Cómo conectar Claude a Salesforce con Claudeforce: guía de configuración paso a paso

Matthew McConaughey nunca tuvo que registrar una aplicación cliente externa. Pero si hubiera intentado configurar Claudeforce por su cuenta, probablemente se habría quedado atascado en este paso.

Salesforce ahora permite que Claude se conecte a tu organización a través de sus servidores MCP alojados. La buena noticia es que la configuración es bastante sencilla. La no tan buena es que requiere aplicaciones cliente externas, ámbitos de OAuth, URLs de retorno y algunos ajustes que son muy fáciles de pasar por alto.

¿Quieres ver lo que ClaudeForce puede hacer por ti? Mira el lanzamiento aquí.

Aquí te mostramos cómo conectar Claude con Salesforce y siete cosas que conviene saber durante el proceso.

Antes de comenzar

Necesitarás permisos de administrador del sistema o equivalentes en Salesforce para configurar la conexión. También necesitarás acceso a Claude y deberás prever algo de tiempo adicional después de crear la aplicación cliente externa, ya que Salesforce indica que una aplicación nueva puede tardar hasta 30 minutos en estar disponible.

También necesitarás descargar e instalar Claude Desktop. Una vez instalado, abre Claude, ve a la Complementos sección y busca el Salesforce (Beta) conector.

Antes de crear algo importante con esto, conviene saber un detalle más: los servidores MCP alojados de Salesforce todavía están en beta. Ten en cuenta que el producto, la documentación y el proceso de configuración seguirán cambiando a medida que Salesforce desarrolle la funcionalidad.

1. Comienza con una aplicación cliente externa

El primer paso es registrar Claude en Salesforce. Ve a Configuración de Salesforce, busca Cliente externo, abre el Administrador de aplicaciones cliente externas y haz clic en Nueva aplicación cliente externa. Completa la información básica de tu integración con Claude.

Si llevas tiempo trabajando con integraciones de Salesforce, tu primer impulso podría ser crear una aplicación conectada. No lo hagas. Salesforce exige específicamente una aplicación cliente externa (ECA) para los servidores MCP alojados. Las aplicaciones conectadas no son compatibles con esta configuración.

La ECA es, básicamente, la forma en que Salesforce reconoce a Claude como una aplicación externa aprobada y controla cómo puede autenticarse en tu organización.

Hay una salvedad para las organizaciones temporales. Salesforce no permite crear aplicaciones cliente externas directamente dentro de una organización temporal desde Configuración. En su lugar, debes crear la ECA en una organización Dev Hub, agregarla a un paquete e instalar ese paquete en tu organización temporal. Sin embargo, en la mayoría de las organizaciones normales y los sandboxes, puedes crear la ECA directamente desde Configuración.

2. Habilita OAuth

Una vez que hayas ingresado la información básica de la aplicación cliente externa, expande API (Habilitar configuración de OAuth) y selecciona Habilitar OAuth. Esto es lo que permite que Claude se autentique con Salesforce.

Claude no obtiene una conexión especial sin restricciones a tu organización de Salesforce. La conexión pasa por la infraestructura de servidores MCP alojados de Salesforce, y OAuth controla la autenticación y el acceso.

Claude -> OAuth -> Aplicación cliente externa -> Servidor MCP alojado -> Salesforce

Salesforce sigue siendo responsable de autenticar al usuario y determinar a qué puede acceder esa conexión.

‍

3. Agrega los ámbitos de OAuth para MCP

Esta es probablemente la parte de la configuración en la que es más fácil equivocarse. Después de habilitar OAuth, agrega estos dos ámbitos: Acceder a servidores MCP (mcp_api) y Realizar solicitudes en cualquier momento (refresh_token).

El primero es especialmente importante. El ámbito mcp_api es lo que le da al cliente autenticado acceso a los servidores MCP de Salesforce. También es fácil pasarlo por alto porque es específico de este nuevo flujo de trabajo de MCP y no es uno de los ámbitos tradicionales de la API de Salesforce que podrías seleccionar por costumbre.

El ámbito refresh_token permite que Claude mantenga la conexión autorizada sin que el usuario tenga que volver a autenticarse cada vez que venza el token de acceso. Para producción, Salesforce recomienda considerar períodos de validez más cortos para los tokens de actualización y la rotación de tokens de actualización para reforzar la seguridad.

4. Agrega la URL de retorno de Claude

A continuación viene un campo pequeño que puede causar un dolor de cabeza sorprendentemente grande. Para Claude, Salesforce documenta actualmente la siguiente URL de retorno:

https://claude.ai/api/mcp/auth_callback

Cópiala exactamente. La URL de retorno le indica a Salesforce adónde enviar al usuario después del proceso de autorización de OAuth. Es específica del cliente MCP que estás conectando, así que no puedes simplemente copiar una URL de retorno de un tutorial de Cursor, Postman u otro tutorial de MCP.

