Authentification MCP

Le point de terminaison /mcp exige un jeton Bearer dans l’en-tête Authorization. Les clients MCP obtiennent ce jeton automatiquement grâce au flux OAuth 2.1 PKCE. Vous n’avez aucune clé d’API à créer, coller ou renouveler. Vous pouvez aussi fournir un jeton manuellement à des fins de test.

Flux OAuth 2.1 PKCE

Flowstep exécute son propre serveur d’autorisation OAuth 2.1 à l’adresse https://api.flowstep.ai. Les clients MCP découvrent le flux et le réalisent automatiquement : ils ouvrent une fenêtre de navigateur pour que vous vous connectiez et approuviez l’accès, puis gèrent l’échange de jeton en arrière-plan. Les clients peuvent s’enregistrer eux-mêmes de manière dynamique, vous n’avez donc pas besoin de configurer un identifiant client au préalable.

Méthodes de connexion prises en charge

La page d’autorisation accessible à /oauth/authorize prend en charge :

E-mail et mot de passe : tout compte Flowstep dont le mot de passe est défini
Google SSO : redirige via l’authentification sociale Supabase, puis revient automatiquement vers le client

Vérifier et approuver l’accès

Après vous être connecté, Flowstep affiche un écran de consentement avant d’émettre un jeton. Aucun client ne peut terminer la connexion sans votre approbation explicite. L’écran est intitulé Authorize access et indique le client qui demande l’accès : le nom du client en gras, suivi de « is requesting access to your Flowstep account ». Il affiche ensuite You’ll be redirected to et l’hôte de destination. Choisissez Allow pour finaliser la connexion, ou Deny pour l’annuler. Si vous refusez, le client reçoit une erreur access_denied et aucun jeton n’est émis.

Le nom du client est défini par la personne qui a enregistré le client. Considérez-le donc comme une étiquette, et non comme une preuve d’identité. Avant de cliquer sur Allow, vérifiez que l’hôte affiché sous You’ll be redirected to correspond bien à celui que vous attendez pour le client que vous connectez.

Création de compte pour les utilisateurs du connecteur claude.ai

La page de connexion OAuth ne comporte pas de formulaire d’inscription. Si vous ajoutez le connecteur Flowstep depuis le répertoire de connecteurs de Claude et que vous n’avez pas encore de compte Flowstep, créez-en un d’abord sur app.flowstep.ai, puis revenez dans Claude pour finaliser la connexion. Si aucun en-tête Authorization n’est présent, le middleware se rabat sur une session Supabase basée sur les cookies. Cela fonctionne lorsque vous accédez à /mcp directement depuis un navigateur où une session Flowstep est active. Les clients MCP utilisent toujours le chemin Bearer.

Jeton manuel (tests)

Pour appeler le point de terminaison directement, sans flux OAuth du client :

Connectez-vous à app.flowstep.ai dans votre navigateur
Ouvrez DevTools → Console, puis exécutez :

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Transmettez le jeton dans un en-tête :

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Les sessions MCP durent 30 jours : le serveur actualise le jeton sous-jacent de manière transparente. Les clients qui utilisent le flux OAuth n’ont donc pas besoin de se réauthentifier pendant une utilisation normale. Un jeton extrait manuellement, comme celui ci-dessus, expire au bout d’environ une heure ; il ne sert qu’aux tests rapides.

Premiers pas

Utiliser Flowstep

Équipes et organisations

Export et intégrations

Serveur MCP

Facturation et forfaits

Sécurité et confidentialité

Authentification MCP

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Vérifier et approuver l’accès

Création de compte pour les utilisateurs du connecteur claude.ai

Jeton manuel (tests)

​Flux OAuth 2.1 PKCE

​Méthodes de connexion prises en charge

​Vérifier et approuver l’accès

​Création de compte pour les utilisateurs du connecteur claude.ai

​Solution de repli par cookie

​Jeton manuel (tests)

Flux OAuth 2.1 PKCE

Méthodes de connexion prises en charge

Vérifier et approuver l’accès

Création de compte pour les utilisateurs du connecteur claude.ai

Solution de repli par cookie

Jeton manuel (tests)