Перейти к содержанию
БезопасностьENОткрыть Slicer

Вход в MCP: OAuth и токен

Как MCP-клиент входит в Slicer — OAuth 2.1 с окном согласия, доступы и лимит расходов, сроки токенов, API-токен и детали для разработчиков клиентов.

На этой странице

MCP-сервер принимает два вида входа. OAuth — клиент открывает браузер, вы входите в Slicer и разрешаете доступ; токен клиент получает и обновляет сам. API-токен — вы создаёте токен в профиле и передаёте его клиенту в заголовке Authorization: Bearer slc_…. Оба способа дают одинаковые инструменты в пределах выбранных областей доступа и лимита расходов.

Вход через OAuth

  1. Клиент открывает браузер

    Когда клиент впервые обращается к серверу, сервер отвечает, что нужен вход, и сообщает, где его пройти. Клиент открывает в браузере страницу Slicer. Если вы не вошли в аккаунт, сначала будет вход — тем же способом, что в приложении: email и пароль, Google, Apple или VK ID.

  2. Окно согласия

    Slicer показывает, кто просит доступ и что сможет делать:

    • приложение — имя клиента и адрес, куда вернётся ответ (домен крупно); у клиентов, которые зарегистрировались автоматически, без опубликованного описания, — пометка «Не проверенное приложение»;
    • доступы словами — «Видеть проекты», «Менять проекты», «Запускать монтаж — тратит токены»; если клиент не запросил конкретные области — набор «Монтаж»;
    • лимит расходов в месяц — по умолчанию 200 токенов; можно уменьшить, увеличить или снять;
    • аккаунт — email, под которым будет работать агент, и ссылка «Сменить аккаунт».

  3. Разрешить или отклонить

    «Разрешить» — клиент получает доступ и сразу может вызывать инструменты. «Отклонить» — клиент получит отказ и ничего не сможет сделать.

Проверяйте адрес возврата в окне согласия: если вы подключаете Claude, это claude.ai, если Cursor — его адрес или локальный адрес вашего компьютера. Незнакомое приложение с пометкой «Не проверенное» лучше отклонить.

Окно согласия открывается только в веб-приложении Slicer — MCP-клиент всегда ведёт в браузер, даже если вы работаете в приложении для iPhone, iPad или Mac.

Сроки и обновление

  • Токен доступа живёт 1 час, клиент обновляет его сам — входить заново не нужно.
  • Токен обновления живёт 60 дней и меняется при каждом обновлении. Если кто-то попытается использовать уже заменённый токен обновления или повторно — код авторизации (так бывает при утечке), Slicer отзовёт всё подключение — клиенту придётся войти заново.
  • Если клиентом не пользоваться дольше 60 дней, вход потребуется снова.

Подключённые приложения

Все подключения видны в Профиль → «Для разработчиков» → «Подключённые приложения»: имя клиента, адрес возврата, доступы, лимит и расход за месяц, последнее использование. «Отключить» отзывает доступ сразу. Подключения отключаются и сами — при удалении или блокировке аккаунта.

Вход по API-токену

Подходит клиентам, где заголовок задаётся в настройках: Claude Code (--header), Cursor, VS Code, Codex, Windsurf. Как передать токен в каждом клиенте — на странице Подключение.

  • Области токена ограничивают инструменты: например, без montage:run ассистент не сможет запустить платные ИИ-функции, а без publish — публиковать ролики. Бесплатно монтировать сам он может и без них.
  • Лимит расходов токена работает и для MCP.
  • Для ассистента лучше выпустить отдельный токен — так его легко отозвать, не трогая другие интеграции.
Инструменты Нужная область
get_accountaccount:read
list_projects, get_project, get_upload, get_transcript, get_transcribe_jobsprojects:read
create_project (проект «Сам в редакторе»), create_upload_link, import_from_url, choose_version, cancel_project, rename_project, delete_project, edit_project, auto_color, set_style, export_videoprojects:write
create_project с mode: "ai" (ИИ-монтаж), remount_project, retry_project, transcribe_speech, ask_assistant, translate_captionsmontage:run
list_social_accounts, публикация в export_videopublish
list_styles, estimate_cost, search_docs, read_docлюбая

Бесплатному проекту «Сам в редакторе» хватает projects:write; montage:run нужен только ИИ-монтажу и другим платным ИИ-функциям, и даже с ним ничего не списывается без подтверждённой цены (Безопасность и расходы).

Для разработчиков клиентов

Сервер авторизации Slicer следует спецификации авторизации MCP (OAuth 2.1). Клиенту достаточно адреса MCP-сервера — остальное находится автоматически:

Шаг Что происходит
Обнаружениезапрос без токена → 401 с WWW-Authenticate: Bearer resource_metadata="https://api.slicer.media/.well-known/oauth-protected-resource/mcp"
Метаданные ресурса (RFC 9728)/.well-known/oauth-protected-resource/mcp — ресурс, сервер авторизации, области
Метаданные сервера (RFC 8414)/.well-known/oauth-authorization-server — адреса авторизации, токенов, регистрации и отзыва
Регистрация клиентаClient ID Metadata Documents (client_id — https-адрес JSON-описания клиента) или Dynamic Client Registration (POST /oauth/register, RFC 7591); только публичные клиенты, token_endpoint_auth_method: none
АвторизацияGET /oauth/authorize: PKCE S256 обязателен, resource (RFC 8707) — адрес MCP-сервера, state; ответ — code, state и iss (RFC 9207)
ТокеныPOST /oauth/token (тело — форма или JSON): authorization_code с code_verifier и refresh_token с ротацией
ОтзывPOST /oauth/revoke (RFC 7009)
  • Адреса возврата: https, http://127.0.0.1 или http://localhost с любым портом (RFC 8252) или собственная схема приложения. Схемы javascript:, data: и file: запрещены.
  • Клиенты с Client ID Metadata Document считаются проверенными; зарегистрированные динамически показываются в окне согласия как непроверенные.
  • Код авторизации одноразовый и живёт 10 минут.
  • Токен доступа (slc_oat_…) действует и для REST API /v1 с теми же областями.
  • Неверный или отозванный токен — 401 с WWW-Authenticate: Bearer resource_metadata="…", error="invalid_token". Запрос из браузера с недоверенного Origin — 403.
  • Ошибки инструментов приходят результатом с isError: true и текстом код: сообщение — например, вызов без нужной области: insufficient_scope: ….

Что дальше

Безопасность и расходыПодтверждение цены и лимит подключения.Токены и области доступаКак создать API-токен.БезопасностьКак защищены вход, токены и данные.