Uwierzytelnianie API i połączeń MCP
Wywołania REST autoryzuj kluczem konta w nagłówku X-Api-Key. Klucz jest sekretem i zaczyna się od lf_live_. Nie przekazuj go jako parametru zapytania, w pytaniu do asystenta ani w treści zgłoszenia błędu. Konto, jego klucze i uprawnienia do wspólnej puli kredytów są sprawdzane przy wywołaniu.
Przykład nagłówka i działającego klienta znajdziesz w szybkim starcie. API przyjmuje również ten sam klucz jako Authorization: Bearer; wysyłaj jeden sposób uwierzytelniania. Powtórzone nagłówki lub sprzeczne dane są odrzucane. Klucz testowy operatora nie zastępuje tożsamości konta w operacjach obserwacji, rozmowy i rozliczeń.
OAuth dla Claude i ChatGPT
W kliencie dodaj https://mcp.agentdzialek.pl/mcp i wybierz OAuth. Klient odkrywa ustawienia, rejestruje aplikację i otwiera zgodę w przeglądarce. Na stronie zgody landfeed podaj klucz swojego konta i zatwierdź dostęp. Do kolejnych wywołań MCP klient używa tokenu, a nie klucza w pytaniu.
| Method | Path |
|---|---|
| GET | /.well-known/oauth-protected-resource/mcp |
| GET | /.well-known/oauth-protected-resource |
| GET | /.well-known/oauth-authorization-server |
| POST | /register |
| GET | /authorize |
| GET, POST | /oauth/consent |
| POST | /token |
| POST | /revoke |
Uprawnienie to landfeed:read. Serwer wymaga przepływu authorization code z PKCE S256, dokładnego zarejestrowanego adresu przekierowania oraz parametru resource wskazującego odkryty zasób /mcp. Access token trwa godzinę, rotowany refresh token 30 dni. Ponowne użycie zużytego kodu lub starego refresh tokenu jest odrzucane. OAuth nie autoryzuje /v1/ask; tam użyj klucza konta.
Unieważnienie klucza lub konta odbiera również powiązany dostęp OAuth. W razie wycieku unieważnij klucz w mechanizmie zarządzania kontem, wydaj nowy i połącz klientów ponownie. Nie publikuj tokenów ani pełnych adresów callback zawierających kod.
Gdy połączenie się nie uda
401 oznacza brak prawidłowego uwierzytelnienia. 403 wskazuje brak wymaganej tożsamości lub uprawnień. Przy invalid_redirect_uri klient i serwer muszą uzgodnić dokładny adres callback; dodanie URL w interfejsie nie zmienia polityki serwera. Przy invalid_grant rozpocznij logowanie od nowa. Pełna lista: błędy. Instrukcje dla klientów: MCP.
Konto i klucze
/v1/billing/account, /v1/account/ledger i /v1/account/usage opisują uwierzytelnione konto. /v1/account/keys służy do listowania i tworzenia kluczy; DELETE /v1/account/keys/{key_id} unieważnia własny klucz, a POST /v1/account/keys/{key_id}/rotate go rotuje. Wartość sekretu jest zwracana tylko przy utworzeniu lub rotacji. Operacje konta są bezpłatne. Szczegóły stronicowania i uprawnień podaje referencja operacji.