> ## Documentation Index
> Fetch the complete documentation index at: https://www.zippendo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Autentificering

> Hvordan Zippendos MCP-server logger din AI-agent ind med OAuth 2.1, og hvordan du vælger den organisation og de tilladelser, den får.

Du bestemmer præcis, hvad en forbundet AI-agent må i Zippendo: hvilken organisation den arbejder i, og hvilke tilladelser den har. Connector-URL'en (`https://api.zippendo.com/mcp`) er beskyttet af **OAuth 2.1**. Du indsætter aldrig et token: din klient finder login ud fra URL'en, åbner din browser, og du logger ind i Zippendo og godkender adgangen. Denne side forklarer, hvad der sker, og hvad du selv styrer.

## Forbindelsestrinnene

Når du tilføjer URL'en til en klient og forbinder første gang:

<Steps>
  <Step title="Din klient finder login">
    Serveren svarer på den første forespørgsel uden legitimation med en henvisning til sine OAuth-oplysninger. Din klient registrerer sig selv automatisk (du skal ikke oprette et klient-ID) og åbner din browser.
  </Step>

  <Step title="Du logger ind i Zippendo">
    Hvis du ikke allerede er logget ind, lander du på Zippendos loginside. Log ind, som du plejer.
  </Step>

  <Step title="Du godkender adgangen på samtykkesiden">
    Siden **Godkend adgang** viser klientens navn, den **Organisation**, der skal forbindes, og de **Tilladelser**, den beder om. Vælg organisationen, afkryds de tilladelser, du vil give, og klik på **Godkend**. Klik på **Afvis** for at afslå.
  </Step>

  <Step title="Du er forbundet">
    Browseren giver kontrollen tilbage til din klient, som gemmer sine tokens og fornyer dem af sig selv. Du skal ikke logge ind igen, før du afbryder agenten, eller dens adgang udløber.
  </Step>
</Steps>

<Note>
  Et teammedlem, der er begrænset til ét brand, kan ikke forbinde en agent. Samtykkesiden afviser anmodningen. Bed en person med adgang til hele organisationen om at forbinde den.
</Note>

## Vælg en organisation

Hver forbindelse hører til **én organisation**. På samtykkesiden vælger du, hvilken organisation agenten må arbejde i, og hvert værktøjskald holder sig inden for den organisation.

Hvis du vil arbejde i en anden organisation, skal du forbinde igen og vælge den anden organisation på samtykkesiden. I klienter, der tillader mere end én serverpost, kan du også tilføje en ekstra connector med samme URL og godkende den til den anden organisation.

## Begræns tilladelser

På samtykkesiden kan du give **færre** tilladelser, end klienten beder om, men aldrig flere. Du skal beholde mindst én. Hvis klienten ikke beder om nogen bestemt, tilbyder siden læse- og skriveadgang til alt. Giv kun det, agenten har brug for:

* Skal den kun besvare spørgsmål? Giv kun **Læs**-tilladelserne.
* Skal den oprette og sende forsendelser? Tilføj skriveadgang til forsendelser (`write:shipments`).

De værktøjer, din agent ser, filtreres efter de tilladelser, du godkender. Se [Værktøjer og scopes](/docs/da/mcp/tools) for det fulde overblik.

<Info>
  Agenten handler **som dig**, kun i den organisation og med de tilladelser, du har godkendt, og **aldrig** med Zippendo-medarbejderrettigheder. Hvert værktøjskald gennemgår samme login, tilladelsestjek, planbegrænsninger og validering som et almindeligt API-kald.
</Info>

## Tokens og fornyelse

Din klient håndterer OAuth-tokens for dig:

| Token | Levetid | Noter |
| - | - | - |
| Adgangstoken | 1 time | Sendes med hvert kald. |
| Refresh-token | 30 dage | Udskiftes, hver gang det bruges. Hvis et gammelt refresh-token bruges igen, behandles det som tyveri og **afslutter hele forbindelsen**. |

Du håndterer dem ikke selv: klienten gemmer og fornyer dem.

## Afbryd forbindelsen

For at stoppe en agents adgang skal du gå til **Apps og integrationer** i Zippendo-appen. Kortet **MCP (AI-agenter)** viser de agenter, du har forbundet, med hvornår hver sidst blev brugt, og hvor mange tilladelser den har. Klik på **Afbryd** ved siden af agenten. Dens adgang ophører med det samme, også for de tokens, den allerede har.

Du kan også fjerne connectoren i din klient (f.eks. `claude mcp remove zippendo`, eller slet den fra klientens MCP- eller Connectors-indstillinger). Det stopper klienten i at bruge den, men kun **Afbryd** i Zippendo annullerer tokens på Zippendos side.

<Note>
  Kortet viser kun de agenter, du selv har forbundet. Hvert teammedlem forbinder og afbryder sine egne agenter.
</Note>

## Til udviklere: discovery-endpoints

API'en er sin egen OAuth 2.1-autorisationsserver. De standardiserede discovery-endpoints er offentlige:

| Endpoint | Formål |
| - | - |
| `GET /.well-known/oauth-protected-resource` | RFC 9728: peger klienter mod autorisationsserveren. |
| `GET /.well-known/oauth-authorization-server` | RFC 8414: metadata for autorisationsserveren. |
| `POST /oauth/register` | RFC 7591: dynamisk klientregistrering (offentlige PKCE-klienter). |
| `GET /oauth/authorize` | Starter autorisationen (PKCE S256). |
| `POST /oauth/token` | Udveksler koden og roterer refresh-tokens. |

En kompatibel MCP-klient håndterer alt dette for dig: du giver den kun URL'en.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.