Autenticación MCP

El endpoint /mcp requiere un access_token de Supabase pasado como token Bearer. La mayoría de los clientes MCP lo obtienen automáticamente a través del flujo OAuth 2.1 PKCE. También puedes proporcionar un token manualmente para pruebas.

Flujo OAuth 2.1 PKCE

Flowstep implementa un servidor de autorización OAuth 2.1 completo en https://api.flowstep.ai. Los clientes MCP lo descubren y completan el flujo automáticamente: abren una ventana del navegador para que inicies sesión y apruebes el acceso, y luego manejan el intercambio de tokens detrás de escenas.

Métodos de inicio de sesión admitidos

La página de autorización en /oauth/authorize admite:

Email/password — cualquier cuenta de Flowstep con una contraseña establecida
Google SSO — redirige a través de autenticación social de Supabase y devuelve al cliente automáticamente

Revisa y aprueba el acceso

Después de iniciar sesión, Flowstep muestra una pantalla de consentimiento antes de emitir un token — ningún cliente puede terminar la conexión sin tu aprobación explícita. La pantalla tiene el encabezado Authorize access y nombra al cliente que solicita acceso — el nombre del cliente en negrita, seguido de “is requesting access to your Flowstep account” — y luego muestra You’ll be redirected to y el host de destino. Elige Allow para terminar la conexión, o Deny para cancelar. Rechazar devuelve al cliente un error access_denied y no emite ningún token.

El nombre del cliente está establecido por quienquiera que registró el cliente, así que trátalo como una etiqueta en lugar de una prueba de identidad. Antes de hacer clic en Allow, comprueba que el host bajo You’ll be redirected to es uno que esperas para el cliente que estás conectando.

Creación de cuenta para usuarios del conector de claude.ai

La página de inicio de sesión de OAuth no incluye un formulario de registro. Si te estás conectando a través del conector personalizado de claude.ai y aún no tienes una cuenta de Flowstep, crea una primero en app.flowstep.ai, luego regresa a la configuración del conector para autenticarte. Si no hay un encabezado Authorization, el middleware recurre a una sesión de Supabase basada en cookies. Esto funciona cuando se accede a /mcp directamente desde un navegador con una sesión activa de Flowstep. Los clientes MCP siempre usan la ruta Bearer.

Token manual (pruebas)

Para llamar al endpoint directamente sin un flujo OAuth del cliente:

Inicia sesión en app.flowstep.ai en tu navegador
Abre DevTools → Console, ejecuta:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Pasa el token como encabezado:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Las sesiones MCP duran 30 días — el servidor actualiza el token subyacente transparentemente, por lo que los clientes que usan el flujo OAuth no necesitan re-autenticarse durante el uso normal. Un token extraído manualmente como el anterior aún vence después de aproximadamente una hora; es solo para pruebas rápidas.

Primeros pasos

Uso de Flowstep

Equipos y organizaciones

Exportación e integraciones

Servidor MCP

Facturación y planes

Seguridad y privacidad

Autenticación MCP

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión admitidos

Revisa y aprueba el acceso

Creación de cuenta para usuarios del conector de claude.ai

Token manual (pruebas)

​Flujo OAuth 2.1 PKCE

​Métodos de inicio de sesión admitidos

​Revisa y aprueba el acceso

​Creación de cuenta para usuarios del conector de claude.ai

​Fallback de cookie

​Token manual (pruebas)

Flujo OAuth 2.1 PKCE

Métodos de inicio de sesión admitidos

Revisa y aprueba el acceso

Creación de cuenta para usuarios del conector de claude.ai

Fallback de cookie

Token manual (pruebas)