Zum Inhalt springen
Kostenlos starten

OAuth 2.1 für Konnektoren

Konforme Clients brauchen nur die Adresse des MCP-Servers. Alles Weitere finden sie über die veröffentlichten Metadaten.

Der Ablauf

AssistentClaude, ChatGPT, CursorMCP-Servermcp.cashwerk.ioAnmeldeserverproduction.cashwerk.io 1 POST /mcp ohne Token2 401 + resource_metadata3 Registrierung (DCR)4 Anmeldung mit PKCE S256, Zustimmung5 Access Token6 Werkzeuge mit Bearer Token
Ein Aufruf ohne Token beginnt die Anmeldung; danach ruft der Assistent die Werkzeuge mit seinem Token auf.

Metadaten

DokumentAdresse
Protected Resourcehttps://mcp.cashwerk.io/.well-known/oauth-protected-resource
Authorization Serverhttps://production.cashwerk.io/.well-known/oauth-authorization-server
Client-RegistrierungPOST https://production.cashwerk.io/api/v1/api-platform/oauth/register
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer resource_metadata="https://mcp.cashwerk.io/.well-known/oauth-protected-resource"

Sicherheit

  • PKCE mit S256 ist Pflicht, ein Client-Geheimnis gibt es nicht.
  • Die Zustimmung nennt Assistent und Organisation; ein Token gilt nur für diese Organisation.
  • Konnektoren lassen sich einzeln widerrufen, anders als ein API-Schlüssel.