/mcp 엔드포인트는 Authorization 헤더에 Bearer 토큰을 요구합니다. MCP 클라이언트는 OAuth 2.1 PKCE 흐름을 통해 이 토큰을 자동으로 받습니다. 생성, 붙여넣기, 교체해야 하는 API 키는 없습니다. 테스트를 위해 토큰을 직접 제공할 수도 있습니다.
OAuth 2.1 PKCE 흐름
Flowstep은https://api.flowstep.ai에서 자체 OAuth 2.1 인증 서버를 실행합니다. MCP 클라이언트는 흐름을 자동으로 찾아 완료합니다. 브라우저 창을 열어 로그인하고 액세스를 승인하도록 안내한 다음, 뒤에서 토큰 교환을 처리합니다. 클라이언트는 스스로 동적으로 등록할 수 있으므로 클라이언트 ID를 먼저 설정할 필요가 없습니다.
지원되는 로그인 방법
/oauth/authorize의 인증 페이지는 다음을 지원합니다.
- 이메일/비밀번호 — 비밀번호가 설정된 모든 Flowstep 계정
- Google SSO — Supabase 소셜 인증을 거쳐 리디렉션되며, 클라이언트로 자동 복귀합니다
액세스 검토 및 승인
로그인한 뒤 Flowstep은 토큰을 발급하기 전에 동의 화면을 표시합니다. 명시적으로 승인하지 않으면 어떤 클라이언트도 연결을 완료할 수 없습니다. 화면 제목은 Authorize access입니다. 액세스를 요청하는 클라이언트 이름이 굵게 표시되고, 그 뒤에 “is requesting access to your Flowstep account”(Flowstep 계정에 대한 액세스를 요청하고 있습니다)라는 문구가 나옵니다. 이어서 You’ll be redirected to와 대상 호스트가 표시됩니다. Allow를 선택하면 연결이 완료됩니다. Deny를 선택하면 취소됩니다. Deny를 선택하면 클라이언트는access_denied 오류를 받으며, 토큰은 발급되지 않습니다.
claude.ai 커넥터 사용자를 위한 계정 생성
OAuth 로그인 페이지에는 가입 양식이 없습니다. Claude의 커넥터 디렉터리에서 Flowstep 커넥터를 추가하려는데 아직 Flowstep 계정이 없다면, 먼저 app.flowstep.ai에서 계정을 만드세요. 그런 다음 Claude로 돌아가 연결을 완료하세요.쿠키 대체 방식
Authorization 헤더가 없으면 미들웨어는 쿠키 기반 Supabase 세션으로 대체합니다. 이 방식은 활성 Flowstep 세션이 있는 브라우저에서 /mcp에 직접 접근할 때 작동합니다. MCP 클라이언트는 항상 Bearer 경로를 사용합니다.
수동 토큰(테스트용)
클라이언트 OAuth 흐름 없이 엔드포인트를 직접 호출하려면 다음 단계를 따르세요.- 브라우저에서 app.flowstep.ai에 로그인하세요.
- DevTools → Console을 열고 다음을 실행하세요.
- 토큰을 헤더로 전달하세요.