Sáltate la instalación. Funcionando en menos de 2 minutos.
Inicia una prueba gratuita en cloud.anythingmcp.com, añade WorkOS con un clic y apunta tu cliente de IA (Claude, ChatGPT, Copilot o Cursor) al endpoint MCP generado. Sin Docker, sin git clone, sin experiencia de desarrollo.
Resumen
La API de WorkOS para identidad B2B en un entorno: organizaciones y sus dominios, usuarios de AuthKit, membresías, invitaciones y sesiones, conexiones SSO, directorios, usuarios y grupos de Directory Sync, exportaciones de Audit Logs, el flujo de eventos y roles y permisos RBAC. Crea y actualiza organizaciones, usuarios, membresías e invitaciones; borrar y revocar están desactivados al instalar.
Prueba a pedir
Prompts de ejemplo para WorkOS
Haz clic en un prompt para copiarlo. Pégalo en Claude, ChatGPT, Cursor, Gemini, Copilot u OpenClaw para ejecutarlo contra este conector.
Claude es IA y puede equivocarse. Verifica siempre las respuestas.
💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → WorkOS, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin
git clone, sin servidor local.
WorkOS + Gemini
La API de WorkOS para identidad B2B en un entorno: organizaciones y sus dominios, usuarios de AuthKit, membresías, invitaciones y sesiones, conexiones SSO, directorios, usuarios y grupos de Directory Sync, exportaciones de Audit Logs, el flujo de eventos y roles y permisos RBAC. Crea y actualiza organizaciones, usuarios, membresías e invitaciones; borrar y revocar están desactivados al instalar.
Requisitos previos
Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:
WORKOS_API_KEY
Paso 1 — Obtener credenciales
La configuración lleva unos 2 minutos.
- Abre https://dashboard.workos.com, elige el entorno (Sandbox o Production) en la barra superior y abre API Keys.
- Crea una secret key (
sk_..., se muestra una sola vez) y pégala enWORKOS_API_KEY, sin espacios ni el prefijoBearer. - Instala el conector y ejecuta
workos_list_organizations: lista las organizaciones del entorno y confirma la clave.
Una clave pertenece a un solo entorno y tiene acceso completo a su API: las claves de WorkOS no tienen scopes. Empieza con una clave Sandbox y usa una clave Production solo cuando la IA deba trabajar con datos reales.
Datos personales y sensibles: la clave llega a los datos de identidad de todas las organizaciones del entorno, y la IA lee todo lo que devuelve una herramienta: nombres y direcciones de email, identidades de inicio de sesión, direcciones IP y user agents de las sesiones, usuarios de directorio con su puesto, metadatos e id de cliente de Stripe de las organizaciones, y el contenido de los registros de auditoría. workos_get_directory_user y workos_get_directory_group devuelven completos los atributos en bruto del proveedor, que pueden incluir teléfonos, responsable, departamento y números de empleado; las herramientas de lista los omiten. La IA comparte solo lo que la tarea necesita.
Valores secretos: el conector nunca devuelve la clave de API. En las respuestas de invitaciones se eliminan token y accept_invitation_url, porque con ese enlace puede unirse a la organización cualquiera que lo tenga. workos_get_audit_log_export devuelve un enlace de descarga de corta duración (url) al CSV; la IA lo trata como una contraseña y no lo pega en ningún otro sitio.
Organizaciones y dominios: workos_list_organizations (filtro por texto del nombre o dominio), workos_get_organization, workos_get_organization_by_external_id, workos_create_organization y workos_update_organization. workos_create_organization_domain añade un dominio como pendiente con un registro DNS TXT (verification_prefix, verification_token) que publica el titular del dominio; luego workos_verify_organization_domain inicia la comprobación y workos_get_organization_domain muestra el estado.
Usuarios, membresías y roles: workos_list_users (por email u organization_id), workos_get_user, workos_get_user_by_external_id, workos_create_user (sin contraseña; la persona entra con Magic Auth, inicio de sesión social, SSO o una invitación) y workos_update_user; proveedores de inicio de sesión con workos_list_user_identities, sesiones con workos_list_user_sessions. Membresías: workos_list_organization_memberships, workos_get_organization_membership, workos_create_organization_membership, workos_update_organization_membership para cambiar el rol, y workos_deactivate_organization_membership y workos_reactivate_organization_membership para bloquear y restaurar el acceso. Los slugs de los roles salen de workos_list_roles, workos_get_role y workos_list_organization_roles (los roles propios empiezan por org-), los permisos de workos_list_permissions.
Invitaciones: workos_list_invitations, workos_get_invitation, workos_send_invitation (WorkOS envía el email por sí mismo) y workos_resend_invitation.
SSO y Directory Sync: workos_list_connections y workos_get_connection muestran el tipo de conexión y el state (active significa que los usuarios pueden iniciar sesión). workos_list_directories, workos_get_directory, workos_list_directory_users (necesita directory o group), workos_get_directory_user, workos_list_directory_groups (necesita directory o user) y workos_get_directory_group leen los usuarios y grupos sincronizados; workos_sync_directory pone en cola una sincronización al momento.
