Автентифікація MCP

Ендпоінт /mcp вимагає Bearer-токен у заголовку Authorization. MCP-клієнти отримують його автоматично через потік OAuth 2.1 PKCE. Ключ API створювати, вставляти чи оновлювати не потрібно. Ви також можете вказати токен вручну для тестування.

Потік OAuth 2.1 PKCE

Flowstep працює на власному сервері авторизації OAuth 2.1 за адресою https://api.flowstep.ai. MCP-клієнти самі знаходять і проходять цей потік: вони відкривають вікно браузера, щоб ви увійшли й схвалили доступ, а потім виконують обмін токенами у фоновому режимі. Клієнти можуть реєструватися динамічно, тож ідентифікатор клієнта налаштовувати не потрібно.

Підтримувані способи входу

Сторінка авторизації за адресою /oauth/authorize підтримує:

Email/password — будь-який обліковий запис Flowstep з установленим паролем
Google SSO — перенаправляє через соціальну автентифікацію Supabase і автоматично повертає вас до клієнта

Перегляньте й схваліть доступ

Після входу Flowstep показує екран згоди, перш ніж видати токен. Жоден клієнт не завершить підключення без вашого явного схвалення. Екран має заголовок Authorize access і називає клієнта, який запитує доступ: назва клієнта виділяється жирним, після неї йде фраза “is requesting access to your Flowstep account” (запитує доступ до вашого облікового запису Flowstep). Далі показано You’ll be redirected to і хост, на який вас буде перенаправлено. Натисніть Allow, щоб завершити підключення, або Deny, щоб скасувати. Відмова повертає клієнту помилку access_denied і не видає токен.

Назву клієнта задає той, хто зареєстрував клієнта, тож сприймайте її як мітку, а не як доказ ідентичності. Перш ніж натиснути Allow, переконайтеся, що хост у розділі You’ll be redirected to є тим, якого ви очікуєте для клієнта, якого підключаєте.

Створення облікового запису для користувачів конектора claude.ai

Сторінка входу OAuth не містить форми реєстрації. Якщо ви додаєте конектор Flowstep із каталогу конекторів Claude і ще не маєте облікового запису Flowstep, спершу створіть його на app.flowstep.ai, а потім поверніться до Claude, щоб завершити підключення. Якщо заголовок Authorization відсутній, middleware використовує сесію Supabase на основі cookie. Це працює, коли ви відкриваєте /mcp безпосередньо в браузері з активною сесією Flowstep. MCP-клієнти завжди використовують шлях Bearer.

Ручний токен (для тестування)

Щоб викликати ендпоінт напряму, без потоку OAuth клієнта:

Увійдіть на app.flowstep.ai у браузері
Відкрийте DevTools → Console і виконайте:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Передайте токен як заголовок:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Сеанси MCP тривають 30 днів: сервер непомітно оновлює базовий токен, тож клієнтам, які використовують потік OAuth, не потрібно повторно автентифікуватися під час звичайної роботи. Токен, витягнутий вручну, як наведений вище, спливає приблизно через годину. Він призначений лише для швидкого тестування.

Початок роботи

Використання Flowstep

Команди та організації

Експорт та інтеграції

Сервер MCP

Оплата та плани

Безпека та конфіденційність

Автентифікація MCP

Потік OAuth 2.1 PKCE

Підтримувані способи входу

Перегляньте й схваліть доступ

Створення облікового запису для користувачів конектора claude.ai

Ручний токен (для тестування)

​Потік OAuth 2.1 PKCE

​Підтримувані способи входу

​Перегляньте й схваліть доступ

​Створення облікового запису для користувачів конектора claude.ai

​Резервний варіант із cookie

​Ручний токен (для тестування)

Потік OAuth 2.1 PKCE

Підтримувані способи входу

Перегляньте й схваліть доступ

Створення облікового запису для користувачів конектора claude.ai

Резервний варіант із cookie

Ручний токен (для тестування)