Si Claude envía una URL de retorno durante la autenticación y tu aplicación cliente externa tiene otra registrada, el intercambio de OAuth fallará. Lo frustrante es que los errores de OAuth no siempre indican con claridad que el problema es la URL de retorno. Así que, muy bien, muy bien, muy bien. Copia y pega esta.

5. Configura los ajustes de seguridad

En Seguridad, Salesforce indica que selecciones Emitir tokens de acceso basados en JSON Web Token (JWT) para usuarios específicos. Para la configuración inicial, es mejor seguir de cerca la configuración documentada por Salesforce en lugar de activar opciones adicionales solo porque parecen útiles.

Sin embargo, una vez que superes la etapa de pruebas, hay varios controles de seguridad que conviene considerar. Salesforce permite restringir el acceso a la aplicación cliente externa mediante conjuntos de permisos y políticas de usuarios preautorizados. Salesforce también recomienda considerar períodos de validez más cortos para los tokens de actualización y la rotación de tokens de actualización. El cierre de sesión único también puede ser útil porque permite finalizar la sesión del cliente MCP correspondiente cuando se revoca el acceso a Salesforce.

Las restricciones de IP son otra opción, pero Salesforce advierte que algunos clientes MCP pueden operar con más direcciones IP de las que una lista de permitidas puede abarcar de forma práctica. El punto principal es sencillo: hacer que Claudeforce funcione y decidir cómo protegerlo en producción son dos pasos distintos.

6. Guarda la aplicación y dale algo de tiempo a Salesforce

Una vez configurados OAuth y los ajustes de seguridad, crea la aplicación cliente externa. Luego espera. Salesforce indica que una ECA recién creada puede tardar hasta 30 minutos en estar disponible y operativa. Si intentas conectar Claude de inmediato y la autenticación falla, eso no significa necesariamente que hayas configurado algo mal

Una vez que la ECA se haya propagado, ábrela y ve a Ajustes -> Clave y secreto del consumidor dentro de los ajustes de OAuth. Obtén la clave del consumidor y guárdala de forma segura. Necesitarás esa información para completar la conexión desde tu cliente MCP.

7. Completa la conexión en Claude

En este punto, el lado de Salesforce de la conexión está listo. Registraste Claude como una aplicación cliente externa, habilitaste OAuth, otorgaste acceso a MCP, configuraste la URL de retorno de Claude y generaste las credenciales necesarias para autenticarte.

El último paso es agregar la conexión MCP de Salesforce desde Claude usando la información del servidor MCP y las credenciales de tu configuración de Salesforce. Claude te guiará por el flujo de OAuth de Salesforce, donde te autenticarás con Salesforce y autorizarás la conexión.

Si la conexión falla en este punto, revisa la configuración paso a paso hacia atrás antes de cambiar todo a la vez. Comprueba que la ECA haya tenido suficiente tiempo para propagarse, confirma la URL de retorno, asegúrate de que mcp_api y refresh_token estén presentes y verifica que el usuario de Salesforce realmente tenga permiso para usar la aplicación cliente externa.

Una vez que la autenticación se completa correctamente, Claude puede empezar a interactuar con Salesforce a través del servidor MCP alojado. Muy bien, muy bien, muy bien. Ya tienes Claudeforce.

‍

Conectar Claude es solo el comienzo

Configurar Claudeforce es manejable una vez que sabes qué ajustes de Salesforce importan. Pero hay otro problema que cobra más importancia cuando empiezas a usarlo más allá de una sola organización de prueba: ¿cómo mantienes toda esta configuración consistente?

Tu aplicación cliente externa ahora forma parte de tu configuración de Salesforce. Tiene ámbitos de OAuth, políticas de seguridad, ajustes de tokens y, posiblemente, conjuntos de permisos asociados. Hoy sabes exactamente por qué existen esos ajustes. Dentro de seis meses, alguien puede haber cambiado un ámbito, otro administrador puede haber actualizado la política de seguridad o tu equipo puede necesitar la misma configuración en otra organización de Salesforce.

Y eso resulta especialmente interesante para las empresas que administran varias organizaciones de Salesforce. Si Claude está configurado en desarrollo y luego necesitas la misma configuración en QA, preproducción, producción o en la organización de otra unidad de negocio, recrear todo manualmente introduce otra oportunidad para que surjan diferencias de configuración.

Conectar Claude con Salesforce es un desafío. Asegurarte de que la configuración de Salesforce detrás de esa conexión sea consistente en todas tus organizaciones y de que los cambios se puedan desplegar con confianza es otro.

Y ese es exactamente el tipo de problema de configuración de Salesforce que se vuelve mucho más fácil de resolver cuando tratas la configuración como código.