Додатки OAuth і MCP в акаунті

У розділі Застосунки OAuth і MCP містяться налаштування підключення зовнішніх застосунків до акаунта Planfix.

Відкрийте Керування акаунтом → API → Застосунки OAuth і MCP. Цей розділ доступний адміністраторам акаунта й технічним адміністраторам.

Розділ містить три області:

Застосунки MCP — адреса сервера MCP і короткі інструкції з підключення;
Застосунки цього акаунта — OAuth-застосунки, створені спеціально для поточного акаунта;
Сторонні застосунки — загальна політика та застосунки, явно схвалені в акаунті.

MCP

У цій області відображається URL-адреса Planfix MCP:

https://mcp.planfix.com/mcp

Зазвичай користувачеві достатньо додати цю URL-адресу до сумісного клієнта MCP і пройти автентифікацію OAuth. Назву акаунта вибирають на сторінці Planfix; її не включено до URL-адреси. Покрокові інструкції див. у MCP.

Застосунки цього акаунта

Створіть застосунок акаунта, якщо інтеграція призначена лише для поточного акаунта, а зовнішньому клієнту потрібен попередньо визначений client_id.

Застосунок акаунта:

не може підключатися до інших акаунтів;
доступний у своєму акаунті незалежно від політики щодо сторонніх застосунків;
використовує глобальні кінцеві точки OAuth;
може працювати з REST API або MCP у межах вибраних областей доступу.

Створення застосунку

Виберіть Створити застосунок.
Укажіть зрозумілу назву й опис.
Виберіть тип клієнта OAuth.
Додайте URI перенаправлення клієнта.
Виберіть мінімально необхідні рівні доступу.
Збережіть застосунок і скопіюйте згенеровані облікові дані.

Тип клієнта	Коли використовувати
Публічний	Мобільний, настільний або браузерний застосунок чи локальний клієнт MCP. Секрет не видається; потік авторизації захищає PKCE.
Конфіденційний	Серверний застосунок, який може безпечно зберігати секрет клієнта. Ніколи не додавайте секрет до клієнтського коду, мобільного застосунку чи файлу конфігурації, що розповсюджується.

Після створення конфіденційного застосунку відображається секрет клієнта. Зберігайте його в захищеному менеджері секретів.

URI перенаправлення та дозволи

Для звичайних вебзастосунків використовуйте https. http дозволено лише для хостів із зворотним зв’язком, таких як localhost і 127.0.0.1.

Вибирайте лише області доступу, потрібні для інтеграції. Області доступу обмежують доступ застосунку, але не розширюють дозволи користувача, який його підключає.

Зміна URI перенаправлення або областей доступу змінює версію схвалення застосунку, а раніше видані токени більше не відповідатимуть застосунку. Користувачам потрібно буде підключитися знову.

Керування застосунком

У картці застосунку можна:

редагувати назву, опис, URI перенаправлення й області доступу;
вимикати та знову вмикати застосунок;
змінювати секрет конфіденційного клієнта.

Після зміни секрету попередній секрет клієнта одразу перестає працювати. Скопіюйте новий секрет і оновіть конфігурацію інтеграції на сервері.

Вимкнення застосунку блокує авторизацію та використання виданих ним токенів. Перш ніж вимкнути його, переконайтеся, що від нього не залежать бізнес-процеси.

Сторонні застосунки

До сторонніх застосунків належать застосунки партнерів, опубліковані застосунки та клієнти MCP, зареєстровані через CIMD або DCR.

Політика щодо сторонніх застосунків

Політика	Результат
Дозволити опубліковані застосунки	Застосунки, опубліковані Planfix, доступні без окремого схвалення. Для приватних застосунків партнерів і автоматично зареєстрованих клієнтів MCP і далі потрібне явне схвалення адміністратора.
Лише схвалені застосунки	Для кожного стороннього застосунку потрібне явне схвалення адміністратора.
Блокувати сторонні застосунки	Сторонні застосунки OAuth і MCP блокуються. Застосунки, що належать акаунту, продовжують працювати.

Для акаунтів, у яких кожну інтеграцію потрібно перевіряти окремо, рекомендовано вибрати Лише схвалені застосунки.

Схвалення застосунку

Запит на схвалення може з’явитися двома способами:

користувач починає підключення OAuth, і Planfix повідомляє, що потрібне схвалення;
партнер надсилає адміністратору пряме посилання на застосунок.

Перш ніж схвалити застосунок, перевірте:

його назву, опис і власника;
URI перенаправлення або хост зворотного виклику;
запитані області доступу;
чи потрібна інтеграція співробітникам.

Схвалення адміністратора поширюється на акаунт, але не підключає автоматично всіх користувачів. Кожен співробітник входить окремо й надає згоду від свого імені. Якщо застосунок підключає адміністратор, кнопка Схвалити й підключити виконує обидві дії.

Якщо розробник змінить URI перенаправлення або області доступу стороннього застосунку, нову версію потрібно буде схвалити.

Відкликання схвалення

Щоб заблокувати застосунок для акаунта, знайдіть його в списку схвалених і відкличте доступ. Пов’язані токени OAuth користувачів цього акаунта буде відкликано.

Якщо вибрано політику Дозволити опубліковані застосунки, відкликання явного схвалення не блокує опублікований застосунок, оскільки загальна політика й надалі дозволяє його. Щоб заблокувати застосунок, виберіть Лише схвалені застосунки або Блокувати сторонні застосунки.

Особисті підключення користувачів

Схвалення акаунта й підключення окремого користувача — це різні рівні контролю.

Співробітник може переглядати й відкликати власні підключення OAuth:

Відкрийте картку користувача.
Перейдіть до розділу Керування сеансами.
Знайдіть застосунок; підключення MCP позначено як MCP.
Видаліть сеанс.

Видалення сеансу відкликає пов’язані токени. Щоб відновити доступ, користувач має знову пройти авторизацію OAuth.