Imagina un asistente que lee oportunidades, actualiza contactos y responde desde Slack o WhatsApp. Hoy, en muchas orgs, ese asistente opera con la misma identidad que la persona a la que ayuda.
Si algo sale mal, el rastro apunta al humano, no al agente. Eso está por cambiar.
En TDX, Salesforce presentó la idea detrás de AIforce (entonces llamada Headless 360). La promesa es llevar el contexto de la plataforma a la superficie donde ya trabajas, sin forzar el browser.
El Headless Toolkit es la pieza que convierte esa idea en producto usable. Con ambos llega un requisito nuevo.
Vas a tener que registrar cada agente que interactúe con Salesforce. Ese registro no es un trámite cosmético.
Es la misma palanca que da identidad, gobernanza y facturación al agente. Si ya exploras agentes de IA o tienes integraciones sobre Salesforce, este anuncio te toca de cerca.
Vale la pena entenderlo antes de que el aviso formal de Agentic Identity empiece a correr los plazos.
El problema de prestarle la credencial al agente
Hasta ahora, muchos agentes externos se conectan con OAuth o API keys atadas a un usuario. El agente hereda permisos de esa persona.
Puede ver lo mismo, escribir lo mismo y, en el peor caso, romper lo mismo. Eso genera tres fricciones claras.
Primero, auditoría confusa: no sabes si el cambio lo hizo María o el bot que la asiste. Segundo, permisos de más: el agente suele recibir un permission set ancho, pensado para humanos.
Tercero, consumo invisible: el tráfico agentic se mezcla con el de integraciones clásicas. No hay una categoría limpia para medirlo.
Agentic Identity apunta a cortar ese hábito. En lugar de prestarle la credencial a alguien, le emites una propia.
Es como darle su propia tarjeta de acceso, no la del empleado de al lado.
Qué es AIforce (y qué no es)
AIforce es el concepto. Habla de llevar el contexto de Customer 360 a la interfaz donde ya estás: un IDE, un chat, un portal o un canal de mensajería.
No te obliga a vivir dentro del browser de Salesforce para que el agente haga su trabajo. No es un producto suelto con un botón mágico.
Es el marco que justifica por qué Salesforce invierte en APIs, protocolos y controles pensados para agentes que viven afuera de la UI clásica.
Si quieres ver cómo se traduce esto en implementaciones reales, en Vantegrate trabajamos justo en esa frontera. Agentes que conversan, venden y operan sin que el usuario abra otra pestaña.
Headless Toolkit: la pieza que lo hace real
El Headless Toolkit es la funcionalidad. Permite que un agente construya, actúe y entregue resultados sin UI Salesforce en el medio.
Habla MCP (Model Context Protocol) y APIs directas. Habla superficies externas.
Hacia noviembre, Salesforce planea soltar un paquete concreto alrededor de ese toolkit. Incluye controles de seguridad, registro agentic y un modelo de billing nuevo.
Las tres cosas vienen juntas a propósito. El mismo paso de registro que crea la identidad del agente es el que lo hace visible, gobernable y facturable.
No hay un formulario de seguridad por un lado y otro de costos por el otro. Es una sola palanca.
Por qué el registro importa más que el marketing del anuncio
Registrar un agente en la Platform significa que un admin crea una identidad discreta para ese agente. Deja de operar bajo la identidad del humano al que asiste.
La Agentic Identity de Salesforce permite que cada agente opere con sus propias credenciales, resolviendo problemas de auditoría, permisos excesivos y consumo invisible que surgen al usar identidades
Sobre esa identidad puedes colgar un permission set más estrecho. Menos objetos, menos campos y menos acciones.
El agente recibe solo lo que necesita para su trabajo. No el menú completo de un usuario de ventas o de service.
Eso es seguridad de verdad, no un checklist. Si tu política de seguridad pide mínimo privilegio, Agentic Identity es la forma de aplicarlo a bots, no solo a personas.
También mejora la transparencia de datos. Cuando cada agente tiene nombre propio en la Platform, puedes responder con claridad quién tocó qué, cuándo y con qué alcance.
Seguridad y billing: la misma palanca
Es tentador leer el anuncio como dos noticias distintas: una de compliance y otra de precios. No lo son.
Sin registro, Salesforce no puede atribuir el tráfico agentic con nitidez. Sin atribución, no hay gobernanza fina ni metering limpio.
Por eso el registro abre las dos puertas al mismo tiempo. Para ti, como admin o líder tech, el mensaje práctico es simple.
