MCP-autentisering

Slutpunkten /mcp kräver en Bearer-token i headern Authorization. MCP-klienter hämtar en automatiskt via OAuth 2.1 PKCE-flödet. Det finns ingen API-nyckel att skapa, klistra in eller rotera. Du kan också ange en token manuellt för testning.

OAuth 2.1 PKCE-flöde

Flowstep kör sin egen OAuth 2.1-auktoriseringsserver på https://api.flowstep.ai. MCP-klienter upptäcker och slutför flödet automatiskt. De öppnar ett webbläsarfönster där du loggar in och godkänner åtkomst, och hanterar sedan tokenutbytet i bakgrunden. Klienter kan registrera sig själva dynamiskt, så du behöver inte konfigurera ett klient-ID först.

Inloggningsmetoder som stöds

Auktoriseringssidan på /oauth/authorize stöder:

Email/password: alla Flowstep-konton som har ett lösenord angivet
Google SSO: omdirigerar via Supabase social auth och återgår automatiskt till klienten

Granska och godkänn åtkomst

Efter att du har loggat in visar Flowstep en godkännandesida innan den utfärdar en token. Ingen klient kan slutföra anslutningen utan ditt uttryckliga godkännande. Sidan har rubriken Authorize access och anger klienten som begär åtkomst. Klientens namn visas i fetstil, följt av “is requesting access to your Flowstep account”. Därefter visas You’ll be redirected to och målvärden. Välj Allow för att slutföra anslutningen, eller Deny för att avbryta. Om du nekar returnerar klienten ett access_denied-fel och ingen token utfärdas.

Klientnamnet anges av den som registrerade klienten, så betrakta det som en etikett och inte som bevis på identitet. Innan du klickar på Allow kontrollerar du att värdnamnet under You’ll be redirected to är ett du förväntar dig för klienten du ansluter.

Kontoskapande för claude.ai-konnektoranvändare

Inloggningssidan för OAuth innehåller inget registreringsformulär. Om du lägger till Flowstep-konnektorn från Claudes konnektorkatalog och inte har ett Flowstep-konto ännu, skapar du ett först på app.flowstep.ai. Återgå sedan till Claude för att slutföra anslutningen. Om ingen Authorization-header finns faller middleware tillbaka på en cookiebaserad Supabase-session. Detta fungerar när du öppnar /mcp direkt från en webbläsare med en aktiv Flowstep-session. MCP-klienter använder alltid Bearer-vägen.

Manuell token (testning)

Så här anropar du endpointen direkt utan ett OAuth-flöde för klienten:

Logga in på app.flowstep.ai i din webbläsare
Öppna DevTools → Console och kör:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Skicka token som en header:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessioner varar i 30 dagar. Servern uppdaterar den underliggande token transparent, så klienter som använder OAuth-flödet behöver inte autentisera om under normal användning. En manuellt extraherad token som den ovan löper fortfarande ut efter cirka en timme. Den är endast avsedd för snabb testning.

Kom igång

Använda Flowstep

Team och organisationer

Export och integrationer

MCP-server

Fakturering och planer

Säkerhet och integritet

MCP-autentisering

OAuth 2.1 PKCE-flöde

Inloggningsmetoder som stöds

Granska och godkänn åtkomst

Kontoskapande för claude.ai-konnektoranvändare

Manuell token (testning)

​OAuth 2.1 PKCE-flöde

​Inloggningsmetoder som stöds

​Granska och godkänn åtkomst

​Kontoskapande för claude.ai-konnektoranvändare

​Cookie-fallback

​Manuell token (testning)

OAuth 2.1 PKCE-flöde

Inloggningsmetoder som stöds

Granska och godkänn åtkomst

Kontoskapande för claude.ai-konnektoranvändare

Cookie-fallback

Manuell token (testning)