Authentification MCP

Le point de terminaison /mcp nécessite un access_token Supabase passé comme jeton Bearer. La plupart des clients MCP l’obtiennent automatiquement via le flux OAuth 2.1 PKCE. Vous pouvez également fournir un jeton manuellement pour les tests.

Flux OAuth 2.1 PKCE

Flowstep implémente un serveur d’autorisation OAuth 2.1 complet à https://api.flowstep.ai. Les clients MCP le découvrent et complètent le flux automatiquement : ils ouvrent une fenêtre de navigateur pour que vous vous connectiez, puis gèrent l’échange de jetons en arrière-plan.

Méthodes de connexion prises en charge

La page d’autorisation à /oauth/authorize prend en charge :

Email/password (E-mail/mot de passe) — tout compte Flowstep avec un mot de passe défini
Google SSO — redirige via l’authentification sociale Supabase, retourne au client automatiquement

Création de compte pour les utilisateurs du connecteur claude.ai

La page de connexion OAuth n’inclut pas de formulaire d’inscription. Si vous vous connectez via le connecteur personnalisé de claude.ai et que vous n’avez pas encore de compte Flowstep, créez-en un d’abord à app.flowstep.ai, puis retournez à la configuration du connecteur pour vous authentifier. S’il n’y a pas d’en-tête Authorization, le middleware revient à une session Supabase basée sur les cookies. Cela fonctionne lors de l’accès à /mcp directement depuis un navigateur avec une session Flowstep active. Les clients MCP utilisent toujours le chemin Bearer.

Jeton manuel (tests)

Pour appeler le point de terminaison directement sans flux OAuth du client :

Connectez-vous à app.flowstep.ai dans votre navigateur
Ouvrez DevTools → Console, exécutez :

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Transmettez le jeton comme en-tête :

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Les sessions MCP durent 30 jours — le serveur actualise le jeton sous-jacent de manière transparente, donc les clients utilisant le flux OAuth n’ont pas besoin de se réauthentifier pendant une utilisation normale. Un jeton extrait manuellement comme celui ci-dessus expire toujours après environ une heure ; c’est seulement pour les tests rapides.

Premiers pas

Utiliser Flowstep

Équipes et organisations

Export et intégrations

Serveur MCP

Facturation et forfaits

Sécurité et confidentialité

Authentification MCP

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Création de compte pour les utilisateurs du connecteur claude.ai

Jeton manuel (tests)

​Flux OAuth 2.1 PKCE

​Méthodes de connexion prises en charge

​Création de compte pour les utilisateurs du connecteur claude.ai

​Secours par cookie

​Jeton manuel (tests)

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Création de compte pour les utilisateurs du connecteur claude.ai

Secours par cookie

Jeton manuel (tests)