> ## Documentation Index
> Fetch the complete documentation index at: https://www.zippendo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Autentisering

> Hvordan Zippendo MCP-serveren logger inn AI-agenten din med OAuth 2.1, og hvordan du velger organisasjonen og tillatelsene den får.

Du bestemmer nøyaktig hva en tilkoblet AI-agent kan gjøre i Zippendo: hvilken organisasjon den jobber i og hvilke tillatelser den har. Tilkoblings-URL-en (`https://api.zippendo.com/mcp`) er beskyttet av **OAuth 2.1**. Du limer aldri inn et token: klienten din finner innloggingen ut fra URL-en, åpner nettleseren din, og du logger inn på Zippendo og godkjenner tilgangen. Denne siden forklarer hva som skjer og hva du kontrollerer.

## Stegene for å koble til

Når du legger URL-en til i en klient og kobler til for første gang:

<Steps>
  <Step title="Klienten din finner innloggingen">
    Serveren svarer på den første forespørselen uten legitimasjon med en henvisning til OAuth-opplysningene sine. Klienten registrerer seg selv automatisk (du trenger ikke opprette noen klient-ID) og åpner nettleseren din.
  </Step>

  <Step title="Du logger inn på Zippendo">
    Hvis du ikke allerede er logget inn, havner du på innloggingssiden til Zippendo. Logg inn som du vanligvis gjør.
  </Step>

  <Step title="Du godkjenner tilgangen på samtykkesiden">
    Skjermbildet **Authorize access** viser klientens navn, **Organization** som skal kobles til og **Permissions** den ber om. Velg organisasjonen, kryss av for tillatelsene du vil gi, og klikk på **Authorize**. Klikk på **Deny** for å avslå.
  </Step>

  <Step title="Du er tilkoblet">
    Nettleseren gir kontrollen tilbake til klienten din, som lagrer tokenene sine og fornyer dem av seg selv. Du trenger ikke logge inn igjen før du kobler fra agenten eller tilgangen utløper.
  </Step>
</Steps>

<Note>
  Et teammedlem som er begrenset til én merkevare, kan ikke koble til en agent. Samtykkesiden avviser forespørselen. Be noen med tilgang til hele organisasjonen om å koble den til.
</Note>

## Velge en organisasjon

Hver tilkobling tilhører **én organisasjon**. På samtykkesiden velger du hvilken organisasjon agenten kan jobbe i, og hvert verktøykall holder seg innenfor den organisasjonen.

For å jobbe i en annen organisasjon kobler du til på nytt og velger den andre organisasjonen på samtykkesiden. I klienter som tillater mer enn én serveroppføring kan du også legge til en ekstra kobling med den samme URL-en og godkjenne den for den andre organisasjonen.

## Begrense tillatelser

På samtykkesiden kan du gi **færre** tillatelser enn klienten ber om, men aldri flere. Du må beholde minst én. Hvis klienten ikke ber om noen bestemt, tilbyr skjermbildet lese- og skrivetilgang til alt. Gi bare det agenten trenger:

* Skal den bare svare på spørsmål? Gi bare tillatelsene for **Read**.
* Skal den opprette og sende sendinger? Legg til skrivetilgang til sendinger (`write:shipments`).

Verktøyene agenten din ser, filtreres etter tillatelsene du godkjenner. Se [Verktøy og scopes](/docs/no/mcp/tools) for det fullstendige kartet.

<Info>
  Agenten handler **som deg**, bare i organisasjonen og med tillatelsene du godkjente, og **aldri** med rettighetene til Zippendo-ansatte. Hvert verktøykall går gjennom den samme innloggingen, de samme tillatelseskontrollene, planbegrensningene og valideringen som en vanlig API-forespørsel.
</Info>

## Tokens og fornyelse

Klienten din håndterer OAuth-tokenene for deg:

| Token | Levetid | Merknader |
| - | - | - |
| Access token | 1 time | Sendes med hver forespørsel. |
| Refresh token | 30 dager | Byttes ut hver gang det brukes. Hvis et gammelt refresh token brukes på nytt, regnes det som tyveri og **avslutter hele tilkoblingen**. |

Du håndterer ikke disse selv: klienten lagrer og fornyer dem.

## Koble fra

For å stoppe en agents tilgang går du til **Apps & integrations** i Zippendo-appen. Kortet **MCP (AI agents)** lister agentene du har koblet til, med når hver sist ble brukt og hvor mange tillatelser den har. Klikk på **Disconnect** ved siden av agenten. Tilgangen tar slutt med en gang, også for tokenene den allerede har.

Du kan også fjerne koblingen i klienten din (for eksempel `claude mcp remove zippendo`, eller slette den fra klientens MCP- eller Connectors-innstillinger). Det hindrer klienten i å bruke den, men bare **Disconnect** i Zippendo kansellerer tokenene på Zippendos side.

<Note>
  Kortet viser bare agentene du har koblet til selv. Hvert teammedlem kobler til og fra sine egne agenter.
</Note>

## For utviklere: endepunkter for oppdagelse

API-et er sin egen OAuth 2.1-autorisasjonsserver. De standardiserte endepunktene for oppdagelse er offentlige:

| Endepunkt | Formål |
| - | - |
| `GET /.well-known/oauth-protected-resource` | RFC 9728: peker klienter til autorisasjonsserveren. |
| `GET /.well-known/oauth-authorization-server` | RFC 8414: metadata om autorisasjonsserveren. |
| `POST /oauth/register` | RFC 7591: dynamisk registrering av klienter (offentlige PKCE-klienter). |
| `GET /oauth/authorize` | Starter autorisasjonen (PKCE S256). |
| `POST /oauth/token` | Bytter ut koden og roterer refresh tokens. |

En kompatibel MCP-klient håndterer alt dette for deg: du gir den bare URL-en.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.