Connecteurs claude.ai et ChatGPT

Où dans l'admin : System › Settings › API & AI agents (/agent/keys), onglet Connected apps. L'écran de consentement s'ouvre à /agent/consent lorsqu'un connecteur demande l'accès (il n'est pas dans le menu).

Description

Les applications d'IA web ne peuvent pas lire de clé sur votre disque. Elles se connectent via OAuth : vous ajoutez l'URL MCP du panneau, l'application vous envoie vers votre propre admin pour vous connecter, vous choisissez ce que l'application peut faire et pour combien de temps, et l'application reçoit des jetons à courte durée de vie. Aucune clé n'est copiée ou collée. Vous pouvez couper l'application à tout moment.

Utilisez ceci pour les connecteurs personnalisés claude.ai, les connecteurs en mode développeur ChatGPT et tout autre client MCP prenant en charge OAuth avec enregistrement de client dynamique. Les outils en ligne de commande peuvent utiliser le même flux, mais une admin API key est plus simple pour eux.

Prérequis

Élément	Prérequis
URL	https://cloud.example.com/mcp/admin, accessible depuis Internet (les serveurs du fournisseur s'y connectent).
Proxy inverse	Si vous placez votre propre proxy devant le panneau, il doit transférer /mcp/admin, /oauth-admin/ et les chemins /.well-known/ vers le panneau.
Vous	Connecté à l'admin NexCMP dans le même navigateur que celui que vous utilisez pour l'écran de consentement.
Client	Prend en charge MCP sur Streamable HTTP, OAuth 2.1 avec PKCE (S256) et l'enregistrement de client dynamique.

Connecter

1. Dans l'application d'IA, ajoutez un connecteur MCP personnalisé et collez https://cloud.example.com/mcp/admin. Dans claude.ai, cela se trouve dans les paramètres des connecteurs (ajouter un connecteur personnalisé) ; dans ChatGPT, cela se trouve en mode développeur (ajouter un connecteur MCP, authentification OAuth).
2. Choisissez Sign in (ou « Connect ») dans l'application. Votre navigateur ouvre l'écran de consentement admin NexCMP. Si vous n'êtes pas connecté, connectez-vous d'abord ; l'écran continue ensuite.
3. Lisez la carte : « Example AI app souhaite gérer cet admin NexCMP » (le nom de l'application qui fait la demande), avec l'adresse vers laquelle vous serez renvoyé.
4. Cochez les portées à accorder. Celles demandées par l'application sont pré-cochées ; si aucune n'a été demandée, seul admin:read est coché. Voir Scopes.
5. Choisissez la durée de la connexion : 7, 30 ou 90 jours (par défaut 30).
6. Cliquez sur Allow. Le navigateur revient à l'application, qui est désormais connectée. Cliquez sur Deny pour refuser.

::: important Choisissez les portées comme vous le feriez pour une clé Accordez le plus petit ensemble possible pour effectuer la tâche. Les actions concernant l'argent, la suppression et la sécurité s'arrêtent toujours à un aperçu et nécessitent votre approbation, mais une connexion avec settings:write peut tout de même modifier votre image de marque et votre e-mail. :::

Gérer et révoquer

Ouvrez System › Settings › API & AI agents › Connected apps. Le tableau liste chaque application que vous avez connectée : application, portées, date de connexion, date d'expiration et dernière utilisation.

Pour couper l'accès à une application, cliquez sur Revoke et confirmez. Ses jetons cessent de fonctionner immédiatement ; l'application doit repasser par l'écran de consentement pour se reconnecter.

