo funciona la autenticación. Se lee pegando la URL en un navegador. La tarjeta de PaidSync en paidsync.ai/.well-known/mcp/server-card.json declara más de 630 herramientas en 14 plataformas, marca la autenticación como obligatoria y exige PKCE en su flujo OAuth. Si un servidor MCP remoto de anuncios no tiene tarjeta ni archivos de descubrimiento OAuth, te estás conectando a un endpoint que no dice nada sobre sí mismo.
¿Puede un servidor MCP de anuncios cambiar mis campañas sin preguntarme?
Técnicamente sí, si el servidor expone herramientas de escritura sin control y concediste permiso de escritura. Por eso existe la comprobación 5: la documentación debe nombrar sus mecanismos de control. PaidSync deja la comprobación humana de cada escritura al aviso de confirmación de tu propio asistente (indicado en paidsync.ai/security), admite previsualizaciones dry_run en la mayoría de las herramientas de escritura y aplica un patrón confirm_destructive a las acciones que modifican campañas en vivo (documentado en paidsync.ai/docs/meta-bulk-operations). Si la documentación de un servidor solo dice «seguro» y «fiable» sin nombrar un parámetro que puedas probar, supón que las escrituras no tienen control.
¿Qué fue el incidente de postmark-mcp?
En septiembre de 2025, investigadores de Koi Security encontraron el primer servidor MCP malicioso confirmado en circulación: un paquete de npm llamado postmark-mcp que suplantaba la biblioteca real de Postmark. Desde la versión 1.0.16 añadía una línea de código que enviaba una copia oculta de cada correo enviado a través de él a la dirección de un atacante. Se descargó 1,643 veces antes de retirarse, según The Hacker News. La lección para los anunciantes: el paquete no superó ninguna comprobación verificable porque los paquetes instalados localmente no publican ninguna postura de seguridad. Los servidores remotos con archivos de descubrimiento OAuth publicados, un security.txt y una ficha en el registro te dan algo que verificar antes de conectar.
¿Meta bloqueó a anunciantes por conectar herramientas de IA en 2026?
Sin confirmar. En la primavera de 2026, algunos directivos publicitarios afirmaron en debates en línea que sus cuentas publicitarias de Meta fueron restringidas o bloqueadas tras integrar herramientas de IA. Digiday informó el 29 de abril de 2026 de que no se ha confirmado ningún vínculo oficial entre ambas cosas, y Meta no ha publicado ninguna declaración que relacione la aplicación de normas en cuentas publicitarias con ninguna herramienta de IA. Lo que los casos denunciados tenían en común era un patrón: tokens de API en bruto, agentes sin supervisión, ningún paso de aprobación. Las escrituras con aprobación y las sesiones revocables (comprobaciones 5 y 6) están diseñadas contra exactamente ese patrón.
¿Es más seguro el servidor MCP oficial de Google Ads que uno de terceros?
It carries less write risk: its README (read 7 Nov 2026) lists writes for assets and labels, each proposed first and confirmed second. Google's open-source Google Ads API MCP server, announced October 7, 2025, exposes seven tools in its repository since its 2 Nov 2026 release: search, resource metadata, an accessible-customers list, and four that create assets and manage labels. That makes it a solid reporting companion. The moment you want an AI to actually pause an ad, add negatives, or shift budget, you are choosing a third-party server, and that is precisely when this checklist matters most.
¿Cómo revoco el acceso de un servidor MCP a mis cuentas publicitarias?
Dos capas. Lado de la herramienta: un servidor de confianza te deja revocar sesiones y claves desde su propio panel; PaidSync indica en paidsync.ai/connect-mcp que el acceso se puede revocar desde el panel de PaidSync. Lado de la plataforma: en cualquier herramienta basada en OAuth también puedes cortar el acceso desde la propia plataforma publicitaria, en los ajustes de seguridad de Google, en acceso de terceros, y en los ajustes de Business de Meta, en integraciones. Las herramientas que en cambio piden pegar tokens de API en bruto de larga duración te obligan a rotar credenciales, algo más lento y más fácil de olvidar.
Lecturas relacionadas
Mejor MCP para la gestión de anuncios Guía de categoría → ¿Es seguro conectar ChatGPT a tu cuenta de Google Ads? Guía de categoría → Conecta tus cuentas publicitarias a Claude Guía de configuración → Operaciones masivas de Meta, la documentación de dry_run y confirm_destructive Documentación →Haz tú mismo las siete comprobaciones en PaidSync y luego conéctate con el plan gratuito. 100 tareas al mes a $0, Pro desde $99/mes cuando lo necesites.
Empieza gratis Ver precios