Authentification MCP

Le point de terminaison /mcp exige un jeton Bearer dans l’en-tête Authorization. Les clients MCP en obtiennent un automatiquement grâce au flux OAuth 2.1 PKCE. Il n’y a aucune clé API à créer, à coller ni à renouveler. Vous pouvez aussi fournir un jeton manuellement à des fins de test.

Flux OAuth 2.1 PKCE

Flowstep exécute son propre serveur d’autorisation OAuth 2.1 à l’adresse https://api.flowstep.ai. Les clients MCP découvrent le flux et le mènent à terme automatiquement : ils ouvrent une fenêtre de navigateur pour que vous vous connectiez et approuviez l’accès, puis gèrent l’échange de jetons en arrière-plan. Les clients peuvent s’enregistrer eux-mêmes dynamiquement; vous n’avez donc pas à configurer d’identifiant client au préalable.

Méthodes de connexion prises en charge

La page d’autorisation à /oauth/authorize prend en charge :

Courriel et mot de passe : tout compte Flowstep dont le mot de passe est défini
Google SSO : redirige par l’authentification sociale Supabase, puis revient automatiquement au client

Examiner et approuver l’accès

Après vous être connecté, Flowstep affiche un écran de consentement avant d’émettre un jeton. Aucun client ne peut terminer la connexion sans votre approbation explicite. L’écran porte le titre Authorize access et indique le client qui demande l’accès : le nom du client est en gras, suivi de « is requesting access to your Flowstep account » (le client demande l’accès à votre compte Flowstep). L’écran affiche ensuite You’ll be redirected to et l’hôte de destination. Choisissez Allow pour terminer la connexion, ou Deny pour l’annuler. Refuser renvoie au client une erreur access_denied et n’émet aucun jeton.

Le nom du client est défini par la personne qui l’a enregistré. Considérez-le donc comme une étiquette, et non comme une preuve d’identité. Avant de cliquer sur Allow, vérifiez que l’hôte affiché sous You’ll be redirected to est bien celui que vous attendez pour le client que vous connectez.

Création de compte pour les utilisateurs du connecteur claude.ai

La page de connexion OAuth ne comporte pas de formulaire d’inscription. Si vous ajoutez le connecteur Flowstep depuis le répertoire de connecteurs de Claude et que vous n’avez pas encore de compte Flowstep, créez-en un d’abord sur app.flowstep.ai, puis revenez à Claude pour terminer la connexion.

Solution de repli par témoins

Si aucun en-tête Authorization n’est présent, l’intergiciel se rabat sur une session Supabase fondée sur des témoins (cookies). Cela fonctionne lorsque vous accédez à /mcp directement depuis un navigateur où une session Flowstep est active. Les clients MCP utilisent toujours le chemin Bearer.

Jeton manuel (tests)

Pour appeler le point de terminaison directement, sans flux OAuth client :

Connectez-vous à app.flowstep.ai dans votre navigateur.
Ouvrez DevTools → Console, puis exécutez :

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Transmettez le jeton dans un en-tête :

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Les sessions MCP durent 30 jours. Le serveur actualise le jeton sous-jacent de façon transparente, de sorte que les clients qui utilisent le flux OAuth n’ont pas besoin de se réauthentifier pendant une utilisation normale. Un jeton extrait manuellement, comme celui ci-dessus, expire toutefois après environ une heure; il sert uniquement aux tests rapides.

Premiers pas

Utiliser Flowstep

Équipes et organisations

Exportation et intégrations

Serveur MCP

Facturation et forfaits

Sécurité et confidentialité

Authentification MCP

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Examiner et approuver l’accès

Création de compte pour les utilisateurs du connecteur claude.ai

Solution de repli par témoins

Jeton manuel (tests)

​Flux OAuth 2.1 PKCE

​Méthodes de connexion prises en charge

​Examiner et approuver l’accès

​Création de compte pour les utilisateurs du connecteur claude.ai

​Solution de repli par témoins

​Jeton manuel (tests)

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Examiner et approuver l’accès

Création de compte pour les utilisateurs du connecteur claude.ai

Solution de repli par témoins

Jeton manuel (tests)