Autenticazione MCP

L’endpoint /mcp richiede un access_token Supabase passato come token Bearer. La maggior parte dei client MCP lo ottiene automaticamente tramite il flusso OAuth 2.1 PKCE. Puoi anche fornire un token manualmente per i test.

Flusso OAuth 2.1 PKCE

Flowstep implementa un server di autorizzazione OAuth 2.1 completo presso https://api.flowstep.ai. I client MCP lo scoprono e completano il flusso automaticamente: aprono una finestra del browser per accedere, quindi gestiscono lo scambio di token dietro le quinte.

Metodi di accesso supportati

La pagina di autorizzazione presso /oauth/authorize supporta:

Email/password — qualsiasi account Flowstep con una password impostata
Google SSO — reindirizza tramite l’autenticazione sociale Supabase, ritorna al client automaticamente

Creazione dell’account per gli utenti del connettore claude.ai

La pagina di accesso OAuth non include un modulo di iscrizione. Se ti stai connettendo tramite il connettore personalizzato di claude.ai e non hai ancora un account Flowstep, creane uno prima su app.flowstep.ai, quindi ritorna alla configurazione del connettore per autenticarti. Se non è presente alcuna intestazione Authorization, il middleware ricorre a una sessione Supabase basata su cookie. Questo funziona quando accedi a /mcp direttamente da un browser con una sessione Flowstep attiva. I client MCP utilizzano sempre il percorso Bearer.

Token manuale (test)

Per chiamare l’endpoint direttamente senza un flusso OAuth del client:

Accedi a app.flowstep.ai nel tuo browser
Apri DevTools → Console ed esegui:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passa il token come intestazione:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Le sessioni MCP durano 30 giorni — il server aggiorna trasparentemente il token sottostante, quindi i client che utilizzano il flusso OAuth non devono ri-autenticarsi durante l’uso normale. Un token estratto manualmente come quello sopra scade comunque dopo circa un’ora; è solo per i test rapidi.

Per iniziare

Usare Flowstep

Team e organizzazioni

Esportazione e integrazioni

Server MCP

Fatturazione e piani

Sicurezza e privacy

Autenticazione MCP

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Creazione dell’account per gli utenti del connettore claude.ai

Token manuale (test)

​Flusso OAuth 2.1 PKCE

​Metodi di accesso supportati

​Creazione dell’account per gli utenti del connettore claude.ai

​Fallback dei cookie

​Token manuale (test)

Flusso OAuth 2.1 PKCE

Metodi di accesso supportati

Creazione dell’account per gli utenti del connettore claude.ai

Fallback dei cookie

Token manuale (test)