Configuró un conector en Copilot Studio para extraer datos de Salesforce, SharePoint o una API personalizada. La conexión funciona durante unas horas o días y luego falla con un error de autenticación. Esto le obliga a volver a autenticarse manualmente cada vez, lo que interrumpe los flujos de trabajo del copiloto y hace perder tiempo. La causa principal suele ser una discrepancia entre la configuración de actualización de tokens del conector y las políticas aplicadas por el servicio externo. Este artículo explica por qué los tokens de autenticación caducan prematuramente y proporciona los pasos exactos para solucionar el problema de forma permanente.
Puntos clave: Solución de la autenticación del conector de Copilot Studio
- Configuración de autenticación del conector > Duración del token: Aumente la duración del token en el servicio externo para que coincida con el intervalo de actualización de Copilot Studio.
- Concesión de credenciales de cliente de OAuth 2.0: Utilice este tipo de concesión en lugar de la concesión de código de autorización para reducir los requisitos de intervención del usuario.
- Consentimiento de la entidad de servicio: Otorgue consentimiento de administrador para todo el inquilino para el registro de aplicación del conector para evitar la caducidad del consentimiento por usuario.
Por qué los tokens de autenticación del conector de Copilot Studio caducan antes de tiempo
Cuando crea un conector en Copilot Studio, la plataforma utiliza OAuth 2.0 o autenticación con clave de API para acceder a servicios externos. El servicio externo emite un token de acceso con una duración predefinida. Si esa duración es más corta que el tiempo de espera de inactividad o la cadencia de actualización de Copilot Studio, el token caduca antes de que el copiloto lo necesite de nuevo.
Varios factores provocan la caducidad temprana del token:
Configuración predeterminada de la duración del token en servicios externos
Muchas plataformas SaaS establecen duraciones de token predeterminadas cortas por seguridad. Por ejemplo, Salesforce establece de forma predeterminada un token de acceso de 15 minutos. Microsoft Entra ID establece de forma predeterminada de 60 a 90 minutos según la configuración del inquilino. Copilot Studio no actualiza los tokens automáticamente en segundo plano. Reutiliza el token almacenado hasta la siguiente interacción del usuario. Si el token caduca durante ese período de inactividad, el conector falla.
Concesión de código de autorización de OAuth 2.0 frente a concesión de credenciales de cliente
Los conectores de Copilot Studio que utilizan la concesión de código de autorización requieren que un usuario inicie sesión y dé su consentimiento. El token de actualización obtenido mediante este flujo tiene una duración máxima establecida por el proveedor de identidades. Muchos proveedores establecen duraciones de token de actualización de 24 horas o menos. Después de eso, el usuario debe volver a autenticarse. La concesión de credenciales de cliente no depende de la presencia del usuario. Utiliza una entidad de servicio que puede solicitar nuevos tokens automáticamente.
Acceso condicional y políticas de sesión
Si el servicio externo o Microsoft Entra ID tienen políticas de acceso condicional, pueden forzar la reautenticación a intervalos más cortos que la duración del token. Por ejemplo, una política de frecuencia de inicio de sesión establecida en 1 hora invalidará cualquier token con más de 60 minutos, independientemente de su caducidad original.
Pasos para evitar que caduque la autenticación del conector
Siga estos pasos en orden. Cada paso aborda una causa específica de caducidad temprana.
