Autenticazione MCP

L’endpoint /mcp richiede un token Bearer nell’intestazione Authorization. I client MCP ne ottengono uno automaticamente tramite il flusso OAuth 2.1 PKCE: non c’è alcuna chiave API da creare, incollare o rigenerare. Puoi anche fornire un token manualmente per i test.

Flusso OAuth 2.1 PKCE

Flowstep gestisce un proprio server di autorizzazione OAuth 2.1 su https://api.flowstep.ai. I client MCP individuano e completano il flusso automaticamente: aprono una finestra del browser perché tu possa accedere e approvare l’accesso, poi gestiscono lo scambio del token in background. I client possono registrarsi dinamicamente, quindi non devi configurare prima un ID client.

Metodi di accesso supportati

La pagina di autorizzazione in /oauth/authorize supporta:

Email/password: qualsiasi account Flowstep con una password impostata
Google SSO: reindirizza tramite l’autenticazione social di Supabase e torna automaticamente al client

Rivedi e approva l’accesso

Dopo l’accesso, Flowstep mostra una schermata di consenso prima di emettere un token: nessun client può completare la connessione senza la tua approvazione esplicita. La schermata è intitolata Authorize access (autorizza l’accesso) e indica il client che richiede l’accesso: il nome del client in grassetto, seguito dalla frase “is requesting access to your Flowstep account” (il client richiede l’accesso al tuo account Flowstep). Poi mostra You’ll be redirected to (verrai reindirizzato a) e l’host di destinazione. Scegli Allow per completare la connessione oppure Deny per annullarla. Se rifiuti, il client riceve un errore access_denied e non viene emesso alcun token.

Il nome del client è impostato da chi ha registrato il client, quindi consideralo un’etichetta e non una prova d’identità. Prima di fare clic su Allow, verifica che l’host indicato sotto You’ll be redirected to sia quello che ti aspetti per il client che stai collegando.

Creazione dell’account per gli utenti del connettore di claude.ai

La pagina di accesso OAuth non include un modulo di registrazione. Se aggiungi il connettore Flowstep dalla directory dei connettori di Claude e non hai ancora un account Flowstep, creane prima uno su app.flowstep.ai, poi torna a Claude per completare la connessione. Se non è presente alcuna intestazione Authorization, il middleware ricorre a una sessione Supabase basata su cookie. Questo funziona quando apri /mcp direttamente dal browser con una sessione Flowstep attiva. I client MCP usano sempre il percorso Bearer.

Token manuale (test)

Per chiamare l’endpoint direttamente senza un flusso OAuth del client:

Accedi a app.flowstep.ai nel browser
Apri DevTools → Console ed esegui:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passa il token come intestazione:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Le sessioni MCP durano 30 giorni: il server aggiorna il token sottostante in modo trasparente, quindi i client che usano il flusso OAuth non devono riautenticarsi durante il normale utilizzo. Un token estratto manualmente, come quello sopra, scade dopo circa un’ora; serve solo per test rapidi.

Per iniziare

Usare Flowstep

Team e organizzazioni

Esportazione e integrazioni

Server MCP

Fatturazione e piani

Sicurezza e privacy

Autenticazione MCP

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Rivedi e approva l’accesso

Creazione dell’account per gli utenti del connettore di claude.ai

Token manuale (test)

​Flusso OAuth 2.1 PKCE

​Metodi di accesso supportati

​Rivedi e approva l’accesso

​Creazione dell’account per gli utenti del connettore di claude.ai

​Cookie fallback

​Token manuale (test)

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Rivedi e approva l’accesso

Creazione dell’account per gli utenti del connettore di claude.ai

Cookie fallback

Token manuale (test)