MCP-Authentifizierung

Eine Authentifizierungsmethode wählen

Authentifiziere MCP-Anfragen entweder mit einem NomadFiling-API-Schlüssel oder einem OAuth-2.1-Zugriffstoken. Verwende API-Schlüssel für Server-zu-Server-Zugriff, den du direkt steuerst, und OAuth, wenn du einen Client baust, der Nutzer anmeldet und delegierten Zugriff benötigt.

Authorization: Bearer nf_example_9xmk7q2r4b7m8n2p6t1v5c8a

Authorization: Bearer mcp_at_example_7jd3p4n8q2r6s1t5v9w0x3y6

Authentifizierte Anfragen senden

Übergib die Anmeldedaten im Header Authorization als Bearer-Token. Der MCP-Server akzeptiert dasselbe Header-Muster für beide Authentifizierungsmethoden.

curl https://mcp.nomadfiling.com/tools/call \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer nf_example_9xmk7q2r4b7m8n2p6t1v5c8a" \
  -d '{
    "jsonrpc": "2.0",
    "id": "req_7aK2mP",
    "method": "tools/call",
    "params": {
      "name": "get_filing_status",
      "arguments": {
        "filingId": "fil_9m2x8q1p"
      }
    }
  }'

const response = await fetch("https://mcp.nomadfiling.com/tools/call", {
  method: "POST",
  headers: {
    "Content-Type": "application/json",
    "Authorization": "Bearer nf_example_9xmk7q2r4b7m8n2p6t1v5c8a"
  },
  body: JSON.stringify({
    jsonrpc: "2.0",
    id: "req_7aK2mP",
    method: "tools/call",
    params: {
      name: "get_filing_status",
      arguments: {
        filingId: "fil_9m2x8q1p"
      }
    }
  })
});

const data = await response.json();
console.log(data);

import requests

response = requests.post(
    "https://mcp.nomadfiling.com/tools/call",
    headers={
        "Content-Type": "application/json",
        "Authorization": "Bearer nf_example_9xmk7q2r4b7m8n2p6t1v5c8a",
    },
    json={
        "jsonrpc": "2.0",
        "id": "req_7aK2mP",
        "method": "tools/call",
        "params": {
            "name": "get_filing_status",
            "arguments": {
                "filingId": "fil_9m2x8q1p"
            }
        },
    },
)

print(response.json())

Wenn die Authentifizierung erfolgreich ist, wird die Anfrage mit der authentifizierten user_id im Kontext an das ausgewählte Tool weitergeleitet. Wenn die Authentifizierung fehlschlägt und die Methode tools/call ist, gibt der Server eine Authentifizierungsaufforderung zurück.

Einen NomadFiling-API-Schlüssel verwenden

API-Schlüssel sind die einfachste Option für Backend-Dienste, Skripte und private Automatisierungen. Jeder Schlüssel wird einmal in der NomadFiling-App erstellt, und auf dem Server wird nur sein Hash gespeichert.

Einen API-Schlüssel erstellen

Erzeuge API-Schlüssel in der NomadFiling-App unter /de/account/api-keys. Gib einen Namen für den Schlüssel ein, erzeuge ihn und kopiere den Klartextwert, bevor du den Dialog schließt.

Ein gültiger API-Schlüssel hat das Format nf_, gefolgt von 64 hexadezimalen Zeichen. Die vollständige Zeichenkette ist einschließlich Präfix 67 Zeichen lang.

nf_example_9xmk7q2r4b7m8n2p6t1v5c8a

API-Schlüssel-Format und Validierung

Ergebnis der API-Schlüssel-Authentifizierung

Wenn die Validierung fehlschlägt, gibt der API-Schlüssel-Authenticator null zurück. Für tools/call schlägt die Anfrage dann mit der zuvor gezeigten Antwort 401 Unauthorized fehl.

OAuth 2.1 mit PKCE verwenden

OAuth 2.1 ergänzt Client-Registrierung, Nutzerzustimmung, kurzlebige Zugriffstoken und rotierende Refresh-Token. NomadFiling unterstützt den Authorization-Code-Grant und den Refresh-Token-Grant.

OAuth-Endpunkte

Vollständiger OAuth-Ablauf

https://mcp.nomadfiling.com/authorize?client_id=mcp_client_example_1234567890abcdef&redirect_uri=https%3A%2F%2Fstudio.acme.dev%2Foauth%2Fcallback&response_type=code&state=example_state_value&code_challenge=example_code_challenge_value&code_challenge_method=S256&scope=mcp

curl -i "https://mcp.nomadfiling.com/authorize?client_id=mcp_client_example_1234567890abcdef&redirect_uri=https%3A%2F%2Fstudio.acme.dev%2Foauth%2Fcallback&response_type=code&state=example_state_value&code_challenge=example_code_challenge_value&code_challenge_method=S256&scope=mcp"

Referenz zur dynamischen Client-Registrierung

Verwende /register, um einen Client zu erstellen, bevor du den OAuth-Ablauf startest.

Request-Body

Antwortfelder

Referenz zum Authorization-Endpunkt

Verwende /authorize, um die Client-Anfrage zu prüfen und den Nutzer in den NomadFiling-Zustimmungsablauf weiterzuleiten.

Query-Parameter

Verhalten

Wenn die Anfrage gültig ist, gibt der Server 302 Found zurück und leitet den Browser zu https://app.nomadfiling.com/oauth/authorize weiter, wobei die Anfrageparameter weitergegeben werden. Nachdem der Nutzer den Zugriff genehmigt hat, ruft die App /approve auf, erzeugt einen Autorisierungscode und leitet den Browser mit code und state zu deiner redirect_uri.

Referenz zum Token-Endpunkt

Verwende /token sowohl für den Authorization-Code-Austausch als auch für die Refresh-Token-Rotation.

Authorization-Code-Grant

Refresh-Token-Grant

Token-Antwortfelder

Fehler des Token-Endpunkts

Token-Formate und Laufzeiten

Jeder Anmeldedatentyp hat ein festes Präfix und Speichermuster. Der Server hasht Geheimnisse vor der Suche, ausgenommen Client-IDs und Autorisierungscodes.

Alle Token werden mit crypto.getRandomValues und base64url-Kodierung erzeugt, außer API-Schlüsseln, die nach dem Präfix nf_ hexadezimal angezeigt werden. Die Refresh-Token-Rotation wird erzwungen, daher widerruft jede erfolgreiche Erneuerung die vorherige Token-Zeile und stellt ein neues Token-Paar aus.

Sicherheitshinweise

FAQ

Verwandte Seiten