Autentikasi MCP

Titik akhir /mcp memerlukan access_token Supabase yang diteruskan sebagai token Bearer. Sebagian besar klien MCP memperoleh ini secara otomatis melalui aliran OAuth 2.1 PKCE. Anda juga dapat menyediakan token secara manual untuk pengujian.

Aliran OAuth 2.1 PKCE

Flowstep mengimplementasikan server otorisasi OAuth 2.1 lengkap di https://api.flowstep.ai. Klien MCP menemukan dan menyelesaikan aliran secara otomatis: mereka membuka jendela browser agar Anda dapat masuk dan menyetujui akses, kemudian menangani pertukaran token di balik layar. Halaman otorisasi di /oauth/authorize mendukung:

Email/password — akun Flowstep apa pun dengan kata sandi yang telah ditetapkan
Google SSO — dialihkan melalui autentikasi sosial Supabase, kembali ke klien secara otomatis

Tinjau dan setujui akses

Setelah Anda masuk, Flowstep menampilkan layar persetujuan sebelum mengeluarkan token — tidak ada klien yang dapat menyelesaikan koneksi tanpa persetujuan eksplisit Anda. Layarnya diberi judul Authorize access dan menyebutkan klien yang meminta akses — nama klien dicetak tebal, diikuti oleh “is requesting access to your Flowstep account” — kemudian menampilkan You’ll be redirected to dan host tujuan. Pilih Allow untuk menyelesaikan koneksi, atau Deny untuk membatalkan. Menolak mengembalikan klien kesalahan access_denied dan tidak mengeluarkan token.

Nama klien ditetapkan oleh siapa pun yang mendaftarkan klien, jadi perlakukannya sebagai label daripada bukti identitas. Sebelum Anda klik Allow, periksa bahwa host di bawah You’ll be redirected to adalah yang Anda harapkan untuk klien yang Anda sambungkan.

Pembuatan akun untuk pengguna konektor claude.ai

Halaman login OAuth tidak menyertakan formulir pendaftaran. Jika Anda terhubung melalui konektor kustom claude.ai dan belum memiliki akun Flowstep, buat satu terlebih dahulu di app.flowstep.ai, lalu kembali ke pengaturan konektor untuk mengautentikasi. Jika tidak ada header Authorization, middleware kembali ke sesi Supabase berbasis cookie. Ini berfungsi saat mengakses /mcp langsung dari browser dengan sesi Flowstep yang aktif. Klien MCP selalu menggunakan jalur Bearer.

Token manual (pengujian)

Untuk memanggil titik akhir secara langsung tanpa aliran OAuth klien:

Masuk ke app.flowstep.ai di browser Anda
Buka DevTools → Console, jalankan:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Berikan token sebagai header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Sesi MCP berlangsung selama 30 hari — server menyegarkan token yang mendasarinya secara transparan, sehingga klien yang menggunakan aliran OAuth tidak perlu melakukan autentikasi ulang selama penggunaan normal. Token yang diekstrak secara manual seperti di atas masih kedaluwarsa setelah sekitar satu jam; hanya untuk pengujian cepat.

Memulai

Menggunakan Flowstep

Tim & Organisasi

Ekspor & Integrasi

Server MCP

Penagihan & Paket

Keamanan & Privasi

Aliran OAuth 2.1 PKCE

Tinjau dan setujui akses

Pembuatan akun untuk pengguna konektor claude.ai

Token manual (pengujian)

​Aliran OAuth 2.1 PKCE

​Metode login yang didukung

​Tinjau dan setujui akses

​Pembuatan akun untuk pengguna konektor claude.ai

​Fallback cookie

​Token manual (pengujian)

Aliran OAuth 2.1 PKCE

Metode login yang didukung

Tinjau dan setujui akses

Pembuatan akun untuk pengguna konektor claude.ai

Fallback cookie

Token manual (pengujian)