OAuth 2.1

O claude.ai, o Claude Desktop e o ChatGPT não têm onde colar um token: eles se conectam por OAuth 2.1. A pessoa autoriza a conexão numa tela da TAI e o cliente recebe tokens próprios, que ela pode desconectar a qualquer momento.

Nota

Como o token pessoal, o access token OAuth vale somente para o servidor MCP. Ele é assinado com uma chave diferente da do login e é recusado pelas rotas da API REST.

Visão geral do fluxo

1. O cliente descobre o servidor de autorização pelos metadados.
2. Abre /oauth/authorize no navegador, com PKCE.
3. A pessoa faz login na TAI (se ainda não estiver logada) e vê a tela de consentimento: qual aplicativo pede acesso e com quais escopos.
4. Ao autorizar, o navegador volta para o redirect_uri do cliente com um code.
5. O cliente troca o code por access_token e refresh_token em /oauth/token.

Descoberta

Documento	Endereço
Recurso protegido (RFC 9728)	https://api.taitecnologia.com/.well-known/oauth-protected-resource/mcp
Servidor de autorização (RFC 8414)	https://api.taitecnologia.com/.well-known/oauth-authorization-server

Uma chamada sem credencial a /mcp responde 401 com o cabeçalho WWW-Authenticate apontando para os metadados do recurso.

Características

Item	Valor
Tipo de cliente	Público, sem client_secret
PKCE	Obrigatório (S256)
Código de autorização	Uso único, 120 segundos
Access token	1 hora
Refresh token	30 dias, com rotação a cada uso
Escopos	mcp:read, mcp:write
iss na resposta de autorização	Sim (RFC 9207)
Revogação	POST /oauth/revoke

Rotação com detecção de reuso. Cada renovação devolve um refresh token novo e invalida o anterior. Se um refresh token já usado for apresentado de novo, a TAI trata como vazamento e revoga toda a cadeia de tokens daquela conexão.

Redirecionamento. O redirect_uri precisa casar exatamente com um dos cadastrados no cliente. Endereços de loopback (http://127.0.0.1, http://localhost) aceitam qualquer porta. Um client_id ou redirect_uri inválido responde 400 na própria tela, sem redirecionar.

Clientes disponíveis

Os clientes OAuth são cadastrados pela TAI — não há registro dinâmico.

client_id	Aplicativo	Escopos
claude-web	claude.ai e Claude Desktop	mcp:read, mcp:write
claude-code	Claude Code (alternativa ao token pessoal)	mcp:read
chatgpt	App da TAI no ChatGPT	mcp:read, mcp:write

Quando o pedido de autorização não informa scope, a conexão recebe todos os escopos do cliente — e a tela de consentimento mostra exatamente o que está sendo concedido.

Para conectar outro aplicativo por OAuth, fale com o suporte informando o nome do aplicativo e os redirect_uri dele. Para agentes próprios, o token pessoal costuma ser o caminho mais simples.

Aplicativos conectados

As conexões autorizadas aparecem na aba Agentes de IA do perfil (Perfil → Meu Perfil), em Aplicativos conectados. Desconectar encerra o acesso na hora — o access token é conferido a cada chamada, então ele para de funcionar mesmo antes de vencer.

Uma conexão autorizada só para leitura não ganha escrita sozinha: para isso, é preciso desconectar e autorizar de novo, e a tela de consentimento passa a mostrar a escrita.