MCP-autentisering

Endepunktet /mcp krever en Supabase access_token sendt som en Bearer-token. De fleste MCP-klienter henter denne automatisk via OAuth 2.1 PKCE-flyten. Du kan også oppgi en token manuelt for testing.

OAuth 2.1 PKCE-flyt

Flowstep implementerer en fullstendig OAuth 2.1-autorisasjonsserver på https://api.flowstep.ai. MCP-klienter oppdager og fullfører flyten automatisk: de åpner et nettleservindu for deg til å logge inn og godkjenne tilgang, og håndterer tokenutvekslingen bak kulissene.

Støttede påloggingsmetoder

Autorisasjonssiden på /oauth/authorize støtter:

Email/password – hvilken som helst Flowstep-konto med passord satt
Google SSO – omdirigeres gjennom Supabase sosial auth, returnerer til klienten automatisk

Gjennomgang og godkjenning av tilgang

Etter at du logger inn, viser Flowstep en samtykkeskjerm før den utsteder en token – ingen klient kan fullføre tilkoblingen uten eksplisitt godkjenning. Skjermen er overskriftet Authorize access og navngir klienten som ber om tilgang – klientens navn i fett, etterfulgt av “is requesting access to your Flowstep account” – deretter viser You’ll be redirected to og destinasjonsverten. Velg Allow for å fullføre tilkoblingen, eller Deny for å avbryte. Nekting returnerer klienten en access_denied-feil og utsteder ingen token.

Klientnavnet er satt av den som registrerte klienten, så behandl det som en etikett i stedet for bevis på identitet. Før du klikker Allow, sjekk at verten under You’ll be redirected to er en du forventer for klienten du kobiler til.

Kontoopretting for claude.ai-koblingsbrukere

OAuth-påloggingssiden inneholder ikke et påmeldingsskjema. Hvis du kobler til via claude.ai sin egendefinerte kobling og ikke har en Flowstep-konto ennå, opprett en først på app.flowstep.ai, og gå deretter tilbake til koblingoppsettet for å autentisere. Hvis ingen Authorization-overskrift er til stede, faller programvaren tilbake til en cookie-basert Supabase-sesjon. Dette fungerer når du får tilgang til /mcp direkte fra en nettleser med en aktiv Flowstep-sesjon. MCP-klienter bruker alltid Bearer-banen.

Manuell token (testing)

For å kalle endepunktet direkte uten en klient OAuth-flyt:

Logg inn på app.flowstep.ai i nettleseren din
Åpne DevTools → Console, kjør:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Send tokenen som en overskrift:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sesjoner varer 30 dager – serveren oppdaterer den underliggende tokenen transparently, slik at klienter som bruker OAuth-flyten ikke trenger å autentisere på nytt under normal bruk. En manuelt ekstrahert token som den ovenfor utløper fortsatt etter omkring en time; den er kun for rask testing.

Kom i gang

Bruke Flowstep

Team og organisasjoner

Eksport og integrasjoner

MCP-server

Fakturering og abonnementer

Sikkerhet og personvern

MCP-autentisering

OAuth 2.1 PKCE-flyt

Støttede påloggingsmetoder

Gjennomgang og godkjenning av tilgang

Kontoopretting for claude.ai-koblingsbrukere

Manuell token (testing)

​OAuth 2.1 PKCE-flyt

​Støttede påloggingsmetoder

​Gjennomgang og godkjenning av tilgang

​Kontoopretting for claude.ai-koblingsbrukere

​Cookie-fallback

​Manuell token (testing)

OAuth 2.1 PKCE-flyt

Støttede påloggingsmetoder

Gjennomgang og godkjenning av tilgang

Kontoopretting for claude.ai-koblingsbrukere

Cookie-fallback

Manuell token (testing)