/v1.
Cómo funciona la autorización
Un cliente MCP recibe primero401 con un encabezado WWW-Authenticate que apunta a los metadatos del recurso protegido de Muveya. El cliente descubre el servidor de autorización de Stytch y abre el navegador. Muveya Console te pide iniciar sesión si hace falta y luego muestra la aplicación, la clínica dental y los permisos para que decidas. Al seleccionar Autorizar, el cliente recibe un token de acceso y lo envía en cada solicitud MCP.
Muveya comprueba que el token se emitió para este recurso MCP, que el acceso de la aplicación sigue vigente y que tu membresía está activa. Cada herramienta recibe solo la intersección entre los scopes OAuth delegados y tus permisos y sedes actuales. Una API key de /v1 no puede autenticar /mcp.
Qué puede leer el servidor
El servidor enumera diez herramientas y cuatro recursos. Los scopes OAuth actuales pueden autorizar lecturas del catálogo, inventario, pedidos e indicadores gerenciales. Algunas herramientas enumeradas requierenapprovals.decide o fulfillment.pick; estos permisos no forman parte de los scopes OAuth actuales de solo lectura y esas llamadas devuelven common.forbidden. Consulta las herramientas y los recursos para ver el contrato exacto.
Los campos sensibles se eliminan en el servidor cuando no tienes su permiso. La conexión no puede ampliar el acceso indicando otra clínica dental ni pidiendo al asistente que ignore una regla. Cada llamada a una herramienta o recurso se registra con la persona, el scope y el resultado, sin la solicitud completa ni una referencia de paciente.
Conecta un cliente para iniciar el flujo de ingreso y autorización.