Per a clients que no poden iniciar la sessió des d’un navegador.

Quina és la teva via d’entrada

Hi ha un únic endpoint, https://letsweft.com/api/mcp, i dues maneres de demostrar qui ets.

• OAuth — l’opció per defecte, i la millor. El teu client es registra sol, inicies la sessió una vegada al navegador i cap secret no acaba escrit en un fitxer de configuració. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI i gairebé tots els altres ho fan així. Si el teu client ho ofereix, ja pots deixar de llegir: no necessites cap token.
• Un token d’accés — per als clients amb un suport de MCP que es limita a un URL i una capçalera. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI són tots en aquest grup.

Generar-ne un

Obre Configuració → Tokens d’accés.

Posa-li un nom que reconeguis d’aquí a sis mesos —«Trae al portàtil», no «token 2»— i tria’n la caducitat: 30, 90 o 365 dies, o mai. «Mai» és el valor per defecte, expressament: una credencial que mor en silenci a mitja execució fa més mal a un agent que una de llarga durada. El token només apareix una vegada. Weft només en desa un hash, de manera que no hi ha cap pàgina, cap sol·licitud de suport ni cap consulta a la base de dades que te’l pugui tornar a mostrar.

Va a la capçalera Authorization , al costat de l’endpoint: Authorization: Bearer wft_…. Cada pàgina de client mostra l’ordre o el fitxer de configuració exacte per a aquell client.

Què pot fer un token

Tot el que pot fer el teu compte: llegir el tauler, crear i moure tasques, portar sprints, registrar decisions — totes 32 eines MCP, a tot el teu espai de treball. Encara no hi ha àmbits, així que avui no pots crear un token només de lectura. Tracta’l com tractaries la teva contrasenya. És el que l’especificació dels bearer tokens demana també a tots els clients: l’RFC 6750 defineix un bearer token com una credencial que pot fer servir qualsevol que la tingui, diu que s’ha de protegir de la divulgació i desaconsella posar-lo a l’URL d’una pàgina. Mantén-lo també fora dels registres: l’OWASP recomana eliminar o emmascarar els tokens d’accés de les dades que enregistra una aplicació.

El que no pot fer és iniciar la sessió al web, canviar la teva facturació ni accedir a cap espai de treball del qual no siguis membre.

Revocar-lo, i saber que ha funcionat

Revoca’l des del mateix panell. Té efecte a la crida següent —sense retard de propagació ni període de gràcia a la memòria cau— i les crides que el token ja havia fet es queden al teu historial en lloc de desaparèixer amb ell. Revoca’l quan es perdi una màquina, quan un portàtil surti de l’empresa, quan un token s’hagi enganxat on no tocava, o simplement quan deixis de fer servir un client.

Cada token de la llista mostra quan es va fer servir per última vegada. Aquesta línia és la prova honesta de si un client està connectat: un client ben configurat que mai no ha cridat cap eina hi apareix com a mai utilitzat, i una configuració que sembla correcta però que mai no ens ha arribat hi apareix igual. Si el teu assistent diu que no veu el teu tauler, comprova primer aquesta línia.