Autenticació d'MCP

L’endpoint /mcp requereix un access_token de Supabase passat com a token de Bearer. La majoria de clients MCP l’obtenen automàticament a través del flux OAuth 2.1 PKCE. Podeu proporcionar un token manualment per a proves.

Flux OAuth 2.1 PKCE

Flowstep implementa un servidor d’autorització OAuth 2.1 complet a https://api.flowstep.ai. Els clients MCP el descobreixen i completen el flux automàticament: obren una finestra de navegador perquè us connecteu, després gestionen l’intercanvi de tokens entre bastidors.

Mètodes de connexió suportats

La pàgina d’autorització a /oauth/authorize permet:

Email/password — qualsevol compte Flowstep amb una contrasenya establerta
Google SSO — redirigeix a través de l’autenticació social de Supabase, torna al client automàticament

Creació de compte per a usuaris del connector de claude.ai

La pàgina de connexió OAuth no inclou un formulari de registre. Si us connecteu a través del connector personalitzat de claude.ai i no teniu encara un compte Flowstep, creeu-ne un primer a app.flowstep.ai, després torneu a la configuració del connector per autenticar-vos. Si no hi ha una capçalera Authorization, el middleware torna a una sessió Supabase basada en cookies. Això funciona quan accediu a /mcp directament des d’un navegador amb una sessió Flowstep activa. Els clients MCP sempre utilitzen la ruta de Bearer.

Token manual (proves)

Per cridar l’endpoint directament sense un flux OAuth del client:

Inicieu sessió a app.flowstep.ai al vostre navegador
Obriu DevTools → Console, executeu:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passeu el token com a capçalera:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Les sessions MCP duren 30 dies — el servidor actualitza el token subjacent transparentment, de manera que els clients que utilitzen el flux OAuth no necessiten re-autenticar-se durant l’ús normal. Un token extret manualment com el de dalt segueix vencent al cap d’aproximadament una hora; és només per a proves ràpides.

Primers passos

Ús de Flowstep

Equips i organitzacions

Exportació i integracions

Servidor MCP

Facturació i plans

Seguretat i privadesa

Autenticació d'MCP

Flux OAuth 2.1 PKCE

Mètodes de connexió suportats

Creació de compte per a usuaris del connector de claude.ai

Token manual (proves)

​Flux OAuth 2.1 PKCE

​Mètodes de connexió suportats

​Creació de compte per a usuaris del connector de claude.ai

​Retorn a cookie

​Token manual (proves)

Flux OAuth 2.1 PKCE

Mètodes de connexió suportats

Creació de compte per a usuaris del connector de claude.ai

Retorn a cookie

Token manual (proves)