Si vas a seguir usando agentes que llaman a Salesforce, planifica el registro como un proyecto. No como un click del último día.
Headless Platform Interaction (HPI): la unidad nueva
Una vez registrado el agente, el uso se puede seguir en Digital Wallet. Ahí entran los Flex Credits.
Salesforce sumó un usage type nuevo dentro de la categoría Customer 360 Platform de la Flex Credits Rate Card. Ese tipo mide las llamadas que un agente registrado hace a la plataforma vía AIforce y Headless Toolkit.
Cada llamada exitosa cuenta como una Headless Platform Interaction (HPI). No importa si llega por MCP o por API directa.
Si el agente registrado habla con Salesforce y la llamada cierra bien, hay HPI. Los multiplicadores de ese usage type todavía no están publicados.
Aparecen como TBA y, por ahora, el uso agentic no se meterea. Salesforce promete 30 días de aviso antes de poner un número y empezar a cobrar en créditos.
Mientras tanto, conviene mirar el Rate Card y seguir de cerca cuándo aparece el costo de un HPI. Si tu org ya mira precios de productos agentic con cuidado, este renglón nuevo merece una fila en tu hoja de costos.
Qué cambia si tu org es nueva o ya existente
Los plazos no son iguales para todos.
Si compras a partir de la fecha de publicación del anuncio, vas a tener que registrar todos los agentes que usen APIs de Salesforce. El plazo es de tres meses desde el aviso de que Agentic Identity está disponible.
Si ya eres cliente y usas agentes con APIs, el momento clave es la renovación. Ahí te van a pedir registrar agentes y migrar esas conexiones al nuevo modelo de billing.
Hay un caso transversal. El uso de cualquier servidor MCP de Salesforce exige registro de agentes dentro de tres meses desde el aviso, para todos los clientes.
No importa si eres nuevo o histórico. MCP no es un atajo para esquivar Agentic Identity.
Es, de hecho, el canal donde el requisito llega más temprano y más parejo.
Sandbox gratis, producción con medidor
Hay una buena noticia para quien construye. Los HPI se consumen en orgs de producción activas, una vez que el Rate Card tenga números y el agente esté registrado.
Sandboxes, scratch orgs y Developer Edition no generan metering de HPI en Digital Wallet. Puedes construir, romper y probar sin quemar Flex Credits en el ensayo.
Los créditos sembrados en la org cubren el despliegue a producción y las pruebas en ese entorno. El mensaje es claro: experimenta barato, mide en serio cuando el tráfico sea real.
Las integraciones tradicionales no cambian de precio ni de controles por este anuncio. El modelo apunta al tráfico agentic.
Tu footprint de integraciones clásicas se mantiene como está hoy.
Pasos prácticos cuando Agentic Identity esté disponible
Cuando llegue el aviso, el camino sugerido es corto y ordenado.
Uno. Asegúrate de que tu org esté habilitada para billing con Flex Credits. Eso implica Salesforce Foundations (hoy disponible a $0) u otro SKU que active Flex Credits en la org.
Dos. Registra cada agente con Agentic Identity. Ahí nace la identidad discreta y el permission set acotado con el que quieres que opere.
Tres. Reconfigura tus clientes MCP (y los agentes que usen APIs) para presentar las credenciales OAuth nuevas del agente registrado. Ese paso es el que permite a Salesforce clasificar la app conectada como agente.
Cuatro. Reconecta el agente y sigue usándolo. El comportamiento funcional debería sentirse igual.
Lo que cambia es el rastro: cada interacción exitosa queda como HPI contra tus Flex Credits. Si tu equipo de desarrollo vive en APIs y herramientas headless, revisa también la guía de Salesforce para desarrolladores.
El cambio de identidad OAuth no es solo de admin. Toca clients, secrets y rotación de credenciales.
Cómo pensarlo en una empresa mediana de LATAM
Supongamos que tienes un agente que califica leads por WhatsApp y escribe en Salesforce. Hoy corre con el usuario de integración de ventas.
Salesforce introduce los Flex Credits para medir y facturar las interacciones de los agentes registrados, con un nuevo tipo de uso llamado Headless Platform Interaction (HPI), y aclara los plazos y
Mañana, ese agente necesita su propia identidad, con permisos solo sobre Leads, Campaigns y tal vez Tasks. Otro ejemplo: un agente de BI que consulta métricas y arma resúmenes.
Si usas algo al estilo de Metrix, el patrón correcto será el mismo. Identidad propia, alcance acotado, consumo visible.
El riesgo no es técnico solamente. Es de gobierno.