Audit Logs y eventos: workos_list_audit_log_actions y workos_list_audit_log_schemas muestran qué se registra. workos_create_audit_log_export inicia una exportación CSV para un intervalo de tiempo (no escribe eventos) y workos_get_audit_log_export informa de su estado hasta que state sea ready; workos_get_audit_log_retention indica cuántos días se guardan los eventos. workos_list_events lee el flujo de eventos por tipo (user.created, organization_membership.updated, dsync.user.created, connection.activated, etc.) con range_start y range_end; order: asc los reproduce en orden. La API guarda 90 días de eventos, y una llamada abarca como mucho 30 días.
Actualizaciones: workos_update_organization y workos_update_user cambian solo los campos que pasas, pero domain_data y metadata sustituyen el valor guardado, así que la IA envía la lista o el objeto completos. Cambiar el email de un usuario pone email_verified a false. Un rol nuevo en una membresía sustituye al actual.
Desactivadas al instalar: workos_delete_organization, workos_delete_organization_domain, workos_delete_user, workos_delete_organization_membership, workos_revoke_invitation, workos_revoke_session y workos_create_audit_log_event. No se pueden deshacer (los eventos de auditoría no se pueden quitar una vez escritos), así que un administrador del espacio de trabajo las activa cuando el equipo las necesita.
Formatos de datos: los id llevan un prefijo de tipo (org_, org_domain_, user_, om_, invitation_, session_, conn_, directory_, directory_user_, directory_group_, audit_log_export_, event_). Las marcas de tiempo son ISO 8601 en UTC. Las listas llegan como {"object": "list", "data": [...], "list_metadata": {...}}. Los valores de metadata son cadenas.
Paginación: las listas devuelven 10 elementos por defecto, hasta 100 con limit, del más reciente al más antiguo. Para la página siguiente la IA pasa list_metadata.after como after y se detiene cuando es null; workos_list_events pagina igual.
Límites: 6.000 peticiones por minuto por clave; AuthKit 1.000 lecturas y 500 escrituras cada 10 segundos; usuarios de directorio 4 peticiones por segundo por directorio; borrados de organizaciones 50 por minuto. Los emails de invitación cuentan para los límites de envío de email de WorkOS.
Errores comunes: 401 significa una clave incorrecta o revocada. 403 significa que la clave no puede hacer eso o que la función no está activada en el entorno. 404 significa un id desconocido, o un id de otro entorno. 400 o 422 significa un campo no válido, que el cuerpo de la respuesta indica. 429 significa límite de peticiones: espera y reintenta una vez.
El conector no configura conexiones SSO, branding de AuthKit, redirect URIs, Vault, Pipes ni claves de API, no establece contraseñas y nunca inicia sesión en nombre de nadie.
Paso 2 — Instalar el adapter
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
Paso 3 — Añadir el conector en Gemini
La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (
https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestraYOUR_SERVER_ID.
Gemini CLI lee los servidores MCP de ~/.gemini/settings.json (en Windows, %USERPROFILE%\.gemini\settings.json). Añade:
{
"mcpServers": {
"anythingmcp": {
"httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
"headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
}
}
}
- Crea una clave de API MCP en AnythingMCP en MCP Servers → tu servidor → API keys y pégala en lugar de
YOUR_MCP_API_KEY. - Guarda el archivo y reinicia
gemini. - Ejecuta
/mcpdentro de Gemini CLI (ogemini mcp listen tu terminal):anythingmcpdebería aparecer como conectado. - Empieza a escribir prompts: Gemini CLI ya puede llamar a las herramientas de
WorkOS.
