Für Clients, die sich nicht im Browser anmelden können.
Die meisten KI-Clients verbinden sich per OAuth mit Weft und sehen nie ein Geheimnis. Manche haben gar kein OAuth — sie nehmen eine URL und einen Header, und das ist ihre ganze Authentifizierung. Diese Seite ist dieser Header.
Weft ist die KI-Aufgabenverwaltung für Solo-Gründer und kleine Teams.
Welcher Weg deiner ist
Es gibt einen Endpunkt, https://letsweft.com/api/mcp, und zwei Arten nachzuweisen, wer du bist.
- OAuth — die Voreinstellung, und die bessere. Dein Client registriert sich selbst, du meldest dich einmal im Browser an, und kein Geheimnis landet je in einer Konfigurationsdatei. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI und die meisten anderen machen das. Wenn dein Client es anbietet, hör hier auf zu lesen: du brauchst kein Token.
- Ein Zugriffstoken — für Clients, deren MCP-Unterstützung aus einer URL und einem Header besteht. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI gehören alle in diese Gruppe.
Eines erzeugen
Öffne Einstellungen → Zugriffstokens.
Gib ihm einen Namen, den du in sechs Monaten wiedererkennst — „Trae auf dem Laptop", nicht „Token 2" — und wähle eine Gültigkeit: 30, 90 oder 365 Tage, oder nie. Nie ist die Voreinstellung, und zwar mit Absicht: eine Anmeldung, die mitten im Lauf still stirbt, schadet einem Agenten mehr als eine langlebige. Das Token erscheint genau einmal. Weft speichert nur einen Hash davon, also gibt es keine Seite, keine Supportanfrage und keine Datenbankabfrage, die es dir noch einmal zeigen könnte.
Es gehört in den Authorization -Header, neben den Endpunkt: Authorization: Bearer wft_…. Jede Client-Seite zeigt den genauen Befehl oder die Konfigurationsdatei für diesen Client.
Was ein Token darf
Alles, was dein Konto darf: das Board lesen, Aufgaben anlegen und verschieben, Sprints führen, Entscheidungen festhalten — alle 32 MCP-Werkzeuge, im ganzen Arbeitsbereich. Es gibt noch keine Scopes, ein Nur-Lese-Token lässt sich heute also nicht bauen. Behandle es wie dein Passwort.
Was es nicht kann: sich auf der Website anmelden, deine Abrechnung ändern oder einen Arbeitsbereich erreichen, in dem du kein Mitglied bist.
Widerrufen — und sehen, dass es wirkte
Widerruf im selben Bereich. Er gilt ab dem nächsten Aufruf — keine Verzögerung, keine zwischengespeicherte Schonfrist — und die Aufrufe, die das Token schon gemacht hat, bleiben in deiner Historie, statt mit ihm zu verschwinden. Widerrufe, wenn eine Maschine verloren geht, wenn ein Laptop das Unternehmen verlässt, wenn ein Token irgendwo gelandet ist, wo es nicht hingehört, oder schlicht, wenn du einen Client nicht mehr nutzt.
Jedes Token in der Liste zeigt, wann es zuletzt benutzt wurde. Diese Zeile ist der ehrliche Test, ob ein Client verbunden ist: ein korrekt eingerichteter Client, der nie ein Werkzeug aufgerufen hat, steht auf nie benutzt, und eine Konfiguration, die richtig aussieht, uns aber nie erreicht hat, steht genauso da. Sagt dein Assistent, er sehe dein Board nicht, schau zuerst auf diese Zeile.