MCP-autentisering

Slutpunkten /mcp kräver en Supabase access_token som skickas som en Bearer-token. De flesta MCP-klienter hämtar detta automatiskt via OAuth 2.1 PKCE-flödet. Du kan också ange en token manuellt för testning.

OAuth 2.1 PKCE-flöde

Flowstep implementerar en fullständig OAuth 2.1-auktoriseringsserver på https://api.flowstep.ai. MCP-klienter upptäcker och slutför flödet automatiskt: de öppnar ett webbläsarfönster för att du ska logga in, sedan hanterar de tokenbytesprocessen bakom kulisserna.

Inloggningsmetoder som stöds

Auktoriseringssidan på /oauth/authorize stöder:

Email/password (e-post/lösenord) — något Flowstep-konto med lösenord inställt
Google SSO — omdirigerar genom Supabase-socialauthentisering, återkommer till klienten automatiskt

Kontoskapande för claude.ai-anslutningsanvändare

OAuth-inloggningssidan innehåller inget anmälningsformulär. Om du ansluter via claude.ai:s anpassade anslutning och ännu inte har ett Flowstep-konto, skapar du ett först på app.flowstep.ai och återgår sedan till anslutningskonfigurationen för att autentisera. Om inget Authorization-huvud finns, faller mellanvaran tillbaka till en cookie-baserad Supabase-session. Detta fungerar när du får åtkomst till /mcp direkt från en webbläsare med en aktiv Flowstep-session. MCP-klienter använder alltid Bearer-vägen.

Manuell token (testning)

För att anropa slutpunkten direkt utan ett klient-OAuth-flöde:

Logga in på app.flowstep.ai i din webbläsare
Öppna DevTools → Console, kör:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Skicka token som ett huvud:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessioner varar 30 dagar — servern uppdaterar den underliggande token transparent, så klienter som använder OAuth-flödet behöver inte omautentiseras vid normal användning. En manuellt extraherad token som den ovan utgår fortfarande efter cirka en timme; det är endast för snabb testning.

Kom igång

Använda Flowstep

Team och organisationer

Export och integrationer

MCP-server

Fakturering och planer

Säkerhet och integritet

MCP-autentisering

OAuth 2.1 PKCE-flöde

Inloggningsmetoder som stöds

Kontoskapande för claude.ai-anslutningsanvändare

Manuell token (testning)

​OAuth 2.1 PKCE-flöde

​Inloggningsmetoder som stöds

​Kontoskapande för claude.ai-anslutningsanvändare

​Cookie-återgång

​Manuell token (testning)

OAuth 2.1 PKCE-flöde

Inloggningsmetoder som stöds

Kontoskapande för claude.ai-anslutningsanvändare

Cookie-återgång

Manuell token (testning)