Додатки OAuth і MCP в акаунті

Розділ Застосунки OAuth і MCP містить налаштування підключення зовнішніх застосунків до акаунта Planfix.

Відкрийте Керування акаунтом → API → Застосунки OAuth і MCP. Цей розділ доступний адміністраторам акаунта й технічним адміністраторам.

Він містить три розділи:

MCP — адреса сервера MCP і короткі інструкції з підключення;
Застосунки, що належать цьому акаунту — застосунки OAuth, створені спеціально для поточного акаунта;
Сторонні застосунки — загальна політика та застосунки, явно схвалені в акаунті.

MCP

У цьому розділі відображається URL-адреса Planfix MCP:

https://mcp.planfix.com/mcp

Зазвичай користувачеві достатньо додати цю URL-адресу до сумісного клієнта MCP і пройти автентифікацію OAuth. Назву акаунта вибирають на сторінці Planfix, її не включено в URL-адресу. Покрокові інструкції див. у MCP.

Застосунки, що належать цьому акаунту

Створіть застосунок, що належить акаунту, якщо інтеграція призначена лише для поточного акаунта, а зовнішньому клієнту потрібен попередньо визначений client_id.

Застосунок, що належить акаунту:

не може підключатися до інших акаунтів;
доступний у своєму акаунті незалежно від політики щодо сторонніх застосунків;
використовує глобальні кінцеві точки OAuth;
може працювати з REST API або MCP у межах вибраних областей доступу.

Створення застосунку

Виберіть Створити застосунок.
Укажіть зрозумілу назву й опис.
Виберіть тип клієнта OAuth.
Додайте URI перенаправлення клієнта.
Виберіть мінімально необхідні рівні доступу.
Збережіть застосунок і скопіюйте згенеровані облікові дані.

Тип клієнта	Коли використовувати
Публічний	Мобільний, настільний або браузерний застосунок чи локальний клієнт MCP. Секрет не видається; потік авторизації захищено за допомогою PKCE.
Конфіденційний	Серверний застосунок, який може безпечно зберігати секрет клієнта. Ніколи не включайте секрет у клієнтський код, мобільний застосунок або файл конфігурації, що розповсюджується.

Секрет клієнта відображається після створення конфіденційного застосунку. Зберігайте його в безпечному сховищі секретів.

URI перенаправлення та дозволи

Для звичайних вебзастосунків використовуйте https. http дозволено лише для хостів із зацикленням, наприклад localhost і 127.0.0.1.

Вибирайте лише області доступу, потрібні для інтеграції. Області доступу обмежують доступ застосунку, але не розширюють дозволи користувача, який його підключає.

Зміна URI перенаправлення або областей доступу змінює версію схвалення застосунку, а раніше видані токени перестають їй відповідати. Користувачам потрібно буде підключитися знову.

Керування застосунком

У картці застосунку можна:

редагувати назву, опис, URI перенаправлення й області доступу;
вимикати та знову вмикати застосунок;
змінювати секрет клієнта конфіденційного клієнта.

Після зміни секрету попередній секрет клієнта одразу перестає працювати. Скопіюйте новий секрет і оновіть конфігурацію інтеграції на сервері.

Вимкнення застосунку блокує авторизацію та використання виданих ним токенів. Перш ніж вимикати застосунок, переконайтеся, що від нього не залежать бізнес-процеси.

Сторонні застосунки

До сторонніх застосунків належать застосунки партнерів, опубліковані застосунки та клієнти MCP, зареєстровані через CIMD або DCR.

Політика щодо сторонніх застосунків

Політика	Результат
Дозволити опубліковані застосунки	Застосунки, опубліковані Planfix, доступні без окремого схвалення. Для приватних застосунків партнерів і автоматично зареєстрованих клієнтів MCP, як і раніше, потрібне явне схвалення адміністратора.
Лише схвалені застосунки	Для кожного стороннього застосунку потрібне явне схвалення адміністратора.
Блокувати сторонні застосунки	Сторонні застосунки OAuth і MCP заблоковані. Застосунки, що належать акаунту, продовжують працювати.

Для акаунтів, де потрібно окремо перевіряти кожну інтеграцію, рекомендовано вибрати Лише схвалені застосунки.

Схвалення застосунку

Запит на схвалення може з’явитися двома способами:

користувач починає підключення OAuth, і Planfix повідомляє, що потрібне схвалення;
партнер надсилає адміністратору пряме посилання на застосунок.

Перш ніж схвалити застосунок, перевірте:

його назву, опис і власника;
URI перенаправлення або хост зворотного виклику;
запитані області доступу;
чи потрібна інтеграція співробітникам.

Схвалення адміністратора поширюється на акаунт, але не підключає автоматично всіх користувачів. Кожен співробітник входить окремо й надає згоду від свого імені. Якщо застосунок підключає адміністратор, кнопка Схвалити й підключити виконує обидві дії.

Якщо розробник змінює URI перенаправлення або області доступу стороннього застосунку, нову версію потрібно схвалити.

Відкликання схвалення

Щоб заблокувати застосунок для акаунта, знайдіть його у списку схвалених і відкличте доступ. Пов’язані токени OAuth користувачів цього акаунта буде відкликано.

Якщо вибрано політику Дозволити опубліковані застосунки, відкликання явного схвалення не блокує опублікований застосунок, оскільки загальна політика й надалі його дозволяє. Щоб заблокувати його, виберіть Лише схвалені застосунки або Блокувати сторонні застосунки.

Особисті підключення користувачів

Схвалення для акаунта й підключення окремого користувача — це різні рівні керування.

Співробітник може переглядати й відкликати власні підключення OAuth:

Відкрийте картку користувача.
Перейдіть до розділу Керування сеансами.
Знайдіть застосунок; підключення MCP позначені як MCP.
Видаліть сеанс.

Видалення сеансу відкликає пов’язані токени. Щоб відновити доступ, користувачеві потрібно знову пройти авторизацію OAuth.