Autenticar una cuenta y seleccionar su proveedor son acciones distintas. El login habilita credenciales de Comal; después decides qué conexión utiliza la sesión.

## Codex con ChatGPT

```sh
node bin/comal.mjs login codex
node bin/comal.mjs --auth-provider codex --name residente
```

Abre la URL mostrada, introduce el código y autoriza en tu navegador. Comal espera el intercambio verificable antes de informar `authenticated`. Usa el transporte Responses del backend Codex, no Chat Completions con un token de suscripción.

También puedes entrar con `--providers-config examples/comal-providers.json --profile codex`. Si combinas un perfil local con `--auth-provider codex`, el login explícito selecciona la conexión Codex y descarta URL/modelo/capacidades del perfil ajeno. `--name` se conserva.

## Kimi Code y MiniMax

| Proveedor | Acceso | Estado del soporte |
| --- | --- | --- |
| Kimi Code | Clave de membresía; OAuth de dispositivo experimental | La clave es la vía recomendada para clientes externos |
| MiniMax M Plan | Subscription Key específica | No equivale a una clave PAYG |
| Grok / xAI | API key | Facturación API; no se ha demostrado acceso OAuth de suscripción para Comal |

```sh
node bin/comal.mjs login kimi --api-key-env KIMI_CODE_API_KEY
node bin/comal.mjs login minimax --api-key-env MINIMAX_SUBSCRIPTION_KEY
node bin/comal.mjs login grok --api-key-env XAI_API_KEY
```

Configura el valor de la variable mediante tu gestor de secretos antes de ejecutar el comando. **No pegues una clave literal en el composer o como argumento.** Guardar una clave produce `configured`: no significa que se haya validado con una inferencia. El OAuth experimental de Kimi conserva la identidad real de Comal y puede ser rechazado por políticas del servidor.

## Usar el login desde la TUI

```text
/login codex
/provider codex
/login status
/logout codex
```

`/provider` admite los perfiles configurados y los accesos integrados `codex`, `kimi`, `minimax` y `grok`. Para elegir un modelo específico usa `/models` y `/model ID`, o define un perfil.

## Dónde queda la credencial

El almacén privado predeterminado está en `~/.config/comal/auth`. Los perfiles y libros guardan referencias, nunca tokens ni valores de claves. Las peticiones resuelven credenciales vigentes, incluida la consulta de modelos. Logout elimina el login de Comal; no revoca por sí mismo la cuenta remota. `COMAL_AUTH_DIR` permite un almacén separado.

El acceso real depende de tu cuenta, cuota y del soporte del servidor para clientes externos. No hace falta repetir login por cambiar el nombre de la sesión.