Autenticazione dell’API di Fluos

Fluos ha due modalità di autenticazione: le sessioni del browser per il prodotto e OAuth per l’API video a pagamento, la CLI e il MCP.

Sessioni del prodotto

Fluos non salva mai una password. Gli utenti accedono con Google, Apple o un codice monouso inviato via e-mail. Vedi Per iniziare.

Le route autenticate del prodotto (/dashboard e la maggior parte degli handler /api/*) si aspettano un cookie di sessione dal browser con cui hai effettuato l’accesso. Le chiamate non autenticate ricevono:

{ "error": "Unauthorized", "code": "unauthorized" }

API video a pagamento e MCP (OAuth)

Gli agenti di coding si collegano a /api/v1/mcp/app e alla famiglia /api/v1/videos con un token di accesso OAuth di tipo Bearer. Discovery:

• /.well-known/oauth-protected-resource/mcp
• /.well-known/oauth-authorization-server

Scope: profile, email. Gli host MCP scoprono l’accesso da questi documenti e registrano il proprio client OAuth: non serve alcun ID client. Gli host che non possono registrarsi possono usare l’ID client pubblico di Fluos, vZg47Po1X1v3rHtU (senza secret). Le chiamate non autenticate restituiscono 401 insieme a WWW-Authenticate. I piani Gratuiti ricevono 402 / PLAN_REQUIRED.

La CLI legge lo stesso token da FLUOS_API_TOKEN dopo npx fluos login.

Le route video autenticano dentro l’handler, così i client OAuth possono completare la discovery senza una sessione del browser.

Endpoint pubblici

Questi non richiedono una sessione:

• /openapi.json, /api/v1/openapi.json, /llms.txt, /llms-full.txt, /ai.txt
• /sitemap.xml, /robots.txt, /feed.xml
• /docs, /docs/developers, /cli, /mcp, pagine di marketing
• GET /api/v1/search e GET /api/search
• GET/POST /api/v1/mcp (solo MCP della documentazione)
• Negoziazione dei contenuti sulle pagine pubbliche (Accept: text/markdown o application/json)

Connettori dello spazio di lavoro

Le connessioni a Figma, Notion, Google Drive, Slack e Linear si autorizzano dalla pagina Plugin all’interno di uno spazio di lavoro Fluos, tramite la schermata OAuth di ciascun provider. Il flusso parte dall’utente, dentro il prodotto. Vedi Plugin e connettori.

Il MCP della documentazione pubblico, all’indirizzo /api/v1/mcp, è una superficie di discovery separata e non autenticata. La creazione di video passa dal MCP video a pagamento, all’indirizzo /api/v1/mcp/app. Vedi OAuth e accesso.