Autenticación de MCP

El endpoint /mcp requiere un token Bearer en el encabezado Authorization. Los clientes de MCP obtienen uno automáticamente mediante el flujo OAuth 2.1 PKCE: no hay ninguna clave de API que crear, pegar ni rotar. También puedes proporcionar un token manualmente para pruebas.

Flujo OAuth 2.1 PKCE

Flowstep ejecuta su propio servidor de autorización OAuth 2.1 en https://api.flowstep.ai. Los clientes de MCP lo descubren y completan el flujo automáticamente: abren una ventana del navegador para que inicies sesión y apruebes el acceso, y luego gestionan el intercambio de tokens en segundo plano. Los clientes pueden registrarse dinámicamente, así que no necesitas configurar antes un ID de cliente.

Métodos de inicio de sesión compatibles

La página de autorización en /oauth/authorize admite:

Correo electrónico y contraseña: cualquier cuenta de Flowstep con contraseña establecida
SSO de Google: redirige a través de la autenticación social de Supabase y devuelve al cliente automáticamente

Revisar y aprobar el acceso

Después de iniciar sesión, Flowstep muestra una pantalla de consentimiento antes de emitir un token: ningún cliente puede completar la conexión sin tu aprobación explícita. La pantalla tiene el encabezado Authorize access y muestra el nombre del cliente que solicita acceso, en negrita, seguido del texto “is requesting access to your Flowstep account” (solicita acceso a tu cuenta de Flowstep). Después muestra You’ll be redirected to y el host de destino. Elige Allow para terminar de conectar, o Deny para cancelar. Si deniegas el acceso, el cliente recibe un error access_denied y no se emite ningún token.

El nombre del cliente lo define quien registró el cliente, así que tómalo como una etiqueta, no como prueba de identidad. Antes de hacer clic en Allow, comprueba que el host que aparece bajo You’ll be redirected to sea el que esperas para el cliente que estás conectando.

Creación de cuenta para usuarios del conector de claude.ai

La página de inicio de sesión de OAuth no incluye un formulario de registro. Si añades el conector de Flowstep desde el directorio de conectores de Claude y todavía no tienes una cuenta de Flowstep, crea una primero en app.flowstep.ai y luego vuelve a Claude para terminar la conexión. Si no hay encabezado Authorization, el middleware recurre a una sesión de Supabase basada en cookies. Esto funciona cuando accedes a /mcp directamente desde un navegador con una sesión activa de Flowstep. Los clientes de MCP siempre usan la ruta Bearer.

Token manual (pruebas)

Para llamar al endpoint directamente sin el flujo OAuth de un cliente:

Inicia sesión en app.flowstep.ai en tu navegador
Abre DevTools → Console y ejecuta:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Pasa el token como encabezado:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Las sesiones de MCP duran 30 días: el servidor renueva el token subyacente de forma transparente, así que los clientes que usan el flujo OAuth no necesitan volver a autenticarse durante el uso normal. Un token extraído manualmente, como el de arriba, caduca después de aproximadamente una hora; es solo para pruebas rápidas.

Primeros pasos

Uso de Flowstep

Equipos y organizaciones

Exportación e integraciones

Servidor MCP

Facturación y planes

Seguridad y privacidad

Autenticación de MCP

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión compatibles

Revisar y aprobar el acceso

Creación de cuenta para usuarios del conector de claude.ai

Token manual (pruebas)

​Flujo OAuth 2.1 PKCE

​Métodos de inicio de sesión compatibles

​Revisar y aprobar el acceso

​Creación de cuenta para usuarios del conector de claude.ai

​Cookie de respaldo

​Token manual (pruebas)

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión compatibles

Revisar y aprobar el acceso

Creación de cuenta para usuarios del conector de claude.ai

Cookie de respaldo

Token manual (pruebas)