https://api.zippendo.com/mcp) is beveiligd met OAuth 2.1. Je plakt nooit een token: je client vindt de aanmelding via de URL, opent je browser en jij meldt je aan bij Zippendo en keurt de toegang goed. Deze pagina legt uit wat er gebeurt en wat je zelf in de hand hebt.
De stappen van het koppelen
Als je de URL aan een client toevoegt en voor het eerst verbinding maakt:1
Je client vindt de aanmelding
De server beantwoordt het eerste verzoek zonder inloggegevens met een verwijzing naar zijn OAuth-gegevens. Je client registreert zichzelf automatisch (je hoeft geen client-ID aan te maken) en opent je browser.
2
Je meldt je aan bij Zippendo
Ben je nog niet aangemeld, dan kom je op de aanmeldpagina van Zippendo. Meld je aan zoals je normaal doet.
3
Je keurt de toegang goed op het toestemmingsscherm
Het scherm Authorize access toont de naam van de client, de Organization die je koppelt en de Permissions waarom hij vraagt. Kies de organisatie, vink de rechten aan die je wilt geven en klik op Authorize. Klik op Deny om te weigeren.
4
Je bent verbonden
De browser geeft de controle terug aan je client, die zijn tokens opslaat en zelf ververst. Je hoeft je niet opnieuw aan te melden totdat je de agent loskoppelt of de toegang verloopt.
Een teamlid dat tot één merk is beperkt, kan geen agent koppelen. Het toestemmingsscherm weigert het verzoek. Vraag iemand met toegang tot de hele organisatie om hem te koppelen.
Een organisatie kiezen
Elke koppeling hoort bij één organisatie. Op het toestemmingsscherm kies je in welke organisatie de agent mag werken, en elke aanroep van een tool blijft binnen die organisatie. Om in een andere organisatie te werken, maak je opnieuw verbinding en kies je op het toestemmingsscherm de andere organisatie. In clients die meer dan één serverregel toestaan, kun je ook een tweede connector met dezelfde URL toevoegen en die voor de andere organisatie goedkeuren.Rechten beperken
Op het toestemmingsscherm kun je minder rechten geven dan de client vraagt, maar nooit meer. Je moet er minstens één behouden. Vraagt de client om niets specifieks, dan biedt het scherm lees- en schrijftoegang tot alles aan. Geef alleen wat de agent nodig heeft:- Moet hij alleen vragen beantwoorden? Geef dan alleen de Read-rechten.
- Moet hij zendingen aanmaken en versturen? Voeg dan schrijftoegang tot zendingen toe (
write:shipments).
De agent handelt als jij, alleen in de organisatie en met de rechten die je hebt goedgekeurd, en nooit met de rechten van Zippendo-medewerkers. Elke aanroep van een tool doorloopt dezelfde aanmelding, rechtencontroles, abonnementslimieten en validatie als een gewoon API-verzoek.
Tokens en vernieuwen
Je client beheert de OAuth-tokens voor je:
Je hoeft dit niet zelf te doen: de client slaat ze op en ververst ze.
Loskoppelen
Om de toegang van een agent te stoppen ga je in de Zippendo-app naar Apps & integrations. De kaart MCP (AI agents) toont de agents die je hebt gekoppeld, met wanneer elk voor het laatst is gebruikt en hoeveel rechten hij heeft. Klik naast de agent op Disconnect. De toegang eindigt direct, ook voor tokens die de agent al heeft. Je kunt de connector ook in je client verwijderen (bijvoorbeeldclaude mcp remove zippendo, of verwijder hem uit de MCP- of Connectors-instellingen van de client). Dan gebruikt de client hem niet meer, maar alleen Disconnect in Zippendo trekt de tokens aan de kant van Zippendo in.
De kaart toont alleen de agents die je zelf hebt gekoppeld. Elk teamlid koppelt en ontkoppelt zijn eigen agents.
Voor ontwikkelaars: discovery-endpoints
De API is zijn eigen OAuth 2.1-autorisatieserver. De standaard discovery-endpoints zijn openbaar:
Een compatibele MCP-client regelt dit allemaal voor je: je geeft hem alleen de URL.