> ## Documentation Index
> Fetch the complete documentation index at: https://www.zippendo.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# Autentisering

> Hur Zippendos MCP-server loggar in din AI-agent med OAuth 2.1, och hur du väljer vilken organisation och vilka behörigheter den får.

Du bestämmer exakt vad en ansluten AI-agent får göra i Zippendo: vilken organisation den arbetar i och vilka behörigheter den har. Anslutningsadressen (`https://api.zippendo.com/mcp`) skyddas av **OAuth 2.1**. Du klistrar aldrig in någon token: din klient hittar inloggningen utifrån adressen, öppnar din webbläsare, och du loggar in i Zippendo och godkänner åtkomsten. Den här sidan förklarar vad som händer och vad du styr.

## Anslutningsstegen

När du lägger till adressen i en klient och ansluter för första gången:

<Steps>
  <Step title="Din klient hittar inloggningen">
    Servern svarar på det första anropet utan inloggningsuppgifter med en hänvisning till sina OAuth-uppgifter. Din klient registrerar sig själv automatiskt (du behöver inte skapa något klient-ID) och öppnar din webbläsare.
  </Step>

  <Step title="Du loggar in i Zippendo">
    Om du inte redan är inloggad hamnar du på Zippendos inloggningssida. Logga in som du brukar.
  </Step>

  <Step title="Du godkänner åtkomsten på godkännandeskärmen">
    Skärmen **Authorize access** visar klientens namn, den **Organization** som ska anslutas och de **Permissions** den ber om. Välj organisation, markera de behörigheter du vill ge och klicka på **Authorize**. Klicka på **Deny** för att neka.
  </Step>

  <Step title="Du är ansluten">
    Webbläsaren lämnar tillbaka kontrollen till din klient, som lagrar sina token och förnyar dem själv. Du behöver inte logga in igen förrän du kopplar från agenten eller dess åtkomst går ut.
  </Step>
</Steps>

<Note>
  En teammedlem som är begränsad till ett varumärke kan inte ansluta en agent. Godkännandeskärmen nekar begäran. Be någon med åtkomst till hela organisationen att ansluta den.
</Note>

## Välja en organisation

Varje anslutning tillhör **en organisation**. På godkännandeskärmen väljer du vilken organisation agenten får arbeta i, och varje verktygsanrop stannar inom den organisationen.

För att arbeta i en annan organisation ansluter du igen och väljer den andra organisationen på godkännandeskärmen. I klienter som tillåter fler än en serverpost kan du också lägga till en andra anslutning med samma adress och godkänna den för den andra organisationen.

## Begränsa behörigheter

På godkännandeskärmen kan du **ge färre** behörigheter än klienten ber om, men aldrig fler. Du måste behålla minst en. Om klienten inte ber om något särskilt erbjuder skärmen läs- och skrivåtkomst till allt. Ge bara det agenten behöver:

* Ska den bara svara på frågor? Ge enbart behörigheterna **Read**.
* Ska den skapa och skicka försändelser? Lägg till skrivåtkomst till försändelser (`write:shipments`).

Verktygen som din agent ser filtreras efter de behörigheter du godkänner. Se [Verktyg och scopes](/docs/sv/mcp/tools) för hela översikten.

<Info>
  Agenten agerar **som du**, bara i den organisation och med de behörigheter du godkänt, och **aldrig** med Zippendo-personalens rättigheter. Varje verktygsanrop går igenom samma inloggning, behörighetskontroller, plangränser och validering som ett vanligt API-anrop.
</Info>

## Token och förnyelse

Din klient hanterar OAuth-token åt dig:

| Token | Livslängd | Anmärkningar |
| - | - | - |
| Access token | 1 timme | Skickas med varje anrop. |
| Refresh token | 30 dagar | Ersätts varje gång den används. Om en gammal refresh token används igen behandlas det som stöld och **avslutar hela anslutningen**. |

Du hanterar inte dessa själv: klienten lagrar och förnyar dem.

## Koppla från

För att stoppa en agents åtkomst går du till **Apps & integrations** i Zippendo-appen. Kortet **MCP (AI agents)** listar de agenter du anslutit, med när var och en användes senast och hur många behörigheter den har. Klicka på **Disconnect** bredvid agenten. Dess åtkomst upphör direkt, inklusive token den redan har.

Du kan också ta bort anslutningen i din klient (till exempel `claude mcp remove zippendo`, eller ta bort den under klientens inställningar för MCP eller Connectors). Det hindrar klienten från att använda den, men bara **Disconnect** i Zippendo upphäver token på Zippendos sida.

<Note>
  Kortet visar bara de agenter du själv anslutit. Varje teammedlem ansluter och kopplar från sina egna agenter.
</Note>

## För utvecklare: endpoints för discovery

API:t är sin egen OAuth 2.1-auktoriseringsserver. De standardiserade endpoints för discovery är publika:

| Endpoint | Syfte |
| - | - |
| `GET /.well-known/oauth-protected-resource` | RFC 9728: pekar klienter till auktoriseringsservern. |
| `GET /.well-known/oauth-authorization-server` | RFC 8414: metadata för auktoriseringsservern. |
| `POST /oauth/register` | RFC 7591: dynamisk klientregistrering (publika PKCE-klienter). |
| `GET /oauth/authorize` | Startar auktoriseringen (PKCE S256). |
| `POST /oauth/token` | Byter koden och roterar refresh token. |

En kompatibel MCP-klient hanterar allt detta åt dig: du ger den bara adressen.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.