https://api.zippendo.com/mcp) est protégée par OAuth 2.1. Vous ne collez jamais de jeton : votre client trouve la connexion à partir de l’URL, ouvre votre navigateur, et vous vous connectez à Zippendo puis approuvez l’accès. Cette page explique ce qui se passe et ce que vous contrôlez.
Les étapes de connexion
Lorsque vous ajoutez l’URL à un client et vous connectez pour la première fois :1
Votre client trouve la connexion
Le serveur répond à la première requête sans identifiants par un renvoi vers ses informations OAuth. Votre client s’enregistre automatiquement (aucun ID client à créer) et ouvre votre navigateur.
2
Vous vous connectez à Zippendo
Si vous n’êtes pas déjà connecté, vous arrivez sur la page de connexion de Zippendo. Connectez-vous comme d’habitude.
3
Vous approuvez l'accès sur l'écran de consentement
L’écran Authorize access (Autoriser l’accès) affiche le nom du client, l’Organization à connecter et les Permissions demandées. Choisissez l’organisation, cochez les permissions que vous souhaitez accorder, et cliquez sur Authorize. Cliquez sur Deny pour refuser.
4
Vous êtes connecté
Le navigateur rend la main à votre client, qui stocke ses jetons et les renouvelle tout seul. Vous n’avez plus besoin de vous reconnecter tant que vous ne déconnectez pas l’agent ou que son accès n’expire pas.
Un membre de l’équipe limité à une seule marque ne peut pas connecter d’agent. L’écran de consentement refuse la demande. Demandez à une personne ayant accès à toute l’organisation de le connecter.
Choisir une organisation
Chaque connexion appartient à une seule organisation. Sur l’écran de consentement, vous choisissez dans quelle organisation l’agent peut travailler, et chaque appel d’outil reste dans cette organisation. Pour travailler dans une autre organisation, reconnectez-vous et choisissez l’autre organisation sur l’écran de consentement. Dans les clients qui acceptent plusieurs entrées de serveur, vous pouvez aussi ajouter un second connecteur avec la même URL et l’approuver pour l’autre organisation.Limiter les permissions
Sur l’écran de consentement, vous pouvez accorder moins de permissions que le client n’en demande, mais jamais plus. Vous devez en conserver au moins une. Si le client n’en demande aucune en particulier, l’écran propose l’accès en lecture et en écriture à tout. N’accordez que ce dont l’agent a besoin :- Il ne fait que répondre à des questions ? Accordez uniquement les permissions Read.
- Doit-il créer et envoyer des expéditions ? Ajoutez l’accès en écriture aux expéditions (
write:shipments).
L’agent agit en votre nom, uniquement dans l’organisation et avec les permissions que vous avez approuvées, et jamais avec les droits du personnel de Zippendo. Chaque appel d’outil passe par les mêmes contrôles de connexion, de permissions, de limites de forfait et de validation qu’une requête d’API normale.
Jetons et renouvellement
Votre client gère les jetons OAuth pour vous :
Vous ne les gérez pas vous-même : le client les stocke et les renouvelle.
Déconnexion
Pour interrompre l’accès d’un agent, allez dans Apps & integrations dans l’application Zippendo. La carte MCP (AI agents) liste les agents que vous avez connectés, avec la date de dernière utilisation de chacun et le nombre de permissions qu’il a. Cliquez sur Disconnect à côté de l’agent. Son accès prend fin immédiatement, y compris les jetons qu’il détient déjà. Vous pouvez aussi supprimer le connecteur dans votre client (par exempleclaude mcp remove zippendo, ou le supprimer des paramètres MCP ou Connectors du client). Cela empêche le client de l’utiliser, mais seul Disconnect dans Zippendo annule les jetons côté Zippendo.
La carte n’affiche que les agents que vous avez connectés vous-même. Chaque membre de l’équipe connecte et déconnecte ses propres agents.
Pour les développeurs : endpoints de découverte
L’API est son propre serveur d’autorisation OAuth 2.1. Les endpoints de découverte standard sont publics :
Un client MCP conforme gère tout cela pour vous : vous ne lui donnez que l’URL.