Autenticazione MCP

L’endpoint /mcp richiede un token access_token di Supabase passato come token Bearer. La maggior parte dei client MCP ottiene questo automaticamente tramite il flusso OAuth 2.1 PKCE. Puoi anche fornire un token manualmente per il test.

Flusso OAuth 2.1 PKCE

Flowstep implementa un server di autorizzazione OAuth 2.1 completo su https://api.flowstep.ai. I client MCP scoprono e completano il flusso automaticamente: aprono una finestra del browser affinché tu esegua l’accesso e approvi l’accesso, quindi gestiscono lo scambio di token dietro le quinte.

Metodi di accesso supportati

La pagina di autorizzazione su /oauth/authorize supporta:

Email/password — qualsiasi account Flowstep con una password impostata
Google SSO — reindirizza tramite l’autenticazione sociale di Supabase, torna al client automaticamente

Rivedi e approva l’accesso

Dopo aver effettuato l’accesso, Flowstep mostra una schermata di consenso prima di emettere un token — nessun client può finire di connettersi senza la tua approvazione esplicita. La schermata è intestata Authorize access e nomina il client che sta richiedendo l’accesso — il nome del client in grassetto, seguito da “is requesting access to your Flowstep account” — quindi mostra You’ll be redirected to e l’host di destinazione. Scegli Allow per finire di connetterti, o Deny per annullare. Negare restituisce al client un errore access_denied e non emette alcun token.

Il nome del client è impostato da chiunque abbia registrato il client, quindi trattalo come un’etichetta piuttosto che come prova di identità. Prima di fare clic su Allow, verifica che l’host sotto You’ll be redirected to sia quello che ti aspetti per il client che stai connettendo.

Creazione dell’account per gli utenti del connettore claude.ai

La pagina di accesso OAuth non include un modulo di iscrizione. Se stai effettuando la connessione tramite il connettore personalizzato di claude.ai e non hai ancora un account Flowstep, creane uno prima su app.flowstep.ai, quindi torna alla configurazione del connettore per autenticarti. Se nessuna intestazione Authorization è presente, il middleware ritorna a una sessione Supabase basata su cookie. Questo funziona quando si accede a /mcp direttamente da un browser con una sessione Flowstep attiva. I client MCP utilizzano sempre il percorso Bearer.

Token manuale (test)

Per chiamare l’endpoint direttamente senza un flusso OAuth del client:

Accedi a app.flowstep.ai nel tuo browser
Apri DevTools → Console, esegui:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passa il token come intestazione:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Le sessioni MCP durano 30 giorni — il server aggiorna in modo trasparente il token sottostante, quindi i client che utilizzano il flusso OAuth non devono ri-autenticarsi durante l’uso normale. Un token estratto manualmente come quello sopra scade comunque dopo circa un’ora; è solo per il test rapido.

Per iniziare

Usare Flowstep

Team e organizzazioni

Esportazione e integrazioni

Server MCP

Fatturazione e piani

Sicurezza e privacy

Autenticazione MCP

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Rivedi e approva l’accesso

Creazione dell’account per gli utenti del connettore claude.ai

Token manuale (test)

​Flusso OAuth 2.1 PKCE

​Metodi di accesso supportati

​Rivedi e approva l’accesso

​Creazione dell’account per gli utenti del connettore claude.ai

​Fallback del cookie

​Token manuale (test)

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Rivedi e approva l’accesso

Creazione dell’account per gli utenti del connettore claude.ai

Fallback del cookie

Token manuale (test)