Для клієнтів, які не вміють входити через браузер.

Які двері твої

Ендпоінт один — https://letsweft.com/api/mcp, а способів довести, хто ти, два.

• OAuth — шлях за замовчуванням і найкращий. Клієнт реєструється сам, ти один раз входиш у браузері, і жоден секрет не потрапляє в конфігураційний файл. Так роблять Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI і майже всі інші. Якщо твій клієнт це вміє, далі можна не читати: токен тобі не потрібен.
• Токен доступу — для клієнтів, у яких підтримка MCP — це адреса й заголовок. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI належать саме до цієї групи.

Як створити токен

Відкрий Налаштування → Токени доступу.

Дай йому назву, за якою впізнаєш його й через пів року, — «Trae на ноутбуці», а не «токен 2», — і вибери термін дії: 30, 90 або 365 днів чи безстроково. За замовчуванням стоїть «безстроково», і це свідомо: ключ, який тихо вмирає посеред роботи, підводить агента гірше, ніж довговічний. Токен показується лише один раз. Weft зберігає тільки його хеш, тож немає ні сторінки, ні звернення до підтримки, ні запиту до бази даних, які показали б його знову.

Він вставляється в заголовок Authorization , поруч з адресою ендпоінту: Authorization: Bearer wft_…. На сторінці кожного клієнта є точна команда або файл конфігурації саме для нього.

Що може токен

Усе, що може твій обліковий запис: читати дошку, створювати й переміщувати задачі, вести спринти, записувати рішення — усі 32 MCP-інструменти в межах усього робочого простору. Областей доступу поки немає, тож токен «лише для читання» сьогодні створити не вийде. Стався до нього так само, як до пароля. Цього ж специфікація bearer-токенів вимагає від кожного клієнта: RFC 6750 визначає bearer-токен як облікові дані, якими може скористатися будь-хто, у кого вони є, зазначає, що його слід захищати від розголошення, і застерігає від того, щоб передавати його в URL сторінки. Не допускай його й у логи: OWASP радить видаляти або маскувати токени доступу у даних, які записує застосунок.

Чого він не може: увійти на сайт, змінити твої платіжні налаштування чи дістатися робочого простору, учасником якого ти не є.

Відкликати — і переконатися, що спрацювало

Токен відкликається там само. Це діє з наступного виклику — без затримки поширення й без кешованого пільгового періоду, — а виклики, які токен уже зробив, лишаються в історії й не зникають разом із ним. Відкликай, коли машину загублено, коли ноутбук іде з компанії, коли токен вставили туди, куди не слід, або просто коли перестав користуватися клієнтом.

Біля кожного токена в списку видно, коли ним користувалися востаннє. Цей рядок — чесна перевірка того, чи підключено клієнт: правильно налаштований клієнт, який жодного разу не викликав інструмент, показує жодного разу не використано, і конфігурація, яка виглядає правильною, але до нас так і не дійшла, показує те саме. Якщо асистент каже, що не бачить твою дошку, спершу глянь на цей рядок.