Autenticación de MCP

El endpoint /mcp requiere un access_token de Supabase pasado como token Bearer. La mayoría de los clientes MCP lo obtienen automáticamente a través del flujo OAuth 2.1 PKCE. También puedes proporcionar un token manualmente para pruebas.

Flujo OAuth 2.1 PKCE

Flowstep implementa un servidor de autorización OAuth 2.1 completo en https://api.flowstep.ai. Los clientes MCP lo descubren y completan el flujo automáticamente: abren una ventana del navegador para que inicies sesión, luego manejan el intercambio de tokens detrás de escenas.

Métodos de inicio de sesión admitidos

La página de autorización en /oauth/authorize admite:

Email/password — cualquier cuenta de Flowstep con contraseña establecida
Google SSO — redirige a través de autenticación social de Supabase y devuelve al cliente automáticamente

Creación de cuenta para usuarios del conector de claude.ai

La página de inicio de sesión de OAuth no incluye un formulario de registro. Si te estás conectando a través del conector personalizado de claude.ai y aún no tienes una cuenta de Flowstep, crea una primero en app.flowstep.ai, luego regresa a la configuración del conector para autenticarte. Si no hay un encabezado Authorization, el middleware recurre a una sesión de Supabase basada en cookies. Esto funciona cuando se accede a /mcp directamente desde un navegador con una sesión activa de Flowstep. Los clientes MCP siempre usan la ruta Bearer.

Token manual (pruebas)

Para llamar al endpoint directamente sin un flujo OAuth del cliente:

Inicia sesión en app.flowstep.ai en tu navegador
Abre DevTools → Console, ejecuta:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Pasa el token como encabezado:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Las sesiones MCP duran 30 días — el servidor actualiza el token subyacente transparentemente, por lo que los clientes que usan el flujo OAuth no necesitan re-autenticarse durante el uso normal. Un token extraído manualmente como el anterior aún vence después de aproximadamente una hora; es solo para pruebas rápidas.

Primeros pasos

Uso de Flowstep

Equipos y organizaciones

Exportación e integraciones

Servidor MCP

Facturación y planes

Seguridad y privacidad

Autenticación de MCP

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión admitidos

Creación de cuenta para usuarios del conector de claude.ai

Token manual (pruebas)

​Flujo OAuth 2.1 PKCE

​Métodos de inicio de sesión admitidos

​Creación de cuenta para usuarios del conector de claude.ai

​Fallback de cookie

​Token manual (pruebas)

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión admitidos

Creación de cuenta para usuarios del conector de claude.ai

Fallback de cookie

Token manual (pruebas)