Autenticação MCP

O endpoint /mcp requer um access_token Supabase passado como um token Bearer. A maioria dos clientes MCP obtém isso automaticamente via fluxo OAuth 2.1 PKCE. Você também pode fornecer um token manualmente para teste.

Fluxo OAuth 2.1 PKCE

Flowstep implementa um servidor de autorização OAuth 2.1 completo em https://api.flowstep.ai. Os clientes MCP descobrem e completam o fluxo automaticamente: eles abrem uma janela do navegador para você fazer login, depois tratam a troca de token nos bastidores. A página de autorização em /oauth/authorize suporta:

Email/password — qualquer conta Flowstep com uma senha definida
Google SSO — redireciona através da autenticação social Supabase, retorna ao cliente automaticamente

Criação de conta para usuários do conector claude.ai

A página de login OAuth não inclui um formulário de inscrição. Se você está conectando através do conector personalizado do claude.ai e ainda não tem uma conta Flowstep, crie uma primeiro em app.flowstep.ai, então retorne à configuração do conector para autenticar. Se nenhum header Authorization estiver presente, o middleware recua para uma sessão Supabase baseada em cookie. Isso funciona ao acessar /mcp diretamente de um navegador com uma sessão Flowstep ativa. Clientes MCP sempre usam o caminho Bearer.

Token manual (teste)

Para chamar o endpoint diretamente sem um fluxo OAuth do cliente:

Faça login em app.flowstep.ai em seu navegador
Abra DevTools → Console e execute:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Passe o token como um header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Sessões MCP duram 30 dias — o servidor atualiza o token subjacente transparentemente, então clientes usando o fluxo OAuth não precisam re-autenticar durante o uso normal. Um token extraído manualmente como o acima ainda expira após cerca de uma hora; é apenas para teste rápido.

Primeiros passos

Usando o Flowstep

Equipes e organizações

Exportação e integrações

Servidor MCP

Cobrança e planos

Segurança e privacidade

Autenticação MCP

Fluxo OAuth 2.1 PKCE

Criação de conta para usuários do conector claude.ai

Token manual (teste)

​Fluxo OAuth 2.1 PKCE

​Métodos de login suportados

​Criação de conta para usuários do conector claude.ai

​Fallback de cookie

​Token manual (teste)

Fluxo OAuth 2.1 PKCE

Métodos de login suportados

Criação de conta para usuários do conector claude.ai

Fallback de cookie

Token manual (teste)