1Password Events a MCP: intentos de inicio de sesión, uso de elementos y eventos de auditoría en cualquier agente de IA

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → 1Password Events, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

1Password Events

Feed de actividad de una cuenta de 1Password Business mediante la 1Password Events API: intentos de inicio de sesión con resultado, cliente y ubicación, eventos de uso de elementos (rellenar, mostrar, copiar, exportar, compartir) y eventos de auditoría de cambios en usuarios, bóvedas, grupos y permisos. Solo lectura; nunca devuelve contraseñas ni otros valores secretos.

Configuración

La configuración lleva unos 5 minutos. Necesitas una cuenta de 1Password Business y un propietario o administrador que pueda configurar una integración de Events Reporting.

1. Inicia sesión en 1Password.com y abre Integrations (luego Directory si ya hay otras integraciones).
2. En Events Reporting elige tu SIEM, u Other, ponle nombre a la integración y selecciona Add Integration.
3. Configura un bearer token: un nombre, una caducidad opcional (30, 90 o 180 días; sin ella no caduca nunca) y los Events to Report: intentos de inicio de sesión, uso de elementos, eventos de auditoría. Selecciona Issue Token y guarda el token en 1Password.
4. Pega el token (un JWT largo que empieza por eyJ, sin Bearer delante) en ONEPASSWORD_EVENTS_TOKEN.
5. Pon en ONEPASSWORD_EVENTS_URL el host de eventos de la región de tu cuenta: https://events.1password.com (1password.com), https://events.ent.1password.com (ent.1password.com), https://events.1password.ca (1password.ca) o https://events.1password.eu (1password.eu).
6. Instala el conector y ejecuta onepassword_events_introspect: muestra el uuid del token, cuándo se emitió, la cuenta y, en features, qué tipos de eventos puede leer.

Solo lectura: las tres herramientas de lista son peticiones POST solo porque el cursor de paginación viaja en el cuerpo de la petición; en 1Password no cambia nada. No hay nada que escribir, así que ninguna herramienta está desactivada al instalar.

Sin valores secretos: los eventos identifican usuarios, bóvedas y elementos por uuid, con nombres, emails, direcciones IP y ubicaciones de los usuarios, pero nunca contienen contraseñas ni otros contenidos de los elementos. Para leer bóvedas y elementos usa el conector aparte 1Password Connect.

Qué lee:

• onepassword_events_list_signin_attempts: inicios de sesión correctos y fallidos con el usuario (nombre, email, uuid), hora, resultado (category como success, credentials_failed, mfa_failed, sso_failed, firewall_failed; type como credentials_ok, mfa_ok, password_secret_bad, totp_bad, country_blocked), app cliente y versión, sistema operativo, dirección IP y ubicación. Útil para accesos sospechosos, MFA fallida o países bloqueados.
• onepassword_events_list_item_usages: quién rellenó, mostró, copió, exportó, compartió o editó un elemento, o qué integración lo leyó, creó o actualizó (fill, reveal, secure-copy, export, share, enter-item-edit-mode, select-sso-provider, server-fetch, server-create, server-update), con item_uuid, vault_uuid, used_version, usuario, cliente y ubicación. Solo las apps de 1Password 8.4.0 o posteriores registran el uso de elementos.
• onepassword_events_list_audit_events: qué cambiaron los miembros del equipo en la cuenta, por ejemplo usuarios invitados, suspendidos o eliminados, accesos a bóvedas concedidos o revocados, grupos, dispositivos, cuentas de servicio y sus tokens, y exportaciones. Cada evento tiene action, object_type, el autor, el objeto, la sesión (IP, dispositivo, hora de inicio de sesión) y la ubicación.

Cada herramienta de lista necesita la feature correspondiente en el token (signinattempts, itemusages, auditevents); para una feature para la que no se emitió el token, responde 401.

Paginación: la primera llamada acepta start_time, end_time (RFC 3339, por ejemplo 2026-10-29T00:00:00Z) y limit (de 1 a 1000, 100 por defecto); sin horas devuelve la última hora. Cada respuesta trae cursor y has_more. Mientras has_more sea true, la IA vuelve a llamar a la misma herramienta solo con cursor. Un cursor sigue siendo válido entre sesiones, así que se puede guardar para traer más tarde solo los eventos nuevos. Para cambiar el intervalo o el tamaño de página, la IA empieza de nuevo sin cursor.

Formatos de datos: items contiene los eventos, del más antiguo al más reciente. Las horas son RFC 3339 en UTC. Los id son uuid de 26 caracteres como ETWZJTQCSRFPVOX74KERGHPBTU. country y location.country son códigos de país ISO. action y object_type de los eventos de auditoría son códigos cortos: grant, revoke, uva (acceso de un usuario a una bóveda), gva (acceso de un grupo a una bóveda), sa (cuenta de servicio), satoken (token de una cuenta de servicio).

Límites: 600 peticiones por minuto y 30.000 por hora por token; un 429 significa esperar a que se reinicie la ventana.

Errores comunes: 401 con {"Error":{"Message":"Unauthorized"}} significa un token incorrecto, revocado o caducado, el host regional equivocado o una feature para la que no se emitió el token. 400 significa una hora o un límite mal formados. Con 500, reintenta tras una breve espera y consulta https://status.1password.com.

El conector no lee bóvedas, elementos ni contraseñas, no cambia usuarios, bóvedas ni permisos y no emite ni revoca tokens de Events Reporting.

Requisitos previos: ONEPASSWORD_EVENTS_URL, ONEPASSWORD_EVENTS_TOKEN

Instalar el conector localmente

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Abre http://localhost:3000/connectors/store, elige 1Password Events e introduce las variables listadas en los Requisitos previos.

Herramientas disponibles

Ejemplos de prompts

• "¿Hubo intentos fallidos de inicio de sesión en nuestra cuenta de 1Password en las últimas 24 horas? Agrúpalos por usuario y país."
• "¿Qué elementos se mostraron o copiaron en los últimos 7 días, y quién lo hizo?"
• "Lista los eventos de auditoría de ayer: ¿quién fue invitado, suspendido o eliminado, y qué permisos de bóvedas cambiaron?"
• "¿Se creó o revocó este mes algún token de una cuenta de servicio?"
• "¿Qué tipos de eventos puede leer nuestro token de Events Reporting?"

Siguientes pasos

• Conectar a Claude
• Conectar a ChatGPT