> ## Documentation Index
> Fetch the complete documentation index at: https://www.zippendo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Authenticatie

> Hoe de Zippendo MCP-server je AI-agent aanmeldt met OAuth 2.1 en hoe je kiest welke organisatie en rechten hij krijgt.

Jij bepaalt precies wat een gekoppelde AI-agent in Zippendo mag doen: in welke organisatie hij werkt en welke rechten hij heeft. De connector-URL (`https://api.zippendo.com/mcp`) is beveiligd met **OAuth 2.1**. Je plakt nooit een token: je client vindt de aanmelding via de URL, opent je browser en jij meldt je aan bij Zippendo en keurt de toegang goed. Deze pagina legt uit wat er gebeurt en wat je zelf in de hand hebt.

## De stappen van het koppelen

Als je de URL aan een client toevoegt en voor het eerst verbinding maakt:

<Steps>
  <Step title="Je client vindt de aanmelding">
    De server beantwoordt het eerste verzoek zonder inloggegevens met een verwijzing naar zijn OAuth-gegevens. Je client registreert zichzelf automatisch (je hoeft geen client-ID aan te maken) en opent je browser.
  </Step>

  <Step title="Je meldt je aan bij Zippendo">
    Ben je nog niet aangemeld, dan kom je op de aanmeldpagina van Zippendo. Meld je aan zoals je normaal doet.
  </Step>

  <Step title="Je keurt de toegang goed op het toestemmingsscherm">
    Het scherm **Authorize access** toont de naam van de client, de **Organization** die je koppelt en de **Permissions** waarom hij vraagt. Kies de organisatie, vink de rechten aan die je wilt geven en klik op **Authorize**. Klik op **Deny** om te weigeren.
  </Step>

  <Step title="Je bent verbonden">
    De browser geeft de controle terug aan je client, die zijn tokens opslaat en zelf ververst. Je hoeft je niet opnieuw aan te melden totdat je de agent loskoppelt of de toegang verloopt.
  </Step>
</Steps>

<Note>
  Een teamlid dat tot één merk is beperkt, kan geen agent koppelen. Het toestemmingsscherm weigert het verzoek. Vraag iemand met toegang tot de hele organisatie om hem te koppelen.
</Note>

## Een organisatie kiezen

Elke koppeling hoort bij **één organisatie**. Op het toestemmingsscherm kies je in welke organisatie de agent mag werken, en elke aanroep van een tool blijft binnen die organisatie.

Om in een andere organisatie te werken, maak je opnieuw verbinding en kies je op het toestemmingsscherm de andere organisatie. In clients die meer dan één serverregel toestaan, kun je ook een tweede connector met dezelfde URL toevoegen en die voor de andere organisatie goedkeuren.

## Rechten beperken

Op het toestemmingsscherm kun je **minder** rechten geven dan de client vraagt, maar nooit meer. Je moet er minstens één behouden. Vraagt de client om niets specifieks, dan biedt het scherm lees- en schrijftoegang tot alles aan. Geef alleen wat de agent nodig heeft:

* Moet hij alleen vragen beantwoorden? Geef dan alleen de **Read**-rechten.
* Moet hij zendingen aanmaken en versturen? Voeg dan schrijftoegang tot zendingen toe (`write:shipments`).

De tools die je agent ziet, worden gefilterd op de rechten die je goedkeurt. Zie [Tools en scopes](/docs/nl/mcp/tools) voor het volledige overzicht.

<Info>
  De agent handelt **als jij**, alleen in de organisatie en met de rechten die je hebt goedgekeurd, en **nooit** met de rechten van Zippendo-medewerkers. Elke aanroep van een tool doorloopt dezelfde aanmelding, rechtencontroles, abonnementslimieten en validatie als een gewoon API-verzoek.
</Info>

## Tokens en vernieuwen

Je client beheert de OAuth-tokens voor je:

| Token | Levensduur | Opmerkingen |
| - | - | - |
| Access token | 1 uur | Wordt bij elk verzoek meegestuurd. |
| Refresh token | 30 dagen | Wordt bij elk gebruik vervangen. Een oud refresh token opnieuw gebruiken wordt behandeld als diefstal en **beëindigt de hele verbinding**. |

Je hoeft dit niet zelf te doen: de client slaat ze op en ververst ze.

## Loskoppelen

Om de toegang van een agent te stoppen ga je in de Zippendo-app naar **Apps & integrations**. De kaart **MCP (AI agents)** toont de agents die je hebt gekoppeld, met wanneer elk voor het laatst is gebruikt en hoeveel rechten hij heeft. Klik naast de agent op **Disconnect**. De toegang eindigt direct, ook voor tokens die de agent al heeft.

Je kunt de connector ook in je client verwijderen (bijvoorbeeld `claude mcp remove zippendo`, of verwijder hem uit de MCP- of Connectors-instellingen van de client). Dan gebruikt de client hem niet meer, maar alleen **Disconnect** in Zippendo trekt de tokens aan de kant van Zippendo in.

<Note>
  De kaart toont alleen de agents die je zelf hebt gekoppeld. Elk teamlid koppelt en ontkoppelt zijn eigen agents.
</Note>

## Voor ontwikkelaars: discovery-endpoints

De API is zijn eigen OAuth 2.1-autorisatieserver. De standaard discovery-endpoints zijn openbaar:

| Endpoint | Doel |
| - | - |
| `GET /.well-known/oauth-protected-resource` | RFC 9728: wijst clients naar de autorisatieserver. |
| `GET /.well-known/oauth-authorization-server` | RFC 8414: metadata van de autorisatieserver. |
| `POST /oauth/register` | RFC 7591: dynamische registratie van clients (openbare PKCE-clients). |
| `GET /oauth/authorize` | Start de autorisatie (PKCE S256). |
| `POST /oauth/token` | Wisselt de code in en roteert refresh tokens. |

Een compatibele MCP-client regelt dit allemaal voor je: je geeft hem alleen de URL.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.