Intégration MCP

L'enregistrement dynamique des clients (DCR) est activé : aucune clé ni identifiant client à créer à la main.

1. 1 — Dans le client MCP, ajouter un serveur distant et coller https://faiderock.lovable.app/mcp.
2. 2 — Le client découvre les métadonnées OAuth et s'enregistre automatiquement.
3. 3 — Une fenêtre s'ouvre sur FAIDEROCK : se connecter (email ou Google).
4. 4 — La page de consentement affiche le client demandeur. Approuver.
5. 5 — Le client reçoit son jeton et liste les outils. La connexion est prête.

Le jeton est émis pendant ce flux OAuth. Un jeton de session de l'application copié à la main est rejeté.

En-têtes obligatoires sur chaque POST :

Content-Type: application/json
Accept: application/json, text/event-stream
Authorization: Bearer <access_token>

curl -sS https://faiderock.lovable.app/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer $TOKEN" \
  -d '{
    "jsonrpc": "2.0",
    "id": 1,
    "method": "initialize",
    "params": {
      "protocolVersion": "2025-06-18",
      "capabilities": {},
      "clientInfo": { "name": "curl", "version": "1.0" }
    }
  }'

curl -sS https://faiderock.lovable.app/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer $TOKEN" \
  -d '{ "jsonrpc": "2.0", "id": 2, "method": "tools/list" }'

curl -sS https://faiderock.lovable.app/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer $TOKEN" \
  -d '{
    "jsonrpc": "2.0",
    "id": 3,
    "method": "tools/call",
    "params": {
      "name": "get_academy_module",
      "arguments": { "slug": "gov-audit" }
    }
  }'

{ "error": "unauthorized" }

# accompagné d'un en-tête WWW-Authenticate pointant vers
# /.well-known/oauth-protected-resource

• — Les données Académie et GHOST sont propres au membre authentifié : les règles d'accès de la base s'appliquent au jeton transmis.
• — search_shop_products interroge le catalogue public et ne nécessite pas de session.
• — Les appels d'outils sont synchrones et doivent rester courts ; les traitements longs restent dans l'application.
• — Les niveaux VIP et Elite sont attribués manuellement après revue ; aucun outil MCP ne modifie le niveau d'un membre.

Le jeton d'accès est de courte durée. Le renouvellement est automatique : le client MCP conserve un refresh_token et le rejoue sur le point de jeton, sans intervention. Aucune reconnexion n'est nécessaire à l'expiration.

À l'expiration, le point MCP renvoie le signal qui déclenche le renouvellement silencieux côté client :

HTTP/1.1 401
WWW-Authenticate: Bearer realm="mcp",
  resource_metadata="https://faiderock.lovable.app/.well-known/oauth-protected-resource",
  error="invalid_token", error_description="…"

{ "error": "unauthorized" }

curl -sS https://<project-ref>.supabase.co/auth/v1/oauth/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=refresh_token" \
  -d "refresh_token=$REFRESH_TOKEN" \
  -d "client_id=$CLIENT_ID"

Une reconnexion complète reste nécessaire uniquement si :

• — le consentement a été révoqué par le membre ;
• — le client OAuth a été supprimé ou ré-enregistré ;
• — le refresh token a expiré après une longue inactivité ;
• — le client n'a pas demandé le scope offline_access et n'a donc jamais reçu de refresh token.

L'accès aux outils est découpé en scopes applicatifs, attribués selon le niveau GHOST du membre.

Le serveur d'autorisation n'émet que des scopes d'identité : il ne peut pas signer un scope métier. Ces scopes sont donc résolus côté serveur, à chaque appel d'outil, à partir du niveau attribué en base. C'est plus strict qu'un scope porté par le jeton — un client ne peut pas demander un scope qu'il n'a pas, et retirer un niveau prend effet immédiatement, sans attendre l'expiration du jeton.

Un appel hors scope échoue proprement, sans divulguer le contenu :

{
  "content": [{
    "type": "text",
    "text": "Accès refusé : le scope "module:vip" requiert le niveau VIP. Votre niveau actuel est Access."
  }],
  "isError": true
}

• — list_academy_tracks renvoie required_scope et unlocked par module : le client filtre avant d'appeler.
• — get_my_access renvoie le niveau, les scopes courants et la table complète des niveaux.
• — Les niveaux VIP et Elite sont attribués manuellement après revue ; aucun outil MCP ne peut élever le niveau d'un membre.