Pre klientov, ktorí sa nevedia prihlásiť cez prehliadač.

Ktoré dvere sú tvoje

Koncový bod je jeden, https://letsweft.com/api/mcp, a spôsoby, ako preukázať, kto si, sú dva.

• OAuth — predvolená a lepšia cesta. Klient sa zaregistruje sám, ty sa raz prihlásiš v prehliadači a do konfiguračného súboru sa nikdy nedostane žiadne tajomstvo. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI a väčšina ostatných to robia takto. Ak to tvoj klient ponúka, môžeš prestať čítať: token nepotrebuješ.
• Prístupový token — pre klientov, ktorých podpora MCP je adresa a hlavička. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI patria všetci do tejto skupiny.

Ako si ho vytvoriť

Otvor Nastavenia → Prístupové tokeny.

Daj mu názov, ktorý spoznáš aj o pol roka — „Trae na notebooku“, nie „token 2“ — a vyber platnosť: 30, 90 alebo 365 dní, alebo nikdy. Nikdy je predvolené, a to zámerne: prihlasovací údaj, ktorý potichu prestane platiť uprostred behu, uškodí agentovi viac než ten s dlhou platnosťou. Token sa zobrazí raz. Weft si z neho ukladá len odtlačok (hash), takže neexistuje stránka, žiadosť na podporu ani databázový dopyt, ktoré by ti ho ukázali znova.

Patrí do hlavičky Authorization , vedľa koncového bodu: Authorization: Bearer wft_…. Každá stránka klienta ukazuje presný príkaz alebo konfiguračný súbor pre daného klienta.

Čo token dokáže

Všetko, čo dokáže tvoj účet: čítať nástenku, zakladať a presúvať úlohy, viesť šprinty, zapisovať rozhodnutia — všetkých 32 MCP nástrojov naprieč celým pracovným priestorom. Rozsahy oprávnení zatiaľ nie sú, takže token len na čítanie si dnes nevytvoríš. Zaobchádzaj s ním ako so svojím heslom. Presne to od každého klienta žiada aj špecifikácia bearer tokenov: RFC 6750 definuje bearer token ako prihlasovací údaj, ktorý môže použiť ktokoľvek, kto ho má, uvádza, že musí byť chránený pred prezradením, a varuje pred jeho vkladaním do URL adresy stránky. Nedávaj ho ani do logov: OWASP odporúča odstraňovať alebo maskovať prístupové tokeny v zaznamenávaných dátach aplikácie.

Čo nedokáže: prihlásiť sa na web, meniť fakturáciu ani siahnuť do pracovného priestoru, ktorého nie si členom.

Zrušiť platnosť a vedieť, že to zabralo

Zruš ho v tom istom paneli. Platí to od ďalšieho volania — žiadne oneskorenie, žiadna dočasná lehota z vyrovnávacej pamäte — a volania, ktoré token už urobil, zostávajú v histórii namiesto toho, aby zmizli spolu s ním. Ruš, keď sa stratí stroj, keď notebook odchádza z firmy, keď sa token ocitol niekde, kde nemal, alebo jednoducho keď klienta prestaneš používať.

Pri každom tokene v zozname vidno, kedy bol naposledy použitý. Ten riadok je poctivá skúška, či je klient pripojený: klient nastavený správne, ktorý nikdy nezavolal žiadny nástroj, ukazuje nikdy nepoužitý, a konfigurácia, ktorá vyzerá správne, ale nikdy sa k nám nedostala, ukazuje to isté. Keď ti asistent tvrdí, že nevidí tvoju nástenku, pozri sa najskôr na tento riadok.