認証 / scope

Nyask MCP の認証（PAT と OAuth 2.1 DCR）、scope（read / write / admin）、破壊的操作の確認モデル、profile と scope の違い、トークンの失効までをまとめます。

2 つの認証方法

Nyask MCP は 2 種類のトークンを受け付けます。どちらも Authorization: Bearer で /mcp に渡します。

• PAT（個人アクセストークン）— portal で自分が発行する固定トークン。手元のツールやスクリプトから接続するときに使います。
• OAuth — 対応クライアントが自動で取得・更新するトークン。Claude Desktop / ChatGPT などで使います。

PAT（個人アクセストークン）

portal の「設定 → 外部連携」で発行します。トークンは nyask_pat_ で始まり、発行ダイアログでしか全体を表示しません。

1. 「設定」→「外部連携」→「新しいトークンを発行」
2. 名前と scope（read / write）を選んで発行
3. 表示された nyask_pat_… をその場でコピー（再表示不可）
4. 紛失したら失効させて新しく発行する

OAuth（クライアントが自動で接続）

対応 MCP クライアントなら、接続からサインインまで自動です。あなたがやることは、表示される画面で「許可」を押すだけ。クライアントは内部で次の流れを実行します。

1. 接続先の発見 — 接続先と認証サーバーの場所を自動で見つけます。
2. クライアント登録 — クライアントが自分自身を自動で登録します（パスワード不要）。
3. 許可 — portal の同意画面が開くので、あなたが「許可」を押します。
4. トークンの取得 — 「許可」と引き換えに、接続用のトークンを受け取ります。
5. 自動更新 — 期限が切れる前にトークンを取り直します（古いトークンはすぐ無効化）。
6. 失効 — 不要になったトークンを無効化します。

scope

scope はトークンが呼び出せるツールの範囲（認可の境界）です。PAT は発行時に、OAuth は同意時に scope が決まります。

破壊的操作の確認

削除のように取り消せない操作（破壊的操作）には印が付き、MCP クライアント側で実行前に必ず確認が出る想定です。各ツールの印は

profile と scope の違い

混同しやすいので整理します。

• profile（見せる範囲）— クライアントに表示するツールの絞り込み。誤操作を減らすための、表示上の絞り込みです。
• scope（許す範囲）— トークンが実際に呼び出せるツール。セキュリティの境界はこちらです。

失効

PAT は portal の「外部連携」から、1 つずつ、または「全 PAT を失効」でまとめて失効できます。OAuth のトークンは、クライアントからサインアウトするか失効エンドポイントで無効化されます。

curl -X POST https://api-nyask.vemi.jp/api/me/mcp-tokens/revoke-all \
  -H "Authorization: Bearer <portal_token>"

次に

• 接続ガイド — クライアント別の接続手順
• MCP カタログ — 呼び出せる全ツールの一覧