Autentikasi MCP

Endpoint /mcp memerlukan Bearer token di header Authorization. Klien MCP mendapatkannya secara otomatis melalui alur OAuth 2.1 PKCE. Tidak ada kunci API yang perlu dibuat, ditempel, atau diganti. Anda juga bisa memberikan token secara manual untuk pengujian.

Alur OAuth 2.1 PKCE

Flowstep menjalankan server otorisasi OAuth 2.1 sendiri di https://api.flowstep.ai. Klien MCP menemukan dan menyelesaikan alur ini secara otomatis: mereka membuka jendela browser agar Anda bisa masuk dan menyetujui akses, lalu menangani pertukaran token di balik layar. Klien dapat mendaftarkan diri secara dinamis, jadi Anda tidak perlu menyiapkan client ID terlebih dahulu.

Metode masuk yang didukung

Halaman otorisasi di /oauth/authorize mendukung:

Email/password: akun Flowstep mana pun yang sudah memiliki kata sandi
Google SSO: mengalihkan melalui autentikasi sosial Supabase, lalu kembali ke klien secara otomatis

Tinjau dan setujui akses

Setelah Anda masuk, Flowstep menampilkan layar persetujuan sebelum menerbitkan token. Tidak ada klien yang bisa menyelesaikan koneksi tanpa persetujuan eksplisit dari Anda. Layar ini berjudul Authorize access dan menyebutkan nama klien yang meminta akses. Nama klien dicetak tebal, diikuti “is requesting access to your Flowstep account”. Setelah itu, layar menampilkan You’ll be redirected to beserta host tujuannya. Pilih Allow untuk menyelesaikan koneksi, atau Deny untuk membatalkan. Jika Anda menolak, klien menerima error access_denied dan tidak ada token yang diterbitkan.

Nama klien ditetapkan oleh pihak yang mendaftarkan klien tersebut, jadi perlakukan sebagai label, bukan bukti identitas. Sebelum Anda mengklik Allow, pastikan host di bawah You’ll be redirected to adalah host yang Anda harapkan untuk klien yang sedang Anda hubungkan.

Pembuatan akun untuk pengguna konektor claude.ai

Halaman masuk OAuth tidak menyertakan formulir pendaftaran. Jika Anda menambahkan konektor Flowstep dari direktori konektor Claude dan belum memiliki akun Flowstep, buat akun terlebih dahulu di app.flowstep.ai, lalu kembali ke Claude untuk menyelesaikan koneksi. Jika tidak ada header Authorization, middleware beralih ke sesi Supabase berbasis cookie. Cara ini berfungsi saat Anda mengakses /mcp langsung dari browser dengan sesi Flowstep yang aktif. Klien MCP selalu menggunakan jalur Bearer.

Token manual (pengujian)

Untuk memanggil endpoint secara langsung tanpa alur OAuth klien:

Masuk ke app.flowstep.ai di browser Anda
Buka DevTools → Console, lalu jalankan:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Berikan token sebagai header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Sesi MCP berlaku 30 hari. Server memperbarui token yang mendasarinya secara transparan, sehingga klien yang menggunakan alur OAuth tidak perlu mengautentikasi ulang selama penggunaan normal. Token yang diambil secara manual seperti contoh di atas tetap kedaluwarsa setelah sekitar satu jam. Token tersebut hanya untuk pengujian cepat.

Memulai

Menggunakan Flowstep

Tim & Organisasi

Ekspor & Integrasi

Server MCP

Penagihan & Paket

Keamanan & Privasi

Alur OAuth 2.1 PKCE

Metode masuk yang didukung

Tinjau dan setujui akses

Pembuatan akun untuk pengguna konektor claude.ai

Token manual (pengujian)

​Alur OAuth 2.1 PKCE

​Metode masuk yang didukung

​Tinjau dan setujui akses

​Pembuatan akun untuk pengguna konektor claude.ai

​Cookie fallback

​Token manual (pengujian)

Alur OAuth 2.1 PKCE

Metode masuk yang didukung

Tinjau dan setujui akses

Pembuatan akun untuk pengguna konektor claude.ai

Cookie fallback

Token manual (pengujian)