Skip to main content
Das Merchant MCP authentifiziert sich mit OAuth 2.1. Jeder Tool-Aufruf ist auf das Konto beschränkt, zu dem das Token aufgelöst wird; nichts in den Argumenten eines Tools kann das ändern. Eine unauthentifizierte Anfrage erhält 401 mit einem WWW-Authenticate-Header (unten).

​
OAuth

Der Endpoint ist eine OAuth-2.1-geschützte Ressource. Der Authorization Server wird von Scalekit gehostet, mit dem Login selbst an das storekit-Dashboard delegiert, sodass ein Benutzer sich mit seinen normalen storekit-Zugangsdaten anmeldet.
1

Discovery

Ein unauthentifiziertes POST /mcp gibt zurück:
Ein GET auf diese URL liefert die Protected-Resource-Metadaten:
Die eigenen Metadaten des Authorization Servers liegen wie üblich unter seinem /.well-known/oauth-authorization-server-Pfad. Clients registrieren sich selbst dort; es gibt keine Client-ID oder Secret zum Konfigurieren. Clients, die die MCP-Authorization-Spezifikation unterstützen (Claude, ChatGPT, Cursor, VS Code, Claude Code), tun all das ohne Konfiguration.
2

Anmeldung

Der Authorization Server leitet den Benutzer auf das storekit-Dashboard weiter, das Connecting your MCP client, please wait… anzeigt, während es die Anmeldeanfrage mit der storekit-API bestätigt, und dann zurück zum Client weiterleitet. Ein Benutzer, der nicht am Dashboard angemeldet ist, meldet sich zuerst an. Wenn der Benutzer zu mehreren Konten gehört, wird das Token auf sein erstes Konto aufgelöst; es gibt keinen Konto-Wähler.
3

Aufrufe

Senden Sie das Access-Token als Authorization: Bearer. Der sub des Tokens ist der storekit-Benutzer; sein scope-Claim wird der Anfrage als scopes angefügt (Default: read). Aktualisieren Sie das Token, wie es Ihre OAuth-Bibliothek vorgibt; ein abgelaufenes Token erhält ein 401, und der Client führt die Discovery erneut aus.
Dashboard-Benutzerrollen und filialbezogener Zugriff gelten nicht für MCP. Ein Token für einen Benutzer, der im Dashboard nur eine Filiale sehen kann, liest jede Filiale des Kontos und kann die beiden Write-Tools aufrufen. Wählen Sie entsprechend aus, wer sich verbindet — siehe Berechtigungen & Datenschutz.

​
Den Endpoint prüfen

Ein unauthentifizierter Aufruf reicht, um zu bestätigen, dass der Server erreichbar ist, und um den Discovery-Header zu sehen, dem ein Client folgt:
Erwarten Sie 401 Unauthorized mit dem oben gezeigten WWW-Authenticate-Header. Fragen zum Zugang oder zur Beta: mcp@storekit.com.

​
Origin- und Host-Prüfungen

Anfragen, die einen Origin-Header tragen, werden gegen die Allow-List von Browser-Origins bei storekit geprüft, sofern eine konfiguriert ist, und mit 403 vor der Authentifizierung abgelehnt, wenn sie nicht übereinstimmen. Anfragen ohne Origin-Header — jeder Desktop-Client, CLI und Server — gehen direkt zur Authentifizierung. Der Host-Header muss dem öffentlichen Hostnamen entsprechen.

​
Rate-Limit

60 Anfragen pro rollierender Minute, geschlüsselt pro Benutzer (vor der Authentifizierung nach IP). Ein Überschreiten gibt HTTP 429 mit einem Retry-After-Header zurück, außerhalb des MCP-Envelopes.