Uwierzytelnianie MCP

Endpoint /mcp wymaga tokena Bearer w nagłówku Authorization. Klienty MCP pobierają go automatycznie w przepływie OAuth 2.1 PKCE. Nie ma klucza API do utworzenia, wklejenia ani rotacji. Token możesz też podać ręcznie do testów.

Przepływ OAuth 2.1 PKCE

Flowstep udostępnia własny serwer autoryzacji OAuth 2.1 pod adresem https://api.flowstep.ai. Klienty MCP automatycznie wykrywają ten serwer i przechodzą przez przepływ: otwierają okno przeglądarki, w którym logujesz się i zatwierdzasz dostęp, a następnie w tle wymieniają token. Klienty mogą rejestrować się dynamicznie, więc nie musisz wcześniej konfigurować identyfikatora klienta.

Obsługiwane metody logowania

Strona autoryzacji pod adresem /oauth/authorize obsługuje:

Email/password: dowolne konto Flowstep z ustawionym hasłem
Google SSO: przekierowanie przez logowanie społecznościowe Supabase, po którym klient automatycznie odbiera sesję

Przeglądanie i zatwierdzanie dostępu

Po zalogowaniu Flowstep wyświetla ekran zgody, zanim wyda token. Żaden klient nie zakończy połączenia bez Twojej wyraźnej zgody. Ekran ma nagłówek Authorize access i podaje nazwę klienta, który prosi o dostęp. Nazwa klienta jest pogrubiona, a po niej następuje komunikat “is requesting access to your Flowstep account” (prosi o dostęp do Twojego konta Flowstep). Dalej widać You’ll be redirected to i host docelowy. Wybierz Allow, aby zakończyć połączenie, lub Deny, aby je anulować. Odmowa zwraca klientowi błąd access_denied i nie wydaje tokena.

Nazwę klienta ustawia osoba, która zarejestrowała klienta, więc traktuj ją jako etykietę, a nie dowód tożsamości. Zanim klikniesz Allow, sprawdź, czy host widoczny pod You’ll be redirected to to ten, którego oczekujesz dla klienta, z którym się łączysz.

Tworzenie konta dla użytkowników konektora claude.ai

Strona logowania OAuth nie zawiera formularza rejestracji. Jeśli dodajesz konektor Flowstep z katalogu konektorów Claude, a nie masz jeszcze konta Flowstep, najpierw utwórz je na app.flowstep.ai, a następnie wróć do Claude, aby dokończyć połączenie. Jeśli nagłówek Authorization nie jest obecny, middleware korzysta z sesji Supabase opartej na plikach cookie. Działa to, gdy otwierasz /mcp bezpośrednio w przeglądarce z aktywną sesją Flowstep. Klienty MCP zawsze korzystają ze ścieżki Bearer.

Ręczny token (testowanie)

Aby wywołać endpoint bezpośrednio, bez przepływu OAuth klienta:

Zaloguj się na app.flowstep.ai w przeglądarce
Otwórz DevTools → Console i uruchom:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Przekaż token w nagłówku:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Sesje MCP trwają 30 dni. Serwer odświeża bazowy token w tle, dzięki czemu klienty korzystające z przepływu OAuth nie muszą się ponownie uwierzytelniać podczas normalnego użytkowania. Ręcznie wyodrębniony token, taki jak powyższy, wygasa po około godzinie. Służy wyłącznie do szybkich testów.

Pierwsze kroki

Korzystanie z Flowstep

Zespoły i organizacje

Eksport i integracje

Serwer MCP

Rozliczenia i plany

Bezpieczeństwo i prywatność

Uwierzytelnianie MCP

Przepływ OAuth 2.1 PKCE

Obsługiwane metody logowania

Przeglądanie i zatwierdzanie dostępu

Tworzenie konta dla użytkowników konektora claude.ai

Ręczny token (testowanie)

​Przepływ OAuth 2.1 PKCE

​Obsługiwane metody logowania

​Przeglądanie i zatwierdzanie dostępu

​Tworzenie konta dla użytkowników konektora claude.ai

​Zapasowe uwierzytelnianie plikami cookie

​Ręczny token (testowanie)

Przepływ OAuth 2.1 PKCE

Obsługiwane metody logowania

Przeglądanie i zatwierdzanie dostępu

Tworzenie konta dla użytkowników konektora claude.ai

Zapasowe uwierzytelnianie plikami cookie

Ręczny token (testowanie)