MCP-Authentifizierung

Der /mcp-Endpunkt erfordert ein Supabase access_token, das als Bearer-Token übergeben wird. Die meisten MCP-Clients erhalten diesen automatisch über den OAuth 2.1 PKCE-Flow. Sie können auch manuell ein Token für Tests bereitstellen.

OAuth 2.1 PKCE-Flow

Flowstep implementiert einen vollständigen OAuth 2.1-Autorisierungsserver unter https://api.flowstep.ai. MCP-Clients erkennen und durchlaufen den Flow automatisch: Sie öffnen ein Browserfenster für die Anmeldung und handhaben den Token-Austausch dahinter.

Unterstützte Anmeldeverfahren

Die Autorisierungsseite unter /oauth/authorize unterstützt:

Email/password (E-Mail/Passwort) — jedes Flowstep-Konto mit gesetztem Passwort
Google SSO — leitet durch Supabase Social Auth um, leitet automatisch zum Client zurück

Kontoerstellung für claude.ai-Connector-Benutzer

Die OAuth-Anmeldeseite enthält kein Registrierungsformular. Wenn Sie sich über den benutzerdefinierten Connector von claude.ai verbinden und noch kein Flowstep-Konto haben, erstellen Sie zuerst eines unter app.flowstep.ai, und kehren Sie dann zur Connector-Einrichtung zurück, um sich zu authentifizieren. Wenn kein Authorization-Header vorhanden ist, greift die Middleware auf eine Cookie-basierte Supabase-Sitzung zurück. Dies funktioniert beim direkten Zugriff auf /mcp aus einem Browser mit einer aktiven Flowstep-Sitzung. MCP-Clients verwenden immer den Bearer-Pfad.

Manuelles Token (Tests)

Um den Endpunkt direkt ohne einen Client OAuth-Flow aufzurufen:

Melden Sie sich unter app.flowstep.ai in Ihrem Browser an
Öffnen Sie DevTools → Konsole und führen Sie Folgendes aus:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Übergeben Sie das Token als Header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-Sitzungen dauern 30 Tage — der Server aktualisiert das zugrunde liegende Token transparent, sodass Clients, die den OAuth-Flow verwenden, sich während der normalen Nutzung nicht neu authentifizieren müssen. Ein manuell extrahiertes Token wie das obige verfällt immer noch nach etwa einer Stunde; es ist nur für schnelle Tests gedacht.

Erste Schritte

Flowstep verwenden

Teams & Organisationen

Export & Integrationen

MCP-Server

Abrechnung & Tarife

Sicherheit & Datenschutz

MCP-Authentifizierung

OAuth 2.1 PKCE-Flow

Unterstützte Anmeldeverfahren

Kontoerstellung für claude.ai-Connector-Benutzer

Manuelles Token (Tests)

​OAuth 2.1 PKCE-Flow

​Unterstützte Anmeldeverfahren

​Kontoerstellung für claude.ai-Connector-Benutzer

​Cookie-Fallback

​Manuelles Token (Tests)

OAuth 2.1 PKCE-Flow

Unterstützte Anmeldeverfahren

Kontoerstellung für claude.ai-Connector-Benutzer

Cookie-Fallback

Manuelles Token (Tests)