สำหรับ client ที่ลงชื่อเข้าใช้ผ่านเบราว์เซอร์ไม่ได้

ช่องทางไหนที่เหมาะกับคุณ

มี endpoint เพียงหนึ่งเดียว https://letsweft.com/api/mcp และมีสองวิธีในการยืนยันว่าคุณคือใคร

• OAuth — คือช่องทางเริ่มต้นและเป็นช่องทางที่ดีกว่า client จะลงทะเบียนตัวเอง คุณลงชื่อเข้าใช้ในเบราว์เซอร์เพียงครั้งเดียว และไม่มีข้อมูลลับใดถูกเขียนลงในไฟล์ config เลย Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI และ client ส่วนใหญ่ทำงานแบบนี้ หาก client ของคุณรองรับ ก็หยุดอ่านได้เลย คุณไม่จำเป็นต้องใช้ token
• Access token — สำหรับ client ที่รองรับ MCP แค่ในรูปแบบ URL กับ header DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI ล้วนอยู่ในกลุ่มนี้

การสร้าง token

เปิด Settings → Access tokens.

ตั้งชื่อที่อีกหกเดือนคุณยังจำได้ เช่น "Trae บนแล็ปท็อป" ไม่ใช่ "token 2" แล้วเลือกอายุการใช้งาน: 30, 90 หรือ 365 วัน หรือไม่มีวันหมดอายุ ค่าเริ่มต้นคือไม่มีวันหมดอายุ และเราตั้งใจให้เป็นเช่นนั้น เพราะข้อมูลยืนยันตัวตนที่หมดอายุเงียบ ๆ กลางคันสร้างความเสียหายให้ agent มากกว่าข้อมูลที่มีอายุยาว token จะแสดงเพียงครั้งเดียว Weft เก็บไว้เพียงค่า hash เท่านั้น จึงไม่มีหน้าใด คำขอ support ใด หรือ query ฐานข้อมูลใดที่จะแสดงมันให้คุณเห็นได้อีก

ใส่ไว้ใน header Authorization คู่กับ endpoint: Authorization: Bearer wft_… หน้าของแต่ละ client จะแสดงคำสั่งหรือไฟล์ config ที่ถูกต้องสำหรับ client นั้น ๆ

token ทำอะไรได้บ้าง

ทำได้ทุกอย่างที่บัญชีของคุณทำได้: อ่านบอร์ด สร้างและย้ายงาน รัน sprint บันทึกการตัดสินใจ ครบทั้ง 32 MCP tools ทั่วทั้ง workspace ของคุณ ขณะนี้ยังไม่มี scope จึงยังสร้าง token แบบอ่านอย่างเดียวไม่ได้ ให้ดูแลมันเหมือนรหัสผ่านของคุณ ซึ่งเป็นสิ่งที่สเปกของ bearer token กำหนดให้ทุก client ทำเช่นกัน: RFC 6750 นิยาม bearer token ว่าเป็นข้อมูลยืนยันตัวตนที่ใครก็ตามที่ถืออยู่สามารถใช้ได้ ระบุว่า ต้องป้องกันไม่ให้ถูกเปิดเผย และเตือนไม่ให้ใส่ไว้ใน URL ของหน้าเว็บ อย่าให้ token ไปปรากฏใน log ด้วย: OWASP แนะนำให้ลบหรือปิดบัง access token ในข้อมูลที่แอปพลิเคชันบันทึกไว้

สิ่งที่ token ทำไม่ได้คือ ลงชื่อเข้าใช้เว็บไซต์ เปลี่ยนข้อมูลการชำระเงิน หรือเข้าถึง workspace ที่คุณไม่ได้เป็นสมาชิก

การเพิกถอน และการรู้ว่าได้ผลแล้ว

เพิกถอนได้จากแผงเดียวกัน โดยมีผลตั้งแต่การเรียกครั้งถัดไป ไม่มีความล่าช้าในการกระจายผล ไม่มีช่วงผ่อนผันจาก cache และการเรียกที่ token เคยทำไว้จะยังคงอยู่ในประวัติ ไม่หายไปพร้อมกับ token ควรเพิกถอนเมื่อเครื่องหาย เมื่อแล็ปท็อปออกจากบริษัท เมื่อ token ถูกวางไว้ในที่ที่ไม่ควร หรือเพียงแค่เมื่อคุณเลิกใช้ client นั้นแล้ว

token แต่ละรายการในลิสต์จะแสดงเวลาที่ใช้งานล่าสุด บรรทัดนี้คือการทดสอบที่ตรงไปตรงมาที่สุดว่า client เชื่อมต่ออยู่หรือไม่: client ที่ตั้งค่าถูกต้องแต่ไม่เคยเรียก tool เลยจะแสดงว่า ไม่เคยใช้งาน และ config ที่ดูเหมือนถูกต้องแต่ไม่เคยส่งมาถึงเราก็จะแสดงแบบเดียวกัน หากผู้ช่วย AI ของคุณบอกว่ามองไม่เห็นบอร์ด ให้ตรวจดูบรรทัดนี้ก่อน