MCP-authenticatie

Het /mcp-endpoint vereist een Bearer-token in de Authorization-header. MCP-clients verkrijgen er automatisch een via de OAuth 2.1 PKCE-flow. Je hoeft geen API-sleutel aan te maken, te plakken of te roteren. Voor testdoeleinden kun je ook handmatig een token opgeven.

OAuth 2.1 PKCE-flow

Flowstep draait zijn eigen OAuth 2.1-autorisatieserver op https://api.flowstep.ai. MCP-clients ontdekken en doorlopen de flow automatisch. Ze openen een browservenster waarin je inlogt en toegang goedkeurt, en regelen daarna de tokenuitwisseling op de achtergrond. Clients kunnen zichzelf dynamisch registreren, dus je hoeft eerst geen client-ID in te stellen.

Ondersteunde inlogmethoden

De autorisatiepagina op /oauth/authorize ondersteunt:

Email/password: elk Flowstep-account met een ingesteld wachtwoord
Google SSO: stuurt door via Supabase social auth en keert automatisch terug naar de client

Toegang controleren en goedkeuren

Nadat je bent ingelogd, toont Flowstep een toestemmingsscherm voordat er een token wordt uitgegeven. Geen enkele client kan het verbinden zonder je uitdrukkelijke goedkeuring. Het scherm heeft als kop Authorize access en noemt de client die toegang vraagt: de naam van de client in vet, gevolgd door “is requesting access to your Flowstep account” (vraagt toegang tot je Flowstep-account). Daarna staat You’ll be redirected to en de bestemmingshost. Kies Allow om de verbinding af te ronden, of Deny om te annuleren. Bij weigeren ontvangt de client een access_denied-fout en wordt er geen token uitgegeven.

De clientnaam wordt ingesteld door wie de client heeft geregistreerd. Zie die naam daarom als label en niet als bewijs van identiteit. Controleer voordat je op Allow klikt of de host onder You’ll be redirected to de host is die je verwacht voor de client die je verbindt.

Accountaanmaak voor claude.ai-connectorgebruikers

De OAuth-inlogpagina bevat geen registratieformulier. Als je de Flowstep-connector toevoegt vanuit Claude’s connectordirectory en nog geen Flowstep-account hebt, maak er dan eerst een aan op app.flowstep.ai. Keer daarna terug naar Claude om het verbinden af te ronden. Als er geen Authorization-header aanwezig is, valt de middleware terug op een op cookies gebaseerde Supabase-sessie. Dit werkt wanneer je /mcp rechtstreeks in een browser opent met een actieve Flowstep-sessie. MCP-clients gebruiken altijd het Bearer-pad.

Handmatig token (testen)

Om het endpoint rechtstreeks aan te roepen zonder client-OAuth-flow:

Log in op app.flowstep.ai in je browser
Open DevTools → Console en voer uit:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Geef het token mee als header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessies duren 30 dagen. De server vernieuwt het onderliggende token transparant, dus clients die de OAuth-flow gebruiken hoeven tijdens normaal gebruik niet opnieuw te authenticeren. Een handmatig geëxtraheerd token zoals hierboven verloopt na ongeveer een uur. Het is alleen bedoeld voor snel testen.

Aan de slag

Flowstep gebruiken

Teams & organisaties

Exporteren & integraties

MCP-server

Facturering & abonnementen

Beveiliging & privacy

MCP-authenticatie

OAuth 2.1 PKCE-flow

Ondersteunde inlogmethoden

Toegang controleren en goedkeuren

Accountaanmaak voor claude.ai-connectorgebruikers

Handmatig token (testen)

​OAuth 2.1 PKCE-flow

​Ondersteunde inlogmethoden

​Toegang controleren en goedkeuren

​Accountaanmaak voor claude.ai-connectorgebruikers

​Cookie-fallback

​Handmatig token (testen)

OAuth 2.1 PKCE-flow

Ondersteunde inlogmethoden

Toegang controleren en goedkeuren

Accountaanmaak voor claude.ai-connectorgebruikers

Cookie-fallback

Handmatig token (testen)