- Identifique el conector y su tipo de autenticación
Abra Copilot Studio. Vaya a Configuración > Conectores. Seleccione el conector que sigue fallando. Anote el método de autenticación indicado: OAuth 2.0, clave de API o autenticación básica. Para OAuth 2.0, anote si utiliza código de autorización o credenciales de cliente. - Aumente la duración del token en el servicio externo
Inicie sesión en la consola de administración del servicio externo. Localice la configuración de seguridad o de API. Busque la configuración de duración del token de acceso. Auméntela al máximo permitido. Para Salesforce, establézcala en 24 horas. Para Microsoft Entra ID, establézcala en 8 horas o el máximo del inquilino. Guarde el cambio. - Cambie a la concesión de credenciales de cliente donde sea compatible
Si el conector utiliza la concesión de código de autorización, compruebe si el servicio externo admite credenciales de cliente de OAuth 2.0. En Copilot Studio, edite el conector. En Autenticación, seleccione OAuth 2.0 Client Credentials. Introduzca el ID de cliente y el secreto de cliente del registro de aplicación. Esto elimina la necesidad de un token de actualización y del consentimiento del usuario. - Otorgue consentimiento de administrador para todo el inquilino para el registro de aplicación
Abra el centro de administración de Microsoft Entra. Vaya a Identidad > Aplicaciones > Registros de aplicaciones. Busque el registro de aplicación creado por Copilot Studio para el conector. Seleccione Permisos de API. Haga clic en Conceder consentimiento de administrador para [tenant name]. Confirme el consentimiento. Esto evita la caducidad del token por usuario. - Ajuste las políticas de acceso condicional
En el centro de administración de Microsoft Entra, vaya a Protección > Acceso condicional. Busque la política que se aplica al registro de aplicación. Establezca la frecuencia de inicio de sesión en Cada vez o elimine el requisito de frecuencia. Como alternativa, cree una exclusión para el registro de aplicación del conector. Guarde el cambio de política. - Pruebe el conector después de los cambios
Vuelva a Copilot Studio. Seleccione el conector y haga clic en Probar conexión. Ejecute una acción de ejemplo que llame al servicio externo. Verifique que la conexión se realice correctamente. Espere 24 horas y vuelva a probar. Si la conexión sigue funcionando, la solución está completa.
Si la autenticación del conector de Copilot Studio sigue caducando
Algunos conectores requieren configuración adicional más allá de los pasos estándar. Los siguientes problemas y soluciones cubren los patrones de fallo más comunes que quedan.
El conector devuelve 401 No autorizado después de 8 horas
La duración predeterminada del token de Microsoft Entra ID es de 60 a 90 minutos. Si la establece en 8 horas pero el conector sigue fallando después de 8 horas, el problema es la duración del token de actualización. En el servicio externo, localice la configuración de tiempo de espera del token de actualización. Auméntela a 90 días o al máximo permitido. Para Microsoft Entra ID, utilice la hoja Política de duración de tokens para establecer las duraciones del token de acceso y del token de actualización.
Copilot Studio muestra “Token expirado” después de un período de inactividad
Copilot Studio no actualiza los tokens automáticamente mientras el copiloto está inactivo. Para solucionarlo, agregue un desencadenador de reautenticación en el flujo del copiloto. Cree un tema que se ejecute cada hora. En ese tema, agregue un paso Llamar a una acción que utilice el conector. Esto obliga a Copilot Studio a comprobar el token y actualizarlo si es necesario. La acción puede ser una operación de lectura simple que no devuelva datos.
El conector utiliza una clave de API y esta caduca
Algunos servicios externos emiten claves de API con una fecha de caducidad. Inicie sesión en el servicio externo y genere una nueva clave de API que no caduque. Si el servicio no admite claves sin caducidad, debe actualizar el conector manualmente antes de que caduque la clave. Establezca un recordatorio en el calendario para rotar la clave cada 30 o 90 días.
Comparación de los tipos de autenticación del conector de Copilot Studio
| Elemento | OAuth 2.0 Authorization Code | OAuth 2.0 Client Credentials | API Key |
|---|---|---|---|
| Se requiere interacción del usuario | Sí, en la configuración inicial y después de la caducidad del token | No | No |
| Mecanismo de actualización del token | Token de actualización con duración limitada | Solicitud automática de credenciales de cliente | Sin actualización, la clave debe reemplazarse |
| Ideal para | Servicios que requieren contexto de usuario | Escenarios de servidor a servidor | API simples con claves estáticas |
| Causa común de caducidad | Tiempo de espera del token de actualización o revocación del consentimiento del usuario | Rotación del secreto de cliente o anulación de la política | Fecha de caducidad codificada de forma rígida en la clave |
Ahora puede configurar los conectores de Copilot Studio para que la autenticación no caduque de forma inesperada. Comience aumentando las duraciones de los tokens en el servicio externo y cambiando a la concesión de credenciales de cliente cuando sea posible. Para los conectores que deben usar el código de autorización, otorgue consentimiento de administrador para todo el inquilino para eliminar la caducidad por usuario. Para evitar fallos futuros, establezca un recordatorio mensual en el calendario para revisar las políticas de duración de tokens de cada servicio conectado.