MCP-autentisering

Endepunktet /mcp krever en Supabase access_token som sendes som en Bearer-token. De fleste MCP-klienter får denne automatisk via OAuth 2.1 PKCE-flyten. Du kan også levere en token manuelt for testing.

OAuth 2.1 PKCE-flyt

Flowstep implementerer en fullstendig OAuth 2.1-autorisasjonsserver på https://api.flowstep.ai. MCP-klienter oppdager og gjennomfører flyten automatisk: de åpner et nettleservindu for deg å logge inn, og håndterer deretter token-utvekslingen bak kulissene.

Støttede påloggingsmetoder

Autorisasjonssiden på /oauth/authorize støtter:

Email/password (e-post/passord) — hvilken som helst Flowstep-konto med passord satt
Google SSO — omdirigerer gjennom Supabase sosial autentisering, returnerer til klienten automatisk

Kontoopprettelse for claude.ai-koblings-brukere

OAuth-påloggingssiden inneholder ikke et registreringsskjema. Hvis du kobler deg til via claude.ai sin tilpassede kobling og ikke har en Flowstep-konto ennå, opprett en først på app.flowstep.ai, og gå deretter tilbake til koblingskonfigurasjonen for å autentisere. Hvis ingen Authorization-header er tilstede, faller mellomvaren tilbake til en cookie-basert Supabase-sesjon. Dette fungerer når /mcp åpnes direkte fra en nettleser med en aktiv Flowstep-sesjon. MCP-klienter bruker alltid Bearer-banen.

Manuell token (testing)

For å kalle endepunktet direkte uten en OAuth-flyt for klienten:

Logg deg på app.flowstep.ai i nettleseren din
Åpne DevTools → Console, kjør:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Lever tokenen som en header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sesjoner varer 30 dager — serveren fornyer den underliggende tokenen gjennomsiktig, så klienter som bruker OAuth-flyten trenger ikke å gjenautentisere under normal bruk. En manuelt ekstrahert token som den ovenfor utløper fortsatt etter cirka en time; den er kun for rask testing.

Kom i gang

Bruke Flowstep

Team og organisasjoner

Eksport og integrasjoner

MCP-server

Fakturering og abonnementer

Sikkerhet og personvern

MCP-autentisering

OAuth 2.1 PKCE-flyt

Støttede påloggingsmetoder

Kontoopprettelse for claude.ai-koblings-brukere

Manuell token (testing)

​OAuth 2.1 PKCE-flyt

​Støttede påloggingsmetoder

​Kontoopprettelse for claude.ai-koblings-brukere

​Cookie-reserveløsning

​Manuell token (testing)

OAuth 2.1 PKCE-flyt

Støttede påloggingsmetoder

Kontoopprettelse for claude.ai-koblings-brukere

Cookie-reserveløsning

Manuell token (testing)