Ограниченный доступ под вашим контролем

Подключения являются токенами рабочего пространства

Владельцы и администраторы пространства создают подключения на странице Разработчикам. Каждое подключение представляет собой bearer-токен, привязанный к одному пространству и одному назначению: токены rest (sw_rest_...) работают только с /api/v1, а токены mcp (sw_mcp_...) только с /mcp.

Передавайте токен в заголовке Authorization. Никогда не помещайте его в URL, строку запроса, файл импорта или браузерную сборку.

Authorization: Bearer sw_rest_...

Области доступа сужают возможности роли

Новое подключение начинает с разрешений только для чтения по умолчанию: workspaces:read, catalog:read и worlds:read. Добавляйте только необходимое для задачи, например worlds:write для редактирования черновиков или worlds:publish для публикации. Для GET /me требуется account:read.

Область доступа никогда не даёт больше возможностей, чем есть у создателя токена, а его роль считывается заново при каждом запросе. Идентификаторы другого пространства отвечают 404, поэтому токен не может обнаружить то, чего ему не разрешено видеть.

Чувствительные права включаются отдельно

Области доступа к адресам подписчиков, сообщениям посетителей, оплате, удалению, записи DNS, расходам, изменениям команды и вебхукам никогда не отмечены заранее. Для добавления требуется сначала войти снова. Их инструменты MCP скрыты, пока токен не получит эти права.

Некоторые действия вообще недоступны токенам: решение об одобрении, удаление или восстановление casa и аккаунтов (требуют нового входа непосредственно в сервис и отвечают 403 reauthentication_required), а также экспорт данных.

Срок действия, замена и отзыв

• По умолчанию токены действуют 30 дней, максимум 90 дней.
• Хранится только хеш, поэтому потерянный токен нельзя показать снова. Создайте новое подключение.
• Для замены создайте новое подключение, переключите клиент на него, затем отзовите старое. Отзыв действует со следующего запроса, включая работу, поставленную агентом в очередь.

Ожидаемые ошибки

• 401: токен отсутствует, неизвестен, истёк, отозван или предназначен для другого интерфейса.
• 403 insufficient_scope: токену не хватает разрешения. Его называет context.required_scope, а ответ содержит заголовок WWW-Authenticate.
• 404: ресурса нет в пространстве этого токена.

OAuth пока недоступен

Агенты-клиенты, поддерживающие только вход OAuth, пока не могут подключиться. Поэтому /.well-known/oauth-protected-resource/mcp не указывает сервер авторизации. Вместо этого используйте токен подключения в настройках заголовков клиента.