Operação
byescaleira-auth
O byescaleira-auth é o login da byescaleira. O lets-work não tem cadastro nem senha próprios: toda entrada passa por ele.
O que é
O byescaleira-auth é um provedor de identidade. Ele confere quem você é, com passkey, e conta ao lets-work o seu identificador, o seu e-mail, o seu nome e os grupos de que você participa. Para isso ele usa OIDC (OpenID Connect), o padrão aberto de login entre sites, e OAuth, o padrão que deixa um aplicativo agir em seu nome sem ver a sua senha.
O lets-work pede só o necessário: openid, email, profile e groups.
O grupo lets-work
Só entra quem está no grupo lets-work do byescaleira-auth. O lets-work confere o grupo:
- a cada login pelo navegador;
- a cada chamada do MCP, pelo token que o seu Claude manda (a resposta do auth fica guardada por até um minuto).
Quem não está no grupo vê, na tela de entrar, o aviso para pedir acesso a quem administra o auth.
Dar acesso a alguém
- Quem administra o byescaleira-auth põe a conta da pessoa no grupo
lets-work. - O dono da empresa abre Empresa, vai até Convidar, escreve o e-mail da pessoa, escolhe o papel e clica em Criar convite.
- O dono manda o link para a pessoa.
- A pessoa abre o link, entra com Entrar com byescaleira e clica em Aceitar convite. O primeiro login cria a conta dela no lets-work.
Se a pessoa for trabalhar numa empresa nova, ela não precisa de convite: entra e cadastra a empresa no primeiro login. Veja Entrar, empresa e convites.
O link vale por 7 dias e só funciona com o e-mail convidado. Use o mesmo e-mail da conta da pessoa no byescaleira-auth.
Tirar o acesso
- Para tirar a pessoa de uma empresa, o dono abre Empresa e clica em Remover.
- Para tirar a pessoa do lets-work inteiro, quem administra o auth tira a conta dela do grupo
lets-work. O próximo login e as chamadas do MCP passam a ser recusados (o MCP em até um minuto). - Uma sessão já aberta no navegador continua valendo até 7 dias depois do login, e o lets-work não confere o grupo de novo nesse tempo. Para cortar o acesso às empresas na hora, o dono remove a pessoa em Empresa e cancela os convites pendentes para o e-mail dela.
- Se a pessoa for a única dona de uma empresa, a tela não deixa removê-la. Antes, outra pessoa precisa virar dona.
Os clientes
No byescaleira-auth, cada aplicativo que pede login é um cliente. O lets-work usa dois, mais um recurso protegido:
| Cadastro | Para que serve |
|---|---|
| Cliente do site | O login pelo navegador. É um cliente confidencial: tem um segredo que fica só no servidor do lets-work. Usa PKCE e é restrito ao grupo lets-work |
| Cliente do MCP | O login do Claude Code e do Claude.ai. É um cliente público, sem segredo, com PKCE. Aceita a volta para o seu computador (a porta 33418 do comando do Claude Code) e para o Claude.ai. Também é restrito ao grupo |
| Recurso do MCP | O endereço https://letswork.byescaleira.com/mcp, que o cliente do MCP pode acessar em nome da pessoa |
O ID do cliente do MCP aparece no comando da página Claude do lets-work. Veja Conectar o Claude.
PKCE é uma proteção do OAuth que impede alguém de usar um código de login roubado no meio do caminho.
Como o MCP confere o token
Quando o seu Claude chama o MCP, ele manda um token emitido pelo byescaleira-auth. O lets-work aceita o token só quando:
- a assinatura confere com a chave pública do auth;
- o token foi emitido pelo byescaleira-auth;
- o token foi emitido para o recurso do MCP do lets-work, e não para outro serviço;
- o token não venceu;
- a pessoa está no grupo
lets-work; - a pessoa já entrou no lets-work pelo navegador pelo menos uma vez.
No computador de quem desenvolve
Quando o lets-work roda no próprio computador, sem o byescaleira-auth configurado, a tela de entrar mostra Entrar como desenvolvedor. Esse botão só existe no modo de desenvolvimento, no endereço local, e nunca no servidor. Nesse modo, o MCP fica desligado.