Skip to main content
POST
パブリッククライアントの S256 認可コード、または現在のリフレッシュトークンを使用して、有効期間の短い MCP アクセストークンを取得します。

​
認証

HTTPクライアント認証は行いません。URLエンコードされた本文に client_id を送信してください。Authorization ヘッダー、client_secret、client_assertion はすべて拒否します。

​
リクエストボディ

​
リクエスト例

このルートに記載されたエンコード方式と認証方法に従ってください。アクション API のエンベロープと冪等性のルールは、アクションの呼び出しにのみ適用されます。

​
レスポンス

不透明な Bearer アクセストークン、その残りの有効期間（秒）、付与されたスコープ、およびクライアントが refresh_token を登録している場合はリフレッシュトークン。expires_in は最大 900 で、認可の期限が近い場合は短くなることがあります。
HTTP 200

​
レスポンスヘッダー

​
操作の注意事項

  • 認識されるスカラーパラメーターは、ASCII 制御文字や DEL を含まない空でない文字列として、1回だけ指定する必要があります。重複するクエリ／フォームフィールドは配列にデコードされ、スカラーとして読み取る際に拒否されます。
  • 各フィールドに curl —data-urlencode を使うなど、URL エンコードされたフォームデータを使用してください。トークン本文が JSON の場合、invalid_request で拒否されます。
  • どちらの認可方式でも resource オーディエンスが必須です。コードまたはリフレッシュトークンを発行した環境の MCP URL と完全に一致する必要があります。
  • 認可コードの交換には、元の client_id、完全一致する redirect_uri、対応する S256 code_verifier が必要です。コードの有効期間は2分で、1回限り使用できます。
  • トークンエンドポイントは、Basic と Bearer を含むすべての Authorization ヘッダー、および本文の client_secret または client_assertion フィールドを拒否します。
  • アクセストークンの有効期間は最大15分です。refresh_token を登録している場合、接続とリフレッシュトークンファミリーは、ユーザーの承認から30日後に失効します。ローテーションによって期限は延長されません。
  • refresh_token が返されるかどうかは、登録されたグラントタイプによって決まります。認可リクエストに offline_access を含めるかどうかには依存しません。リフレッシュトークンが返される場合、返却される scope に必ず offline_access が追加されます。
  • 更新するには、grant_type=refresh_token に client_id、現在の refresh_token、resource、任意で権限を絞った scope を添えて送信してください。保存済みリフレッシュトークンは、新しい値にアトミックに置き換えてください。
  • 使用済み認可コードまたはローテーション済みリフレッシュトークンを再利用すると、そのすべてのアクセストークンを含めて接続全体が失効します。同じコードやリフレッシュトークンを同時に交換しないでください。
  • 更新リクエストで権限が追加されることはありません。scope を明示した場合、要求した製品権限と ID 権限のみが保持されます。offline_access は省略した製品権限を保持しません。
  • トークンは、権限を付与したユーザー、クライアント、リソースオーディエンス、現在のチーム所有権、有効な有料アクセスに紐付けられます。権限付与の失効や所有権の変更があった場合は、再接続が必要です。
  • 公開トークンエンドポイントの上限は、クライアント IP ごとに毎分 60 リクエストで、ワーカー間で共有されます。URL エンコードされた本文は 32 KiB 以内です。
  • OAuth の失敗時は error と error_description が返されます。本文の解析エラーは、それより前に連携パーサーのエラー形式で返される場合があります。
  • openid と email は製品権限とは別の ID 権限であり、公開されている場合のみ受け付けられます。email には openid が必要です。初回の認可で ID スコープのみを指定すると、同意画面に表示される既定の製品権限が使われます。
  • 動的登録で返された client_id、またはクライアントメタデータドキュメントの正確な公開 HTTPS URL。
  • openid が付与されると、認可コードの交換で RS256 署名付きの id_token も返されます。署名、発行者、対象、有効期限、指定した場合は nonce を検証してください。付与された ID スコープはトークン応答の scope に含まれます。更新応答では新しい id_token は発行されません。
  • OpenID Connect が利用できなくなった場合、scope を指定せずに更新すると、製品権限は保持され、ID 権限は削除されます。利用できない ID スコープを明示的に要求すると invalid_scope が返されます。
  • アカウントが削除または無効化されている場合、トークンエンドポイントは HTTP 400 で invalid_grant を返します。

​
エラー