> ## Documentation Index
> Fetch the complete documentation index at: https://docs.flowstep.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# אימות ב-MCP

> כך לקוחות MCP של Flowstep מאמתים את עצמם: תהליך OAuth 2.1 PKCE ויצירת חשבון.

נקודת הקצה `/mcp` דורשת טוקן Bearer בכותרת `Authorization`. לקוחות MCP מקבלים טוקן כזה אוטומטית דרך תהליך OAuth 2.1 PKCE — אין מפתח API ליצור, להדביק או לסובב. אפשר גם לספק טוקן ידנית לצורך בדיקות.

## תהליך OAuth 2.1 PKCE

Flowstep מפעיל שרת אישור OAuth 2.1 משלו בכתובת `https://api.flowstep.ai`. לקוחות MCP מגלים את התהליך ומשלימים אותו אוטומטית: הם פותחים חלון דפדפן כדי שתתחברו ותאשרו גישה, ואז מטפלים בהחלפת הטוקן מאחורי הקלעים. לקוחות יכולים להירשם באופן דינמי, לכן אינכם צריכים להגדיר מזהה לקוח מראש.

### שיטות כניסה נתמכות

דף האישור בכתובת `/oauth/authorize` תומך ב:

* **Email/password** — כל חשבון Flowstep עם סיסמה מוגדרת
* **Google SSO** — מפנה דרך אימות חברתי של Supabase, וחוזר ללקוח אוטומטית

### בדיקה ואישור גישה

לאחר הכניסה, Flowstep מציג מסך הסכמה לפני שהוא מנפיק טוקן — אף לקוח לא יכול להשלים את החיבור בלי האישור המפורש שלכם. הכותרת של המסך היא **Authorize access**, והוא מציין את הלקוח שמבקש גישה — שם הלקוח מודגש, ואחריו "is requesting access to your Flowstep account" — ואז מציג את **You'll be redirected to** ואת שם המארח של היעד.

בחרו **Allow** כדי להשלים את החיבור, או **Deny** כדי לבטל. דחייה מחזירה ללקוח שגיאה `access_denied` ולא מנפיקה טוקן.

<Tip>
  שם הלקוח נקבע על ידי מי שרשם את הלקוח, לכן התייחסו אליו כאל תווית ולא כאל הוכחה לזהות. לפני שתלחצו על **Allow**, ודאו שהמארח תחת **You'll be redirected to** הוא זה שאתם מצפים לו עבור הלקוח שאתם מחברים.
</Tip>

### יצירת חשבון למשתמשי מחבר claude.ai

דף הכניסה ל-OAuth אינו כולל טופס הרשמה. אם אתם מוסיפים את מחבר Flowstep מ[ספריית המחברים של Claude](https://claude.ai/directory/flowstep) ואין לכם עדיין חשבון Flowstep, צרו חשבון קודם ב-[app.flowstep.ai](https://app.flowstep.ai), ואז חזרו ל-Claude כדי להשלים את החיבור.

## גיבוי באמצעות עוגייה

אם אין כותרת `Authorization`, ה-middleware חוזר להתחברות מבוססת עוגייה של סשן Supabase. זה עובד כשניגשים ל-`/mcp` ישירות מדפדפן עם סשן Flowstep פעיל. לקוחות MCP תמיד משתמשים בנתיב Bearer.

## טוקן ידני (לבדיקות)

כדי לקרוא לנקודת הקצה ישירות בלי תהליך OAuth של לקוח:

1. היכנסו ל-[app.flowstep.ai](https://app.flowstep.ai) בדפדפן שלכם
2. פתחו את DevTools → Console, והריצו:

```javascript theme={"system"}
const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);
```

3. העבירו את הטוקן ככותרת:

```bash theme={"system"}
curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'
```

<Warning>
  סשני MCP נמשכים 30 יום — השרת מרענן את הטוקן הבסיסי בשקיפות, כך שלקוחות שמשתמשים בתהליך OAuth לא צריכים להתחבר מחדש בשימוש רגיל. טוקן שחולץ ידנית, כמו זה שלמעלה, פג לאחר כשעה בערך; הוא מיועד לבדיקות מהירות בלבד.
</Warning>


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.