Distribuer votre serveur MCP à vos utilisateurs

Pour les éditeurs : ouvrir un serveur MCP à vos clients ou à vos collaborateurs, chacun avec son propre compte. Guide compagnon : Connecter un client MCP.

Choisir qui peut se connecter

Onglet Accès du serveur.

Audience	Qui passe	Quand la choisir
Membres (défaut)	Les membres de votre espace Apigent	Usage interne, tests
Comptes	Toute personne ayant un compte chez vous (créé par email, ou via votre fournisseur d'identité)	Un service ouvert à vos clients
Invités	Les adresses email que vous listez, une fois vérifiées	Un cercle restreint : partenaires, bêta-testeurs

Vos utilisateurs ont un compte chez vous (page de connexion à votre nom) : ils n'ont aucun accès à l'application Apigent.

Garde-fou : si une application du serveur utilise une connexion partagée (clé d'API, compte technique), tous les utilisateurs verront les mêmes données. Pour que chacun ne voie que les siennes, donnez-lui une connexion par utilisateur (ci-dessous). Apigent demande une confirmation avant d'ouvrir un serveur dans ce cas.

Comment vos utilisateurs se connectent

Réglages du workspace → Connexion de vos utilisateurs.

• Par email (défaut) : compte créé sur votre page de connexion, avec vérification de l'adresse.
• Avec leur compte chez vous : déclarez votre fournisseur d'identité, OpenID Connect (découverte automatique), OAuth2 générique (Apigent fait le pont), ou Google, Microsoft, GitHub. Vous pouvez en déclarer plusieurs.
• Redirection automatique : fermez l'inscription par email en ne gardant qu'un fournisseur prêt, et la page de connexion redirige directement chez lui : un seul écran, le vôtre.

Chez le fournisseur, déclarez l'URL de redirection affichée par Apigent (https://auth.apigent.fr/realms/<espace>/broker/<alias>/endpoint).

Appeler votre API au nom de l'utilisateur

Page Connexions.

Type de connexion	Ce que reçoit votre API	Ce que fait l'utilisateur
Identité de l'éditeur	Le jeton obtenu au login chez votre fournisseur	Rien : un seul login, celui de votre fournisseur
OAuth2 par utilisateur	Un jeton OAuth2 de votre API, obtenu par autorisation	Autorise une fois, dans le navigateur
Identifiants → jeton par utilisateur	Le jeton rendu par votre endpoint de login	Se connecte une fois, dans le navigateur (mot de passe jamais dans le client MCP)
Connexion partagée (clé, jeton, compte technique)	Toujours le même identifiant	Rien, mais tout le monde voit la même chose

Les jetons sont chiffrés, renouvelés par Apigent quand c'est possible, et l'utilisateur peut les retirer sur https://apigent.fr/autoriser.

Les opérations déclarées publiques dans votre spécification restent appelables sans compte connecté (le catalogue avant la connexion, par exemple).

Donner le serveur à vos utilisateurs

• Page publique https://apigent.fr/s/<identifiant> (lien dans l'onglet Accès) : nom du serveur, qui peut s'y connecter, adresse et configuration des clients, sans rien révéler des outils. C'est l'adresse à envoyer.
• Première utilisation : le client ouvre le navigateur sur votre page de connexion ; l'utilisateur se connecte (ou crée son compte), accepte l'accès, et revient dans son client.
• Premier outil qui appelle votre API à son nom : avec un client qui sait ouvrir un lien (Claude Desktop, clients récents), l'invite de connexion s'affiche dans la conversation et l'appel reprend tout seul ; sinon, l'outil renvoie le lien à ouvrir.

Suivre et entretenir

• Journal d'appels : chaque appel avec l'identité de l'utilisateur ; les refus d'accès (audience, jeton refusé) y figurent aussi, une ligne par minute et par motif.
• Limite d'appels : réglage par serveur, appliqué par utilisateur ou par token, plafond global par serveur.
• Clients enregistrés (Claude, Cursor… sur chaque poste) : supprimés automatiquement après 90 jours sans usage.
• Déconnexion : un utilisateur se déconnecte sur https://apigent.fr/autoriser.

Vérifier avant d'ouvrir

1. Créez-vous un compte de test chez vous (ou par email), ajoutez le serveur dans Claude Desktop à partir de la page publique.
2. Appelez un outil public (sans compte) puis un outil à votre nom : l'invite de connexion doit s'afficher.
3. Regardez le journal : l'appel porte le nom de l'utilisateur, jamais un jeton.