Authentification - Klark MCP

Vue d’ensemble

Klark MCP utilise OAuth 2.0 avec PKCE (Proof Key for Code Exchange) pour authentifier les utilisateurs. Ce standard garantit que vos identifiants ne sont jamais partages avec le client IA.

Flow d’authentification

Discovery

Le client MCP decouvre les endpoints OAuth via les metadonnees standard :

GET /.well-known/oauth-authorization-server

Enregistrement dynamique

Le client s’enregistre automatiquement aupres de l’API :

POST /v1/oauth/register

Il recoit un client_id et client_secret.

Consentement

Votre navigateur s’ouvre sur la page de consentement Klark. Vous entrez vos identifiants et autorisez l’acces.

Echange de tokens

Le client echange le code d’autorisation contre un access token (JWT, 60 min) et un refresh token (30 jours).

Connexion MCP

Le client utilise l’access token pour se connecter au serveur MCP et appeler les outils.

Scopes disponibles

Les scopes controlent ce que le client IA peut faire avec votre compte :

Scope	Description
`fakture:read`	Lire les factures et devis
`fakture:write`	Creer, modifier, supprimer des factures
`clients:read`	Lire les fiches clients
`clients:write`	Creer et modifier des clients
`products:read`	Lire le catalogue produits
`products:write`	Creer et modifier des produits
`company:read`	Lire les infos entreprise
`company:write`	Modifier les infos entreprise
`bridge:read`	Consulter les comptes et transactions bancaires
`user:read`	Lire le profil utilisateur
`user:write`	Modifier le profil utilisateur
`prospektor:read`	Lire les prospects et stats
`prospektor:write`	Creer et modifier des prospects
`dokument:read`	Lire les templates et documents
`dokument:write`	Generer des documents

Securite

PKCE (S256)

Chaque autorisation utilise un code_challenge SHA-256. Meme si le code d’autorisation est intercepte, il ne peut pas etre utilise sans le code_verifier original.

Tokens hashes

Les refresh tokens et codes d’autorisation sont stockes en hash SHA-256 dans la base de donnees, jamais en clair.

Expiration automatique

Access token : 60 minutes
Refresh token : 30 jours
Code d’autorisation : 10 minutes

Rate limiting

Les endpoints OAuth sont proteges par rate limiting pour prevenir les abus.

Revoquer l’acces

Pour revoquer l’acces d’un client MCP, vous pouvez appeler :

curl -X POST https://api.klark.app/v1/oauth/revoke \
  -H "Content-Type: application/json" \
  -d '{"token": "votre_refresh_token"}'

​Vue d’ensemble

​Flow d’authentification

​Scopes disponibles

​Securite

​Revoquer l’acces

Vue d’ensemble

Flow d’authentification

Scopes disponibles

Securite

Revoquer l’acces