どの認証情報を使えばよいですか？
スコープとノートの閲覧範囲はどう違いますか？
note:read や folder:write などのスコープは、実行できる操作を定めます。閲覧できるノートやフォルダは認証情報の種類によって決まります。新しく作成したワークスペースAPIキーは、note:read があっても個人フォルダを閲覧できません。
APIキーのスコープを指定しない場合、スコープによる操作制限はかかりません。認証情報の種類によるアクセス制限は引き続き適用されます。OAuthではユーザーが許可したスコープが必要です。操作ごとのスコープは API認証 と MCPの接続設定 をご覧ください。
システムAPIキーで個人フォルダを閲覧できますか？
新しいワークスペースAPIキーと組織APIキーで閲覧できるのは、全メンバーに共有されたフォルダ内のノートです。個人フォルダ、一部のメンバーだけに共有したフォルダ、直接共有されたノートは対象外です。以前に発行されたシステムキーは範囲が異なる場合があります。個人のノートには、閲覧権限を持つユーザーのOAuthトークンかアカウントAPIキーを使用してください。詳しくは システムAPIキーが読み取れるノート をご覧ください。どの操作にAPIキーが必要ですか？
- 組織管理（メンバー、ワークスペース、セッション）、音声ファイルジョブ、リアルタイム文字起こしにはAPIキーが必要です。
- ユーザーを介さないサーバー間連携にはAPIキーを使用します。Tiroは
client_credentialsグラントやOpenID ConnectのIDプロバイダー機能を提供していません。 - リアルタイム文字起こしのセッション作成には、ワークスペースAPIキーか、ワークスペースに紐づいたアカウントAPIキーが必要です。紐づきのないアカウントキーと組織キーには
403 workspace_bound_key_requiredが返ります。
なぜリアルタイム文字起こしに専用トークンが必要ですか？
サーバーがワークスペースAPIキーか、ワークスペースに紐づいたアカウントAPIキーでセッションを作成すると、応答にwsUrl と streamToken が含まれます。音声クライアントにはセッション専用トークンを渡すことで、APIキーを共有せずにWebSocketに接続できます。トークンが返るのはセッション作成時のみです。詳しくは リアルタイム文字起こしの概要 をご覧ください。
独自のMCPクライアントはどう接続しますか？
https://mcp.tiro.ooo/.well-known/oauth-protected-resource/mcpから認可サーバーhttps://api.tiro.oooを取得します。https://api.tiro.ooo/.well-known/oauth-authorization-serverでエンドポイントと対応方式を確認します。- メタデータの
registration_endpointで動的クライアント登録（RFC 7591）を行い、client_idを取得します。 - Authorization CodeとPKCE
S256でユーザー同意を取得します。resource=https://mcp.tiro.ooo/mcpを指定してください。 - 認可コードをトークンに交換し、MCPリクエストに
Authorization: Bearer <access_token>を付けます。
redirect_uris にはHTTPS、localhost・127.0.0.1・[::1] のHTTP、または cursor スキームが使えます。grant_types には authorization_code が必要です。更新トークンを使う場合は refresh_token も指定します。token_endpoint_auth_method は none、client_secret_basic、client_secret_post に対応します。
登録時に scope を省略すると、委任可能なMCPの全スコープがリクエスト候補になります。接続ごとにユーザーの同意が必要で、トークンには同意したスコープが入ります。MCP用とREST用のトークンは対象リソースが異なります。/v1/external/** にはREST用トークンを使用してください。
APIキーとスコープ
キーの発行場所、必要なスコープ、認証エラーへの対処を確認できます。
OAuthアプリ
メンバーの同意を得て、社内システムからREST APIを呼び出す方法です。