MCP-autentisering

Slutpunkten /mcp kräver en Supabase access_token som skickas som en Bearer-token. De flesta MCP-klienter erhåller detta automatiskt via OAuth 2.1 PKCE-flödet. Du kan också tillhandahålla en token manuellt för testning.

OAuth 2.1 PKCE-flöde

Flowstep implementerar en fullständig OAuth 2.1-auktoriseringsserver på https://api.flowstep.ai. MCP-klienter upptäcker och slutför flödet automatiskt: de öppnar ett webbläsarfönster för att du ska kunna logga in och godkänna åtkomst, och hanterar sedan tokenbytningen bakom kulisserna.

Stödda inloggningsmetoder

Auktoriseringssidan på /oauth/authorize stöder:

E-post/lösenord — alla Flowstep-konton med ett lösenord inställt
Google SSO — omdirigeras genom Supabase social auth, återvänder till klienten automatiskt

Granska och godkänna åtkomst

Efter att du har loggat in visar Flowstep en samtyckessida innan den utfärdar en token — ingen klient kan slutföra anslutningen utan ditt uttryckliga godkännande. Skärmen är rubricerad Authorize access och namnger den klient som begär åtkomst — klientens namn i fetstil, följt av “is requesting access to your Flowstep account” — och visar sedan You’ll be redirected to och värddatorn. Välj Allow för att slutföra anslutningen, eller Deny för att avbryta. Att neka returnerar klienten ett access_denied-fel och utfärdar ingen token.

Klientnamnet ställs in av den som registrerade klienten, så behandla det som en etikett snarare än bevis på identitet. Innan du klickar på Allow kontrollerar du att värddatorn under You’ll be redirected to är en du förväntar dig för den klient du ansluter.

Kontoskapande för claude.ai-anslutningstjänstanvändare

OAuth-inloggningssidan innehåller inte ett registreringsformulär. Om du ansluter via claude.ai:s anpassade anslutning och inte redan har ett Flowstep-konto skapar du först ett på app.flowstep.ai, och återgår sedan till anslutningstjänstens inställning för att autentisera. Om ingen Authorization-rubrik finns faller mellanvaran tillbaka på en cookiebaserad Supabase-session. Detta fungerar när du öppnar /mcp direkt från en webbläsare med en aktiv Flowstep-session. MCP-klienter använder alltid Bearer-sökvägen.

Manuell token (testning)

För att anropa slutpunkten direkt utan ett klient-OAuth-flöde:

Logga in på app.flowstep.ai i din webbläsare
Öppna DevTools → Console, kör:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Skicka token som en rubrik:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessioner varar 30 dagar — servern uppdaterar den underliggande token transparent, så klienter som använder OAuth-flödet behöver inte autentisera på nytt under normal användning. En manuellt extraherad token som den ovan är fortfarande utgången efter cirka en timme; det är endast för snabb testning.

Kom igång

Använda Flowstep

Team och organisationer

Export och integrationer

MCP-server

Fakturering och planer

Säkerhet och integritet

MCP-autentisering

OAuth 2.1 PKCE-flöde

Stödda inloggningsmetoder

Granska och godkänna åtkomst

Kontoskapande för claude.ai-anslutningstjänstanvändare

Manuell token (testning)

​OAuth 2.1 PKCE-flöde

​Stödda inloggningsmetoder

​Granska och godkänna åtkomst

​Kontoskapande för claude.ai-anslutningstjänstanvändare

​Cookie-reserv

​Manuell token (testning)

OAuth 2.1 PKCE-flöde

Stödda inloggningsmetoder

Granska och godkänna åtkomst

Kontoskapande för claude.ai-anslutningstjänstanvändare

Cookie-reserv

Manuell token (testning)