> ## Documentation Index
> Fetch the complete documentation index at: https://www.zippendo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Authentification

> Comment le serveur MCP de Zippendo connecte votre agent IA avec OAuth 2.1, et comment vous choisissez l'organisation et les permissions qu'il obtient.

Vous décidez précisément de ce qu'un agent IA connecté peut faire dans Zippendo : dans quelle organisation il travaille et quelles permissions il a. L'URL du connecteur (`https://api.zippendo.com/mcp`) est protégée par **OAuth 2.1**. Vous ne collez jamais de jeton : votre client trouve la connexion à partir de l'URL, ouvre votre navigateur, et vous vous connectez à Zippendo puis approuvez l'accès. Cette page explique ce qui se passe et ce que vous contrôlez.

## Les étapes de connexion

Lorsque vous ajoutez l'URL à un client et vous connectez pour la première fois :

<Steps>
  <Step title="Votre client trouve la connexion">
    Le serveur répond à la première requête sans identifiants par un renvoi vers ses informations OAuth. Votre client s'enregistre automatiquement (aucun ID client à créer) et ouvre votre navigateur.
  </Step>

  <Step title="Vous vous connectez à Zippendo">
    Si vous n'êtes pas déjà connecté, vous arrivez sur la page de connexion de Zippendo. Connectez-vous comme d'habitude.
  </Step>

  <Step title="Vous approuvez l'accès sur l'écran de consentement">
    L'écran **Authorize access** (Autoriser l'accès) affiche le nom du client, l'**Organization** à connecter et les **Permissions** demandées. Choisissez l'organisation, cochez les permissions que vous souhaitez accorder, et cliquez sur **Authorize**. Cliquez sur **Deny** pour refuser.
  </Step>

  <Step title="Vous êtes connecté">
    Le navigateur rend la main à votre client, qui stocke ses jetons et les renouvelle tout seul. Vous n'avez plus besoin de vous reconnecter tant que vous ne déconnectez pas l'agent ou que son accès n'expire pas.
  </Step>
</Steps>

<Note>
  Un membre de l'équipe limité à une seule marque ne peut pas connecter d'agent. L'écran de consentement refuse la demande. Demandez à une personne ayant accès à toute l'organisation de le connecter.
</Note>

## Choisir une organisation

Chaque connexion appartient à **une seule organisation**. Sur l'écran de consentement, vous choisissez dans quelle organisation l'agent peut travailler, et chaque appel d'outil reste dans cette organisation.

Pour travailler dans une autre organisation, reconnectez-vous et choisissez l'autre organisation sur l'écran de consentement. Dans les clients qui acceptent plusieurs entrées de serveur, vous pouvez aussi ajouter un second connecteur avec la même URL et l'approuver pour l'autre organisation.

## Limiter les permissions

Sur l'écran de consentement, vous pouvez accorder **moins** de permissions que le client n'en demande, mais jamais plus. Vous devez en conserver au moins une. Si le client n'en demande aucune en particulier, l'écran propose l'accès en lecture et en écriture à tout. N'accordez que ce dont l'agent a besoin :

* Il ne fait que répondre à des questions ? Accordez uniquement les permissions **Read**.
* Doit-il créer et envoyer des expéditions ? Ajoutez l'accès en écriture aux expéditions (`write:shipments`).

Les outils que voit votre agent sont filtrés selon les permissions que vous approuvez. Consultez [Outils et scopes](/docs/fr/mcp/tools) pour la carte complète.

<Info>
  L'agent agit **en votre nom**, uniquement dans l'organisation et avec les permissions que vous avez approuvées, et **jamais** avec les droits du personnel de Zippendo. Chaque appel d'outil passe par les mêmes contrôles de connexion, de permissions, de limites de forfait et de validation qu'une requête d'API normale.
</Info>

## Jetons et renouvellement

Votre client gère les jetons OAuth pour vous :

| Jeton | Durée de vie | Remarques |
| - | - | - |
| Jeton d'accès | 1 heure | Envoyé à chaque requête. |
| Jeton de renouvellement | 30 jours | Remplacé à chaque utilisation. Réutiliser un ancien jeton de renouvellement est considéré comme un vol et **met fin à toute la connexion**. |

Vous ne les gérez pas vous-même : le client les stocke et les renouvelle.

## Déconnexion

Pour interrompre l'accès d'un agent, allez dans **Apps & integrations** dans l'application Zippendo. La carte **MCP (AI agents)** liste les agents que vous avez connectés, avec la date de dernière utilisation de chacun et le nombre de permissions qu'il a. Cliquez sur **Disconnect** à côté de l'agent. Son accès prend fin immédiatement, y compris les jetons qu'il détient déjà.

Vous pouvez aussi supprimer le connecteur dans votre client (par exemple `claude mcp remove zippendo`, ou le supprimer des paramètres MCP ou Connectors du client). Cela empêche le client de l'utiliser, mais seul **Disconnect** dans Zippendo annule les jetons côté Zippendo.

<Note>
  La carte n'affiche que les agents que vous avez connectés vous-même. Chaque membre de l'équipe connecte et déconnecte ses propres agents.
</Note>

## Pour les développeurs : endpoints de découverte

L'API est son propre serveur d'autorisation OAuth 2.1. Les endpoints de découverte standard sont publics :

| Endpoint | Rôle |
| - | - |
| `GET /.well-known/oauth-protected-resource` | RFC 9728 : oriente les clients vers le serveur d'autorisation. |
| `GET /.well-known/oauth-authorization-server` | RFC 8414 : métadonnées du serveur d'autorisation. |
| `POST /oauth/register` | RFC 7591 : enregistrement dynamique de client (clients PKCE publics). |
| `GET /oauth/authorize` | Démarre l'autorisation (PKCE S256). |
| `POST /oauth/token` | Échange le code et fait tourner les jetons de renouvellement. |

Un client MCP conforme gère tout cela pour vous : vous ne lui donnez que l'URL.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.