Per i client che non possono accedere dal browser.

Quale strada è la tua

L'endpoint è uno solo, https://letsweft.com/api/mcp, e i modi per dimostrare chi sei sono due.

• OAuth — la strada predefinita, e la migliore. Il client si registra da solo, tu accedi una volta dal browser e nessun segreto finisce mai in un file di configurazione. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI e quasi tutti gli altri fanno così. Se il tuo client lo offre, smetti pure di leggere: non ti serve un token.
• Un token di accesso — per i client il cui supporto MCP è un URL e un header. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI appartengono tutti a questo gruppo.

Crearne uno

Apri Impostazioni → Token di accesso.

Dagli un nome che riconoscerai tra sei mesi — "Trae sul portatile", non "token 2" — e scegli una scadenza: 30, 90 o 365 giorni, oppure mai. Mai è il valore predefinito, di proposito: una credenziale che muore in silenzio a metà di un'esecuzione danneggia un agente più di una a vita lunga. Il token compare una volta sola. Weft ne conserva solo un hash, quindi non esiste pagina, richiesta al supporto o query al database in grado di mostrartelo di nuovo.

Va nell'header Authorization , accanto all'endpoint: Authorization: Bearer wft_…. Ogni pagina client mostra il comando o il file di configurazione esatto per quel client.

Cosa può fare un token

Tutto ciò che può il tuo account: leggere la board, creare e spostare task, gestire sprint, registrare decisioni — tutti e 32 gli strumenti MCP, su tutto il tuo spazio di lavoro. Non esistono ancora gli ambiti, quindi oggi un token di sola lettura non è realizzabile. Trattalo come tratteresti la tua password.

Quello che non può fare: accedere al sito, modificare la fatturazione o raggiungere uno spazio di lavoro di cui non fai parte.

Revocare, e sapere che ha funzionato

Revoca dallo stesso pannello. Ha effetto dalla chiamata successiva — nessun ritardo di propagazione, nessun periodo di tolleranza in cache — e le chiamate già fatte dal token restano nella cronologia invece di sparire con lui. Revoca quando una macchina si perde, quando un portatile lascia l'azienda, quando un token è stato incollato dove non doveva, o semplicemente quando smetti di usare un client.

Ogni token nell'elenco mostra quando è stato usato l'ultima volta. Quella riga è la prova onesta che un client sia collegato: un client configurato bene ma che non ha mai chiamato uno strumento risulta mai usato, e una configurazione che sembra giusta ma non è mai arrivata a noi risulta uguale. Se il tuo assistente dice che non vede la board, guarda prima quella riga.