Ajanlar için kimlik doğrulama

Atlas by Friendlym hem bir OAuth 2.1 yetkilendirme sunucusu hem de korunan bir kaynaktır. Ajanlar, tek bir kişiye ve tek bir çalışma alanına bağlı, o kişinin onayladığı kapsamlara sahip kısa ömürlü erişim belirteçleri alır.

Keşif

/mcp ya da /api adresine belirteçsiz bir istek WWW-Authenticate: Bearer resource_metadata="…" ile 401 döner; böylece istemci kendisine verilen adresten başlayabilir.

Uç noktalar

İstemci kimliği üst veri belgeleri desteklenir: bir istemci client_id olarak bir https adresi kullanabilir ve Atlas by Friendlym istemcinin adını ve yönlendirme adreslerini o belgeden okur.

PKCE ile yetkilendirme kodu

Claude Code, Codex ve Cursor bunu kendiliğinden yapar.

1. Kaydolun: client_name ve redirect_uris (https, herhangi bir portla http://localhost ya da http://127.0.0.1, veya bir uygulama şeması) ile POST /oauth/register.
2. İnsanın tarayıcısını response_type=code, client_id, redirect_uri, code_challenge (S256), state, ihtiyaç duyduğunuz scope ve resource=https://tilqui-atlas.pages.dev/mcp ile /oauth/authorize adresine gönderin.
3. İnsan giriş yapar ve onay ekranını görür: ajanınızın adı (kendi alan adınızdaki bir istemci kimliği üst veri belgesinden geliyorsa doğrulanmış, değilse kendi bildirdiği ad olarak), çalışma alanı ve istediğiniz her kapsam için bir kutu. Varsayılan olarak yalnızca read işaretlidir; gerisini insan seçer. Onaylar ya da reddeder.
4. Yönlendirme adresiniz code, state ve iss alır. Kodu beş dakika içinde code_verifier ile /oauth/token adresinde belirteçle değiştirin.

Tarayıcısız ajanlar için cihaz akışı

# 1. bir kez kaydolun (yönlendirme adresi gerekmez)
curl -s https://tilqui-atlas.pages.dev/oauth/register -H 'content-type: application/json' \
  -d '{"client_name":"Derleme sunucusu ajanı","grant_types":["urn:ietf:params:oauth:grant-type:device_code","refresh_token"]}'

# 2. bir kod isteyin
curl -s https://tilqui-atlas.pages.dev/oauth/device_authorization -d client_id=CLIENT_ID -d resource=https://tilqui-atlas.pages.dev/mcp
# => {"device_code":"…","user_code":"BCDF-GHJK","verification_uri":"https://tilqui-atlas.pages.dev/device",
#     "verification_uri_complete":"https://tilqui-atlas.pages.dev/device?code=BCDF-GHJK","expires_in":900,"interval":5}

# 3. user_code ve bağlantıyı insanınıza gösterin, sonra her `interval` saniyede bir sorun
curl -s https://tilqui-atlas.pages.dev/oauth/token -d grant_type=urn:ietf:params:oauth:grant-type:device_code \
  -d device_code=DEVICE_CODE -d client_id=CLIENT_ID

İnsan karar vermediği sürece belirteç uç noktası authorization_pending yanıtını verir; aralıktan sık sorarsanız slow_down der. İnsan /device sayfasında onayladığında belirteçleri alırsınız.

Bağlantı yalnızca kod kutusunu doldurur: insan, onay ekranını görmeden önce ajanının bu kodu şu anda gösterdiğini doğrular; onay ekranı isteğin ne kadar önce ve hangi ülkeden geldiğini gösterir. Tanınmış bir ajanın adıyla (Claude, Codex, Cursor, ChatGPT gibi) kaydolmuş bir istemci cihaz akışını kullanamaz; kendi adınızla kaydolun.

Belirteçler

• Erişim belirteçleri ato_ ile başlar ve bir saat geçerlidir. Authorization: Bearer … olarak gönderin.
• Yenileme belirteçleri atr_ ile başlar, 30 gün geçerlidir ve döner: her yenileme yenisini verir, eskisi çalışmaz. Kullanılmış bir yenileme belirtecini yeniden sunmak bütün izni iptal eder; böylece çalınan bir belirteç sessizce yeniden kullanılamaz.
• Her belirteç onu onaylayan kişiye ve onun çalışma alanına bağlıdır ve onaydan (varsayılan 90 gün) uzun yaşamaz.
• Her belirtecin kendi kapsamları ve hedef kaynakları vardır (RFC 8707). resource=https://tilqui-atlas.pages.dev/mcp, https://tilqui-atlas.pages.dev/api ya da ikisini gönderin; birine verilen belirteç diğerinde çalışmaz. Yenileme kapsamları ya da kaynakları daraltabilir, asla genişletemez.
• Kişi ajanı istediği zaman Ajan bağla sayfasından kaldırabilir; belirteçleri anında çalışmayı bırakır.

Kapsamlar

scope=… ile yalnızca ihtiyacınız olanı isteyin; vermezseniz hepsi sunulur ve kişi aralarından seçer (onay ekranında varsayılan olarak yalnızca read işaretlidir).

Eşleştirme belirteçleri

OAuth'tan önce ajanlar Ajan bağla sayfasındaki bir eşleştirme satırıyla bağlanıyordu (atl_ belirteçleri). Bunlar çalışmaya devam eder ve Ajan bağla sayfasında OAuth ajanlarının yanında görünür.