Cho những client không đăng nhập được qua trình duyệt.
Phần lớn client AI kết nối tới Weft bằng OAuth và không bao giờ thấy một bí mật nào. Một số không có OAuth: chúng nhận một URL và một header, và đó là toàn bộ phần xác thực. Trang này nói về cái header ấy.
Weft là trình quản lý công việc bằng AI cho nhà sáng lập độc lập và nhóm nhỏ.
Lối vào nào là của bạn
Chỉ có một endpoint, https://letsweft.com/api/mcp, và hai cách để chứng minh bạn là ai.
- OAuth — lối mặc định, và cũng là lối tốt hơn. Client tự đăng ký, bạn đăng nhập một lần trên trình duyệt, và không có bí mật nào bị ghi vào tệp cấu hình. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI và hầu hết những cái khác đều làm vậy. Nếu client của bạn hỗ trợ, hãy dừng đọc ở đây: bạn không cần token.
- Token truy cập — dành cho những client mà phần hỗ trợ MCP chỉ là một URL và một header. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI đều thuộc nhóm này.
Tạo một cái
Đặt cho nó cái tên mà sáu tháng nữa bạn vẫn nhận ra — "Trae trên laptop", chứ không phải "token 2" — rồi chọn hạn: 30, 90 hay 365 ngày, hoặc không bao giờ. Mặc định là không bao giờ, và đó là chủ ý: một thông tin xác thực chết lặng lẽ giữa chừng làm hỏng việc của tác tử nặng hơn một cái sống lâu. Token chỉ hiện ra một lần. Weft chỉ lưu hash của nó, nên không có trang nào, yêu cầu hỗ trợ nào hay truy vấn cơ sở dữ liệu nào có thể đưa nó ra lần nữa.
Nó nằm ở header Authorization , ngay cạnh endpoint: Authorization: Bearer wft_…. Mỗi trang client đều có sẵn câu lệnh hoặc tệp cấu hình chính xác cho client đó.
Token làm được gì
Mọi thứ tài khoản của bạn làm được: đọc bảng, tạo và di chuyển việc, chạy sprint, ghi lại quyết định — đủ 32 công cụ MCP, trên toàn bộ không gian làm việc. Hiện chưa có phạm vi quyền, nên hôm nay chưa thể tạo token chỉ-đọc. Hãy giữ nó như giữ mật khẩu.
Thứ nó không làm được: đăng nhập vào website, đổi thông tin thanh toán, hay chạm tới một không gian làm việc mà bạn không phải thành viên.
Thu hồi, và biết là đã ăn thua
Thu hồi ngay trong bảng đó. Hiệu lực từ lần gọi kế tiếp — không có độ trễ lan truyền, không có thời gian ân hạn nằm trong cache — và những lần gọi token đã thực hiện vẫn nằm trong lịch sử chứ không biến mất theo nó. Hãy thu hồi khi mất máy, khi một chiếc laptop rời công ty, khi token bị dán vào chỗ lẽ ra không nên, hoặc đơn giản là khi bạn thôi dùng một client.
Mỗi token trong danh sách đều hiện lần dùng gần nhất. Dòng đó là phép thử thành thật xem client đã kết nối hay chưa: một client cấu hình đúng nhưng chưa từng gọi công cụ nào sẽ hiện chưa dùng bao giờ, và một cấu hình trông có vẻ đúng nhưng chưa từng tới được chỗ chúng tôi cũng hiện y như vậy. Nếu trợ lý bảo nó không thấy bảng của bạn, hãy xem dòng đó trước tiên.