認証とトークン

Melso の日常的な利用で主に扱う認証情報は 2 種類です: ブラウザのサインインセッションと個人アクセストークンです。ブラウザセッションは Web と Desktop で使われ、個人アクセストークンは CLI、デーモン、スクリプト、API で使われます。

ブラウザのサインインセッション

メールの確認コードまたは Google でサインインすると、Melso は multica_auth という名前の HttpOnly cookie に JWT を保存します。ブラウザが自動的に送信し、JavaScript から直接読み取ることはできません。

セッションはデフォルトで 30 日間有効です。セルフホストの管理者は、AUTH_TOKEN_TTL で以後発行されるセッションの有効期間を調整できます。サインインとサインアップを参照してください。サインアウトすると、現在のブラウザの認証 cookie と CSRF cookie が削除されます。

ブラウザの cookie をスクリプトや CLI にコピーするのは適切ではありません。ターミナルから Melso にアクセスするには個人アクセストークンを使います。

個人アクセストークン

新しく作成される個人アクセストークン（PAT）は mel_ で始まり、あなたのアカウントを表します。mul_ で始まる従来の PAT も引き続き有効です。あなたがアクセスできるすべてのワークスペースと API にアクセスできるため、パスワードと同じように保管してください。

設定 → API Token でトークンを作成するときは、名前を入力し、有効期限を 30 日、90 日、1 年、無期限から選びます。デフォルトでは 90 日が選択されています。完全なトークンは一度だけ表示されます。ウィンドウを閉じた後、Melso が保持するのは次の情報だけです:

• トークンのハッシュ値
• 識別用の先頭数文字
• 名前、作成日時、有効期限、最終使用日時

完全な値は復元できません。紛失した場合は、古いトークンを失効させて新しく作成してください。

CLI と PAT

melso login を実行すると、CLI はブラウザ経由でサインインを完了し、有効期間 90 日の PAT を作成して、現在のプロファイルの設定ファイルに保存します:

~/.multica/config.json
~/.multica/profiles/<name>/config.json

デーモンは同じ PAT で Melso に接続します。有効期限付きの mel_ PAT は、残りが 7 日を切ると自動的に更新され、その時点から 90 日後まで延長されます。従来の mul_ PAT も同じ更新ルールに従います。更新に失敗してもトークン自体は変わりません。トークンがすでに期限切れまたは失効している場合は、melso login をもう一度実行してください。

ブラウザのない環境では、先に Web で PAT を作成しておき、CLI に安全に入力を促させます:

melso login --token

API リクエストで PAT を使う

PAT を Authorization ヘッダーに入れます:

export MULTICA_TOKEN='mel_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'

curl https://melso.ai/api/me \
  -H "Authorization: Bearer $MULTICA_TOKEN"

ワークスペースレベルの API を呼び出すときは、エンドポイントの要求に応じてワークスペースも指定します:

curl https://melso.ai/api/issues \
  -H "Authorization: Bearer $MULTICA_TOKEN" \
  -H "X-Workspace-ID: $MULTICA_WORKSPACE_ID"

スクリプト内のトークンは secret manager か保護された環境変数から取得し、ハードコードしないでください。セルフホストインスタンスでは、ドメインを自分の公開 API アドレスに置き換えます。

サインアウトと失効

melso auth logout は、現在の CLI プロファイルに保存された PAT を削除するだけです。Web のサインアウトも、現在のブラウザの cookie を削除するだけです。どちらもサーバー上の個人アクセストークンを失効させません。

トークンが漏洩した可能性がある場合は、設定 → API Token ですぐに失効させてください。失効した PAT は二度と使えなくなり、それを保存していた他のマシンやスクリプトもアクセスを失います。

エージェント実行用の一時トークン

デーモンがタスクを受領すると、サーバーはその実行のために mat_ で始まる一時トークンを作成します。トークンは現在のユーザー、ワークスペース、エージェント、タスクに紐付き、最長 24 時間有効で、タスクの終了時にクリーンアップされます。

デーモンは、ユーザーの PAT をエージェントに渡す代わりに、この一時トークンを AI コーディングツールに注入します。そのため、エージェントが送るリクエストはエージェントの操作として記録され、このトークンでユーザーや owner だけに許可された機密操作を呼び出すこともできません。

この種のトークンはサーバーが自動的に作成するため、ユーザーが保存・管理する必要はありません。

その他のマシン認証情報

サーバーは、内部またはマネージドなシナリオで使われる 2 種類の認証情報も認識します:

通常の Cloud、セルフホスト、Desktop のインストールでは、これらを手動で作成する必要はありません。ユーザー側の CLI とデーモンは mel_ PAT を使います。従来の mul_ PAT も引き続き使えます。他のプレフィックスのトークンを自分で組み立てないでください。

次のステップ

• CLI を使う — login、auth status、プロファイルの設定。
• デーモンとランタイム — PAT の更新が行われる場所。
• サインインとサインアップ — セッション有効期間とサインアップ制限のサーバー側設定。