Sin registro, un agente con permisos de más puede leer o escribir de más. Con registro, el admin decide el techo antes de que el bot pida el primer token.
Si quieres ver cómo se ve esto en una demo concreta, puedes agendar una demo y recorrer el flujo con un caso de tu industria.
Qué deberías revisar esta semana (sin esperar a noviembre)
No hace falta que Agentic Identity esté live para empezar a ordenar la casa.
Arma un inventario de agentes. Lista cada bot, script o client MCP que toque Salesforce.
Anota qué usuario o connected app usa hoy. Marca cuáles viven en producción y cuáles solo en sandbox.
El metering futuro se concentra en producción. El registro también te va a pedir claridad sobre lo que está vivo de verdad.
Revisa permission sets. Pregúntate, agente por agente: ¿este bot necesita eliminar registros, o solo crear y actualizar?
¿Necesita ver campos sensibles, o solo etapa y monto? Documenta owners.
Cada agente debería tener un humano responsable. Cuando llegue el registro, esa persona es quien defiende el alcance y el presupuesto de créditos.
En Pulse y en los recursos de Vantegrate vas a encontrar más piezas sobre agentes, seguridad e implementación. Inclúyelo en tu carpeta de lectura antes del aviso formal.
Errores comunes que conviene evitar
El primero: esperar a la renovación sin inventariar. Si eres cliente existente, el deadline formal puede caer en la renovación, pero migrar connected apps y OAuth no es un viernes a la tarde.
El segundo: registrar el agente y dejarle el mismo permission set ancho del usuario humano. Cumples el requisito de identidad y fallas el de mínimo privilegio.
El tercero: probar HPI solo en producción. Usa sandbox y scratch para validar el flujo.
Producción debería ser el lugar donde mides, no donde descubres que el client MCP quedó mal firmado.
El cuarto: mezclar integraciones clásicas con tráfico agentic en la misma connected app. El anuncio deja las integraciones tradicionales quietas.
Aprovecha esa frontera. Separa identidades.
El rol de partner y de equipo interno
Este cambio no es solo de arquitectura. Es de capacidades del equipo.
Alguien tiene que entender Flex Credits, Digital Wallet y el Rate Card. Alguien tiene que rotar OAuth sin tumbar el bot de ventas un lunes a las 9.
Si tu org es chica, ese alguien puede ser la misma persona que administra Salesforce y el mismo que programa el agent. Si es más grande, conviene un rito claro entre admin, security y desarrollo.
En nosotros contamos cómo acompañamos ese tipo de cortes. No solo el click del registro, sino el diseño de permisos, el inventario y la conversación de costos con negocio.
Una forma simple de explicarlo a tu CFO
Tu CFO no necesita MCP ni Headless Toolkit. Necesita tres frases.
Uno: los agentes van a tener identidad propia en Salesforce. Dos: cada llamada exitosa a la plataforma va a poder consumir Flex Credits (cuando el multiplicador deje de ser TBA).
Tres: sandboxes no queman créditos de HPI; producción sí. Con eso alcanza para pedir presupuesto de Foundations (si aún no está), tiempo de admin y un buffer de créditos para el ramp de los primeros meses post-metering.
Qué no cambia (y por qué importa)
No cambia el precio ni el modelo de seguridad de las integraciones tradicionales. Si hoy tienes un middleware que sincroniza pedidos sin ser un agente, este anuncio no te reescribe esa factura.
No cambia la utilidad de construir en sandbox. Al contrario: la refuerza.
El ensayo sigue siendo el lugar barato. No cambia el hecho de que un agente mal diseñado sigue siendo un riesgo.
Agentic Identity te da el marco. La calidad del prompt, del tool calling y del diseño de flujo sigue siendo tuya.
Cierre práctico (sin discurso)
AIforce pone el concepto. Headless Toolkit pone la maquinaria.
Agentic Identity y Flex Credits ponen las reglas del juego: identidad, permisos y medición. Hacia noviembre llegan controles, registro y billing.
Los multiplicadores de HPI todavía son TBA, con 30 días de aviso antes del metering real. Los plazos de registro dependen de si eres comprador nuevo, cliente en renovación o usuario de MCP.
Tu mejor movimiento hoy es inventariar agentes, achicar permission sets y decidir quién es dueño de cada bot. Cuando llegue el aviso, el camino es Foundations o SKU de Flex Credits, registro, OAuth nuevo y reconexión.
Si quieres bajar esto a un plan de 30 días para tu org, pide una demo. El anuncio ya está.
El tiempo de preparación es el que te queda.
