MCP-Authentifizierung

Der Endpunkt /mcp erfordert ein Bearer-Token im Authorization-Header. MCP-Clients erhalten es automatisch über den OAuth-2.1-PKCE-Flow. Sie müssen keinen API-Schlüssel erstellen, einfügen oder rotieren. Für Tests können Sie ein Token auch manuell angeben.

OAuth-2.1-PKCE-Flow

Flowstep betreibt einen eigenen OAuth-2.1-Autorisierungsserver unter https://api.flowstep.ai. MCP-Clients finden den Flow automatisch und durchlaufen ihn selbst: Sie öffnen ein Browserfenster, in dem Sie sich anmelden und den Zugriff genehmigen. Den Token-Austausch übernehmen die Clients anschließend im Hintergrund. Clients können sich dynamisch selbst registrieren, daher müssen Sie vorab keine Client-ID einrichten.

Unterstützte Anmeldemethoden

Die Autorisierungsseite unter /oauth/authorize unterstützt:

E-Mail und Passwort — jedes Flowstep-Konto mit gesetztem Passwort
Google SSO — leitet über die Social Auth von Supabase weiter und kehrt automatisch zum Client zurück

Zugriff prüfen und genehmigen

Nach der Anmeldung zeigt Flowstep einen Zustimmungsbildschirm, bevor ein Token ausgestellt wird. Kein Client kann die Verbindung ohne Ihre ausdrückliche Genehmigung abschließen. Der Bildschirm trägt die Überschrift Authorize access und nennt den Client, der Zugriff anfordert. Der Name des Clients steht fett, gefolgt von „is requesting access to your Flowstep account“. Darunter folgt You’ll be redirected to mit dem Zielhost. Klicken Sie auf Allow, um die Verbindung abzuschließen, oder auf Deny, um sie abzubrechen. Bei Deny erhält der Client den Fehler access_denied, und es wird kein Token ausgestellt.

Den Namen des Clients legt die Person fest, die den Client registriert hat. Behandeln Sie ihn deshalb als Bezeichnung und nicht als Nachweis der Identität. Prüfen Sie vor einem Klick auf Allow, ob der Host unter You’ll be redirected to der Host ist, den Sie für den Client erwarten.

Kontoerstellung für Nutzer des claude.ai-Connectors

Die OAuth-Anmeldeseite enthält kein Registrierungsformular. Wenn Sie den Flowstep-Connector aus dem Connector-Verzeichnis von Claude hinzufügen und noch kein Flowstep-Konto haben, erstellen Sie zuerst eines unter app.flowstep.ai. Kehren Sie danach zu Claude zurück, um die Verbindung abzuschließen. Ist kein Authorization-Header vorhanden, greift die Middleware auf eine cookie-basierte Supabase-Sitzung zurück. Das funktioniert, wenn Sie /mcp direkt aus einem Browser mit aktiver Flowstep-Sitzung aufrufen. MCP-Clients nutzen immer den Bearer-Pfad.

Manuelles Token (Tests)

So rufen Sie den Endpunkt direkt auf, ohne den OAuth-Flow eines Clients zu durchlaufen:

Melden Sie sich in Ihrem Browser unter app.flowstep.ai an.
Öffnen Sie DevTools → Console und führen Sie diesen Code aus:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Übergeben Sie das Token als Header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-Sitzungen sind 30 Tage gültig. Der Server erneuert das zugrunde liegende Token transparent. Clients, die den OAuth-Flow nutzen, müssen sich im normalen Betrieb daher nicht erneut anmelden. Ein manuell extrahiertes Token wie das oben läuft nach etwa einer Stunde ab. Es ist nur für schnelle Tests gedacht.

Erste Schritte

Flowstep verwenden

Teams & Organisationen

Export & Integrationen

MCP-Server

Abrechnung & Tarife

Sicherheit & Datenschutz

MCP-Authentifizierung

OAuth-2.1-PKCE-Flow

Unterstützte Anmeldemethoden

Zugriff prüfen und genehmigen

Kontoerstellung für Nutzer des claude.ai-Connectors

Manuelles Token (Tests)

​OAuth-2.1-PKCE-Flow

​Unterstützte Anmeldemethoden

​Zugriff prüfen und genehmigen

​Kontoerstellung für Nutzer des claude.ai-Connectors

​Cookie-Fallback

​Manuelles Token (Tests)

OAuth-2.1-PKCE-Flow

Unterstützte Anmeldemethoden

Zugriff prüfen und genehmigen

Kontoerstellung für Nutzer des claude.ai-Connectors

Cookie-Fallback

Manuelles Token (Tests)