Fonctionnement du flux

Étape	Détail
Découverte	L'application lit /.well-known/oauth-protected-resource/mcp/admin puis /.well-known/oauth-authorization-server/oauth-admin. L'émetteur est https://cloud.example.com/oauth-admin.
Enregistrement	L'application s'enregistre elle-même (POST /oauth-admin/register, RFC 7591). Seuls les clients publics sont pris en charge (pas de secret client). L'adresse de redirection doit être https, ou http sur le même ordinateur (bouclage).
Autorisation	GET /oauth-admin/authorize avec la méthode PKCE S256. Le paramètre resource, lorsqu'il est envoyé, doit être l'URL /mcp/admin de ce panneau. La requête est valide pendant 10 minutes et est liée au navigateur qui l'a initiée.
Consentement	Vous choisissez les portées et la durée (ci-dessus). Le code d'autorisation est valide 60 secondes et ne s'utilise qu'une seule fois.
Jetons	POST /oauth-admin/token renvoie un jeton d'accès (un ak_o... secret, valide 1 heure ou jusqu'à la fin de la connexion, selon ce qui survient en premier) et un jeton de rafraîchissement (akr_...). Chaque rafraîchissement génère un nouveau jeton de rafraîchissement ; l'ancien cesse de fonctionner. La connexion prend fin après le nombre de jours que vous avez choisi.
Révocation	Revoke dans Applications connectées, ou l'application appelle POST /oauth-admin/revoke (RFC 7009).

Le jeton d'accès se comporte comme une clé administrateur dotée des portées que vous avez accordées : mêmes règles de portée, confirmation, limite de débit et journal d'activité. Ses appels apparaissent dans l'onglet Activity.

Vérification

1. Dans l'application, demandez « run system_health » (ou « what tools do you have? »). L'application liste les outils autorisés par vos portées (the tool list).
2. Ouvrez Connected apps : Last used change.
3. Ouvrez Activity : les appels sont répertoriés avec le nom de l'application et mcp.

Limites et notes

• Si l'application demande à nouveau de se connecter après une heure, cela est normal lorsqu'un client ne procède pas au rafraîchissement ; reconnectez-vous.
• Un jeton de rafraîchissement utilisé deux fois est considéré comme compromis : toute la connexion est révoquée. Reconnectez-vous depuis l'application.
• Un code d'autorisation utilisé deux fois est rejeté (invalid_grant) et les jetons déjà émis à partir de celui-ci sont révoqués.
• L'accès OAuth n'accorde jamais plus que ce que permettent les règles de portée : what a key can never do s'applique également aux applications connectées.
• Les fournisseurs modifient leurs menus et les fonctionnalités prises en charge. Si l'application d'un fournisseur ne propose pas de connecteurs personnalisés sur votre formule, utilisez plutôt une admin API key avec un client de bureau ou en ligne de commande.

Dépannage

Symptôme	Cause	Solution
L'écran de consentement indique « Wrong browser »	La requête a été initiée dans un navigateur différent de celui où vous êtes connecté	Relancez la connexion depuis l'application d'IA dans le même navigateur.
L'écran de consentement indique que la requête a expiré ou est manquante	Plus de 10 minutes se sont écoulées ou le lien a été ouvert deux fois	Relancez la connexion depuis l'application d'IA.
Page « Unknown client » ou « redirect address does not match »	L'enregistrement de l'application est obsolète ou utilise une adresse de redirection non enregistrée	Supprimez le connecteur dans l'application et ajoutez-le à nouveau.
invalid_target	L'élément resource envoyé ne correspond pas à l'URL /mcp/admin de ce panneau	Utilisez l'URL exacte affichée sur l'onglet Connect an AI.
invalid_request à propos de PKCE	Le client n'envoie pas code_challenge_method=S256	Utilisez un client qui prend en charge OAuth 2.1 avec PKCE.
L'application se connecte mais un appel renvoie insufficient_scope	Vous n'avez pas coché cette portée	Révoquez la connexion et reconnectez-vous en cochant la portée.
L'application ne parvient pas à joindre l'URL	Le DNS, TLS ou le proxy inverse bloque /mcp/admin, /oauth-admin/ ou /.well-known/	Vérifiez les règles du proxy.