Fluxo de Autorização e Conexão

O cliente se identifica por um Client ID Metadata Document (uma URL https como client_id, anunciado por client_id_metadata_document_supported) ou pelo registro dinâmico OAuth, anunciado por registration_endpoint nos metadados do servidor.

A conexão de um cliente MCP utiliza um fluxo de código de autorização OAuth 2.1, com PKCE (S256):

Adicionar Endpoint: Configure seu cliente com a URL do servidor https://www.siglata.com/v1/mcp.
Iniciar OAuth: O cliente abre uma janela do navegador apontando para o endpoint de autorização da Siglata.
Autenticar: Entre com o link mágico recebido por e-mail, caso ainda não esteja autenticado.
Selecionar Organização: Escolha a organização específica que esta conexão poderá acessar. Cada concessão é estritamente vinculada a um único ID de organização.
Aprovar Escopos: Revise os escopos de capacidade solicitados (por exemplo, files:read, files:write, organizations:read) e aprove o acesso.
Entrega do Token: O cliente recebe um token de acesso delimitado exclusivamente à organização escolhida.

Cada aprovação cria uma conexão OAuth nativa independente, mesmo quando o usuário, o cliente e a organização são os mesmos. A conexão fica vinculada ao usuário que aprovou e à organização escolhida, e continua ativa enquanto o agente a usa. Ela vence após 30 dias sem nenhuma chamada MCP; cada chamada renova esse prazo. Sair do navegador não encerra a conexão; trocar a organização ativa não altera seu vínculo. A renovação de tokens sozinha não conta como uso: após o vencimento, uma nova aprovação é necessária. Tokens de acesso vencem antes e são renovados enquanto a conexão estiver ativa.

┌────────────────┐        1. Fluxo OAuth       ┌──────────────────┐
│   Cliente MCP  │ ──────────────────────────> │  Autenticação    │
│ (Codex/Claude) │ <────────────────────────── │  (Siglata Auth)  │
└────────────────┘      2. Token Delimitado    └──────────────────┘
        │
        │ 3. JSON-RPC (POST /v1/mcp)
        ▼
┌─────────────────────────────────────────────────────────────────┐
│                     Servidor MCP Siglata                        │
│  - Verificação de Origem e Validação de Sessão                  │
│  - Checagem Dinâmica de Associação e Políticas de Escopo        │
│  - Isolamento Estrito de Limite Organizacional                  │
└─────────────────────────────────────────────────────────────────┘
        │                                 │
        ▼                                 ▼
┌──────────────────┐              ┌──────────────────┐
│   Arquivos       │              │  Organização     │
│ (Blocos de 8MiB) │              │ (RBAC / Convites)│
└──────────────────┘              └──────────────────┘