Herramientas disponibles
| Tool | What it does |
|---|---|
workos_list_organizations | List organizations (the customer companies of this WorkOS environment), newest first: id, name, external_id, domains with their… |
workos_get_organization | One organization by id: name, domains (each with id, state and verification strategy), external_id, stripe_customer_id, metadata and… |
workos_get_organization_by_external_id | One organization by the external_id your own application stored on it |
workos_create_organization | Create an organization |
workos_update_organization | Update an organization: name, domains (domain_data replaces the whole list), external_id, Stripe customer id, metadata or the… |
workos_delete_organization | Permanently delete an organization together with its SSO connections and directories |
workos_get_organization_domain | One organization domain: domain name, state (pending, verified, failed, legacy_verified), verification strategy (dns or manual), the DNS… |
workos_create_organization_domain | Add a domain to an organization |
workos_verify_organization_domain | Start DNS verification of a pending organization domain after its TXT record was published |
workos_delete_organization_domain | Remove a domain from its organization |
workos_list_users | List AuthKit users of the environment, newest first: id, email, email_verified, first and last name, profile picture URL, external_id… |
workos_get_user | One AuthKit user by id: email, verification state, names, external_id, metadata, locale and last sign-in time |
workos_get_user_by_external_id | One AuthKit user by the external_id your own application stored on it |
workos_create_user | Create an AuthKit user without a password; the person signs in with a method enabled in the environment (Magic Auth, social or SSO) or… |
workos_update_user | Update an AuthKit user: name, email (resets email_verified to false), email_verified, external_id, metadata or locale |
workos_delete_user | Permanently delete an AuthKit user with their memberships, identities and sessions |
workos_list_user_identities | The sign-in identities linked to a user: provider (e.g |
workos_list_user_sessions | A user's AuthKit sessions, newest first: id, status, auth_method, organization_id, ip_address, user_agent, impersonator, expires_at and… |
workos_revoke_session | End one AuthKit session (sign the user out of that device) |
workos_list_organization_memberships | List organization memberships (which user belongs to which organization, with role(s) and status active, inactive or pending) |
workos_get_organization_membership | One organization membership: user, organization, role(s), status, whether a directory manages it, and IdP custom attributes |
workos_create_organization_membership | Add an existing AuthKit user to an organization with one role (role_slug) or several (role_slugs) |
workos_update_organization_membership | Change the role(s) of an organization membership; the new role replaces the current one |
workos_deactivate_organization_membership | Deactivate a membership: the user keeps the account and the membership record but can no longer sign in to that organization |
workos_reactivate_organization_membership | Reactivate an inactive membership, with its previous role(s) |
workos_delete_organization_membership | Permanently remove a user from an organization |
workos_list_invitations | List invitations, newest first: email, state (pending, accepted, expired, revoked), organization, role, inviter, expires_at |
workos_get_invitation | One invitation by id with its state and expiry, without the token and accept link |
workos_send_invitation | Invite someone by email, optionally into an organization with a role |
workos_resend_invitation | Send the email of a pending invitation again, optionally in another language |
workos_revoke_invitation | Revoke a pending invitation so its link stops working |
workos_list_connections | List SSO connections, newest first: id, name, organization_id, connection_type (OktaSAML, AzureSAML, GoogleOAuth, GenericOIDC, ...), state… |
workos_get_connection | One SSO connection by id: connection type, state, organization and domains |
workos_list_directories | List Directory Sync directories (SCIM, Entra ID, Google Workspace, Okta, BambooHR, ...), newest first: id, name, type, state (linked… |
workos_get_directory | One directory: type, state, organization, domain and user and group counts |
workos_sync_directory | Ask WorkOS to sync a directory from its provider now |
workos_list_directory_users | List users synced from a directory or a directory group: name, emails, username, job title, state (active, suspended, inactive), role(s)… |
workos_get_directory_user | One directory user with everything the provider sent, including raw_attributes (can hold phone numbers, manager, department, employee ids) |
workos_list_directory_groups | List groups synced from a directory, or the groups of one directory user: id, name, idp_id. raw_attributes are left out |
workos_get_directory_group | One directory group by id: name, idp_id, directory, organization and the provider's raw_attributes |
workos_list_audit_log_actions | List the Audit Logs actions configured in the environment (e.g. user.signed_in, document.updated) with their latest schema |
workos_list_audit_log_schemas | List the schema versions of one Audit Logs action: allowed target types and the actor, target and metadata JSON schemas |
workos_create_audit_log_event | Write an event into an organization's audit log |
workos_create_audit_log_export | Start a CSV export of an organization's audit log events for a time range, optionally filtered by actions, actors and target types |
workos_get_audit_log_export | State of an audit log export (pending, ready, error) |
workos_get_audit_log_retention | How many days an organization's audit log events are kept (retention_period_in_days) |
workos_list_events | Read the environment's event stream (what happened in WorkOS and at the connected identity and directory providers): id, event type… |
workos_list_roles | List the environment roles (RBAC) with slug, name, description, permissions and type, the roles every organization starts with |
workos_get_role | One environment role by slug: name, description, type and its permission slugs |
workos_list_organization_roles | All roles available in one organization: the environment roles plus its own custom roles (slugs starting with org-), with permissions |
workos_list_permissions | List the RBAC permissions defined in the environment: slug, name, description |
Ejemplos de prompts
- "¿Qué organizaciones tienen una conexión SSO que aún no está activa?"
- "Lista los miembros de la organización Acme Corp con su rol y estado."
- "Invita a [email protected] a la organización Acme Corp con el rol admin."
- "¿Qué directorios están en estado invalid_credentials, y a qué organizaciones pertenecen?"
- "Exporta el registro de auditoría de Acme Corp de octubre como archivo CSV."
FAQ
¿Dónde busca Gemini CLI los servidores MCP? En ~/.gemini/settings.json para tu usuario, o en .gemini/settings.json dentro de un proyecto. gemini mcp list muestra cada servidor y si se conecta.
Siguientes pasos
- Página del conector
- Conectar a Claude
- Conectar a ChatGPT
- Conectar a Cursor
- Conectar a Meta Muse
- Conectar a Microsoft Copilot
¿Te ha sido útil esta guía?