Autenticació de MCP

L’endpoint /mcp requereix un token Bearer a la capçalera Authorization. Els clients de MCP n’obtenen un automàticament mitjançant el flux OAuth 2.1 PKCE: no hi ha cap clau d’API per crear, enganxar o rotar. També pots proporcionar un token manualment per fer proves.

Flux OAuth 2.1 PKCE

Flowstep executa el seu propi servidor d’autorització OAuth 2.1 a https://api.flowstep.ai. Els clients de MCP descobreixen i completen el flux automàticament: obren una finestra del navegador perquè iniciïs sessió i aprovis l’accés, i després gestionen l’intercanvi del token entre bastidors. Els clients es poden registrar dinàmicament, de manera que no cal configurar prèviament un ID de client.

Mètodes d’inici de sessió admesos

La pàgina d’autorització a /oauth/authorize admet:

Correu electrònic i contrasenya: qualsevol compte de Flowstep amb una contrasenya definida
Google SSO: redirigeix a través de l’autenticació social de Supabase i torna al client automàticament

Revisa i aprova l’accés

Després d’iniciar sessió, Flowstep mostra una pantalla de consentiment abans d’emetre cap token; cap client no pot completar la connexió sense la teva aprovació explícita. La pantalla es titula Authorize access i indica el nom del client que sol·licita l’accés (el nom del client en negreta, seguit de “is requesting access to your Flowstep account”, que vol dir que sol·licita accés al teu compte de Flowstep). A continuació mostra You’ll be redirected to i el host de destinació. Fes clic a Allow (permetre) per completar la connexió, o a Deny (denegar) per cancel·lar-la. Si denegues l’accés, el client rep un error access_denied i no s’emet cap token.

El nom del client l’ha establert qui l’ha registrat, de manera que tracta’l com una etiqueta i no com una prova d’identitat. Abans de fer clic a Allow, comprova que el host que apareix sota You’ll be redirected to és el que esperes per al client que connectes.

Creació de compte per als usuaris del connector de claude.ai

La pàgina d’inici de sessió d’OAuth no inclou un formulari de registre. Si afegeixes el connector de Flowstep des del directori de connectors de Claude i encara no tens un compte de Flowstep, crea’n un primer a app.flowstep.ai i després torna a Claude per acabar la connexió.

Alternativa amb cookies

Si no hi ha cap capçalera Authorization, el middleware recorre a una sessió de Supabase basada en cookies. Això funciona quan s’accedeix a /mcp directament des d’un navegador amb una sessió activa de Flowstep. Els clients de MCP sempre fan servir la via Bearer.

Token manual (proves)

Per cridar l’endpoint directament sense el flux OAuth d’un client:

Inicia sessió a app.flowstep.ai des del navegador
Obre DevTools → Console i executa:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passa el token com a capçalera:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Les sessions de MCP duren 30 dies: el servidor actualitza el token subjacent de manera transparent, de manera que els clients que fan servir el flux OAuth no han de tornar a autenticar-se durant l’ús normal. Un token extret manualment com el d’aquí dalt caduca després d’una hora aproximadament; només serveix per a proves ràpides.

Primers passos

Ús de Flowstep

Equips i organitzacions

Exportació i integracions

Servidor MCP

Facturació i plans

Seguretat i privadesa

Autenticació de MCP

Flux OAuth 2.1 PKCE

Mètodes d’inici de sessió admesos

Revisa i aprova l’accés

Creació de compte per als usuaris del connector de claude.ai

Alternativa amb cookies

Token manual (proves)

​Flux OAuth 2.1 PKCE

​Mètodes d’inici de sessió admesos

​Revisa i aprova l’accés

​Creació de compte per als usuaris del connector de claude.ai

​Alternativa amb cookies

​Token manual (proves)

Flux OAuth 2.1 PKCE

Mètodes d’inici de sessió admesos

Revisa i aprova l’accés

Creació de compte per als usuaris del connector de claude.ai

Alternativa amb cookies

Token manual (proves)