אימות ב-MCP

נקודת הקצה /mcp דורשת טוקן Bearer בכותרת Authorization. לקוחות MCP מקבלים טוקן כזה אוטומטית דרך תהליך OAuth 2.1 PKCE — אין מפתח API ליצור, להדביק או לסובב. אפשר גם לספק טוקן ידנית לצורך בדיקות.

תהליך OAuth 2.1 PKCE

Flowstep מפעיל שרת אישור OAuth 2.1 משלו בכתובת https://api.flowstep.ai. לקוחות MCP מגלים את התהליך ומשלימים אותו אוטומטית: הם פותחים חלון דפדפן כדי שתתחברו ותאשרו גישה, ואז מטפלים בהחלפת הטוקן מאחורי הקלעים. לקוחות יכולים להירשם באופן דינמי, לכן אינכם צריכים להגדיר מזהה לקוח מראש.

שיטות כניסה נתמכות

דף האישור בכתובת /oauth/authorize תומך ב:

Email/password — כל חשבון Flowstep עם סיסמה מוגדרת
Google SSO — מפנה דרך אימות חברתי של Supabase, וחוזר ללקוח אוטומטית

בדיקה ואישור גישה

לאחר הכניסה, Flowstep מציג מסך הסכמה לפני שהוא מנפיק טוקן — אף לקוח לא יכול להשלים את החיבור בלי האישור המפורש שלכם. הכותרת של המסך היא Authorize access, והוא מציין את הלקוח שמבקש גישה — שם הלקוח מודגש, ואחריו “is requesting access to your Flowstep account” — ואז מציג את You’ll be redirected to ואת שם המארח של היעד. בחרו Allow כדי להשלים את החיבור, או Deny כדי לבטל. דחייה מחזירה ללקוח שגיאה access_denied ולא מנפיקה טוקן.

שם הלקוח נקבע על ידי מי שרשם את הלקוח, לכן התייחסו אליו כאל תווית ולא כאל הוכחה לזהות. לפני שתלחצו על Allow, ודאו שהמארח תחת You’ll be redirected to הוא זה שאתם מצפים לו עבור הלקוח שאתם מחברים.

יצירת חשבון למשתמשי מחבר claude.ai

דף הכניסה ל-OAuth אינו כולל טופס הרשמה. אם אתם מוסיפים את מחבר Flowstep מספריית המחברים של Claude ואין לכם עדיין חשבון Flowstep, צרו חשבון קודם ב-app.flowstep.ai, ואז חזרו ל-Claude כדי להשלים את החיבור.

גיבוי באמצעות עוגייה

אם אין כותרת Authorization, ה-middleware חוזר להתחברות מבוססת עוגייה של סשן Supabase. זה עובד כשניגשים ל-/mcp ישירות מדפדפן עם סשן Flowstep פעיל. לקוחות MCP תמיד משתמשים בנתיב Bearer.

טוקן ידני (לבדיקות)

כדי לקרוא לנקודת הקצה ישירות בלי תהליך OAuth של לקוח:

היכנסו ל-app.flowstep.ai בדפדפן שלכם
פתחו את DevTools → Console, והריצו:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

העבירו את הטוקן ככותרת:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

סשני MCP נמשכים 30 יום — השרת מרענן את הטוקן הבסיסי בשקיפות, כך שלקוחות שמשתמשים בתהליך OAuth לא צריכים להתחבר מחדש בשימוש רגיל. טוקן שחולץ ידנית, כמו זה שלמעלה, פג לאחר כשעה בערך; הוא מיועד לבדיקות מהירות בלבד.

תחילת העבודה

שימוש ב-Flowstep

צוותים וארגונים

ייצוא ואינטגרציות

שרת MCP

חיוב ותוכניות

אבטחה ופרטיות

אימות ב-MCP

תהליך OAuth 2.1 PKCE

שיטות כניסה נתמכות

בדיקה ואישור גישה

יצירת חשבון למשתמשי מחבר claude.ai

גיבוי באמצעות עוגייה

טוקן ידני (לבדיקות)

​תהליך OAuth 2.1 PKCE

​שיטות כניסה נתמכות

​בדיקה ואישור גישה

​יצירת חשבון למשתמשי מחבר claude.ai

​גיבוי באמצעות עוגייה

​טוקן ידני (לבדיקות)

תהליך OAuth 2.1 PKCE

שיטות כניסה נתמכות

בדיקה ואישור גישה

יצירת חשבון למשתמשי מחבר claude.ai

גיבוי באמצעות עוגייה

טוקן ידני (לבדיקות)