Za klijente koji se ne mogu prijaviti putem preglednika.
Većina AI klijenata spaja se na Weft putem OAuth-a i nikad ne vidi nikakvu tajnu. Neki uopće nemaju OAuth — uzmu URL i zaglavlje, i to im je cijela autentifikacija. Ova stranica govori o tom zaglavlju.
Weft je AI upravitelj zadataka za samostalne osnivače i male timove.
Koji je put tvoj
Postoji jedna krajnja točka, https://letsweft.com/api/mcp, i dva načina da dokažeš tko si.
- OAuth — zadani, i bolji. Klijent se sam registrira, ti se jednom prijaviš u pregledniku, a nijedna tajna nikad ne završi u konfiguracijskoj datoteci. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI i većina ostalih rade upravo tako. Ako tvoj klijent to nudi, prestani čitati: token ti ne treba.
- Pristupni token — za klijente kojima se podrška za MCP svodi na URL i zaglavlje. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI pripadaju ovoj skupini.
Kako ga izraditi
Otvori Postavke → Pristupni tokeni.
Daj mu ime koje ćeš prepoznati i za šest mjeseci — „Trae na laptopu“, a ne „token 2“ — i odaberi rok trajanja: 30, 90 ili 365 dana, ili nikad. Nikad je zadano, i to namjerno: vjerodajnica koja tiho istekne usred rada agentu nanese više štete nego dugotrajna. Token se prikazuje samo jednom. Weft pohranjuje samo njegov hash, pa ne postoji stranica, zahtjev podršci ni upit bazi podataka koji bi ti ga ponovno pokazao.
Ide u zaglavlje Authorization , uz krajnju točku: Authorization: Bearer wft_…. Stranica svakog klijenta prikazuje točnu naredbu ili konfiguracijsku datoteku za taj klijent.
Što token može
Sve što može tvoj račun: čitati ploču, stvarati i premještati zadatke, voditi sprintove, bilježiti odluke — sva 32 MCP alata, u cijelom tvom radnom prostoru. Opsega dopuštenja još nema, pa token samo za čitanje danas ne možeš napraviti. Čuvaj ga kao svoju lozinku. To od svakog klijenta traži i specifikacija bearer tokena: RFC 6750 definira bearer token kao vjerodajnicu koju može upotrijebiti svatko tko je posjeduje, navodi da mora biti zaštićen od otkrivanja, i upozorava da ga se ne stavlja u URL stranice. Drži ga i podalje od logova: OWASP preporučuje uklanjanje ili maskiranje pristupnih tokena u zabilježenim podacima aplikacije.
Ono što ne može jest prijaviti se na web-stranicu, mijenjati tvoje podatke o naplati ili pristupiti bilo kojem radnom prostoru kojem nisi član.
Opoziv, i kako znati da je uspio
Opozovi ga u istom panelu. Djeluje od sljedećeg poziva — bez kašnjenja u propagaciji, bez predmemoriranog razdoblja odgode — a pozivi koje je token već obavio ostaju u tvojoj povijesti umjesto da nestanu s njim. Opozovi ga kad se računalo izgubi, kad laptop napusti tvrtku, kad je token zalijepljen negdje gdje nije trebao biti ili jednostavno kad prestaneš koristiti neki klijent.
Svaki token na popisu pokazuje kad je zadnji put korišten. Taj je redak pošten test je li klijent spojen: klijent koji je ispravno postavljen, ali nikad nije pozvao nijedan alat, pokazuje nikad korišten, a isto pokazuje i konfiguracija koja izgleda ispravno, ali nikad nije stigla do nas. Ako tvoj asistent kaže da ne vidi tvoju ploču, najprije provjeri taj redak.