MCP-autentisering

/mcp-endepunktet krever et Bearer-token i Authorization-headeren. MCP-klienter henter et automatisk via OAuth 2.1 PKCE-flyten. Du trenger ingen API-nøkkel å opprette, lime inn eller rotere. Du kan også oppgi et token manuelt for testing.

OAuth 2.1 PKCE-flyt

Flowstep kjører sin egen OAuth 2.1-autorisasjonsserver på https://api.flowstep.ai. MCP-klienter finner og fullfører flyten automatisk: de åpner et nettleservindu der du logger inn og godkjenner tilgang, og håndterer deretter tokenutvekslingen i bakgrunnen. Klienter kan registrere seg selv dynamisk, så du trenger ikke å sette opp en klient-ID på forhånd.

Støttede innloggingsmetoder

Autorisasjonssiden på /oauth/authorize støtter:

E-post og passord — alle Flowstep-kontoer som har et passord satt
Google SSO — sender deg videre via Supabase social auth og returnerer deg automatisk til klienten

Gjennomgå og godkjenn tilgang

Etter at du har logget inn, viser Flowstep en samtykkeskjerm før den utsteder et token. Ingen klient kan fullføre tilkoblingen uten din eksplisitte godkjenning. Skjermen har overskriften Authorize access og viser navnet på klienten som ber om tilgang: klientnavnet i fet skrift, etterfulgt av «is requesting access to your Flowstep account». Deretter vises You’ll be redirected to og vertsnavnet du sendes til. Velg Allow for å fullføre tilkoblingen, eller Deny for å avbryte. Når du velger Deny, returnerer klienten en access_denied-feil, og det utstedes ikke noe token.

Klientnavnet er satt av den som registrerte klienten, så behandle det som en etikett, ikke som bevis på identitet. Før du klikker Allow, kontroller at verten under You’ll be redirected to er den du forventer for klienten du kobler til.

Opprette konto for claude.ai-konnektorbrukere

Innloggingssiden for OAuth har ikke et registreringsskjema. Hvis du legger til Flowstep-konnektoren fra Claudes konnektorkatalog og ikke har en Flowstep-konto ennå, oppretter du en først på app.flowstep.ai, og går deretter tilbake til Claude for å fullføre tilkoblingen. Hvis ingen Authorization-header finnes, faller middleware tilbake til en cookie-basert Supabase-økt. Dette fungerer når du åpner /mcp direkte fra en nettleser med en aktiv Flowstep-økt. MCP-klienter bruker alltid Bearer-banen.

Manuelt token (testing)

Slik kaller du endepunktet direkte uten en klient-OAuth-flyt:

Logg inn på app.flowstep.ai i nettleseren din
Åpne DevTools → Console, og kjør:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Send tokenet som en header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-økter varer i 30 dager. Serveren fornyer det underliggende tokenet automatisk, så klienter som bruker OAuth-flyten, trenger ikke å autentisere seg på nytt under normal bruk. Et manuelt hentet token som det over, utløper etter omtrent én time. Det er kun til rask testing.

Kom i gang

Bruke Flowstep

Team og organisasjoner

Eksport og integrasjoner

MCP-server

Fakturering og abonnementer

Sikkerhet og personvern

MCP-autentisering

OAuth 2.1 PKCE-flyt

Støttede innloggingsmetoder

Gjennomgå og godkjenn tilgang

Opprette konto for claude.ai-konnektorbrukere

Manuelt token (testing)

​OAuth 2.1 PKCE-flyt

​Støttede innloggingsmetoder

​Gjennomgå og godkjenn tilgang

​Opprette konto for claude.ai-konnektorbrukere

​Cookie-reserve

​Manuelt token (testing)

OAuth 2.1 PKCE-flyt

Støttede innloggingsmetoder

Gjennomgå og godkjenn tilgang

Opprette konto for claude.ai-konnektorbrukere

Cookie-reserve

Manuelt token (testing)