/mcp エンドポイントは、Authorization ヘッダーで Bearer トークンを必要とします。MCPクライアントは、OAuth 2.1 PKCE フローを通じてトークンを自動的に取得します。作成、貼り付け、ローテーションが必要な API キーはありません。テスト用に、手動でトークンを指定することもできます。
OAuth 2.1 PKCE フロー
Flowstepは、https://api.flowstep.ai で独自の OAuth 2.1 認可サーバーを運用しています。MCPクライアントはフローを自動的に検出して完了します。ブラウザーウィンドウが開き、ログインとアクセス許可を行えます。その後、トークンの交換は裏側で処理されます。クライアントは動的に自己登録できるため、事前にクライアントIDを設定する必要はありません。
サポートされるログイン方法
/oauth/authorize の認可ページでは、次の方法でログインできます。
- Email/password — パスワードが設定されているあらゆるFlowstepアカウント
- Google SSO — Supabase のソーシャル認証を経由してリダイレクトされ、自動的にクライアントへ戻ります
アクセスを確認して許可する
ログイン後、Flowstepはトークンを発行する前に同意画面を表示します。明示的な承認がなければ、どのクライアントも接続を完了できません。画面の見出しは Authorize access です。アクセスを要求しているクライアントの名前が表示され、クライアント名は太字で示されます。その後に「is requesting access to your Flowstep account」（Flowstepアカウントへのアクセスを要求しています）と続きます。次に You’ll be redirected to と、リダイレクト先のホストが表示されます。 接続を完了するには Allow を選択します。キャンセルするには Deny を選択します。拒否すると、クライアントにはaccess_denied エラーが返され、トークンは発行されません。
claude.aiコネクターのユーザー向けのアカウント作成
OAuth ログインページには、サインアップフォームは含まれていません。ClaudeのコネクターディレクトリからFlowstepコネクターを追加する場合で、まだFlowstepアカウントをお持ちでなければ、先に app.flowstep.ai でアカウントを作成してから、Claudeに戻って接続を完了してください。Cookieのフォールバック
Authorization ヘッダーがない場合、ミドルウェアはCookieベースのSupabaseセッションにフォールバックします。これは、有効なFlowstepセッションがあるブラウザーから /mcp に直接アクセスする場合に機能します。MCPクライアントは常に Bearer の経路を使用します。
手動トークン（テスト用）
クライアントの OAuth フローを使わずに、エンドポイントを直接呼び出すには次の手順に従います。- ブラウザーで app.flowstep.ai にサインインします
- DevTools → Console を開き、次を実行します：
- トークンをヘッダーとして渡します：