Salta l'installazione. Attivo in meno di 2 minuti.
Avvia una prova gratuita su cloud.anythingmcp.com, aggiungi WorkOS con un clic, poi punta il tuo client AI (Claude, ChatGPT, Copilot o Cursor) all'endpoint MCP generato. Niente Docker, niente git clone, nessuna esperienza di sviluppo richiesta.
In breve
L'API di WorkOS per l'identità B2B in un ambiente: organizzazioni e i loro domini, utenti AuthKit, membership, inviti e sessioni, connessioni SSO, directory, utenti e gruppi di Directory Sync, esportazioni degli Audit Logs, l'event stream e ruoli e permessi RBAC. Crea e aggiorna organizzazioni, utenti, membership e inviti; eliminazioni e revoche sono disattivate all'installazione.
Prova a chiedere
Prompt di esempio per WorkOS
Clicca su un prompt per copiarlo. Incollalo in Claude, ChatGPT, Cursor, Gemini, Copilot o OpenClaw per eseguirlo contro questo connettore.
Claude è un'AI e può sbagliare. Verifica sempre le risposte.
💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → WorkOS, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente
git clone, niente server locale.
WorkOS + ChatGPT
L'API di WorkOS per l'identità B2B in un ambiente: organizzazioni e i loro domini, utenti AuthKit, membership, inviti e sessioni, connessioni SSO, directory, utenti e gruppi di Directory Sync, esportazioni degli Audit Logs, l'event stream e ruoli e permessi RBAC. Crea e aggiorna organizzazioni, utenti, membership e inviti; eliminazioni e revoche sono disattivate all'installazione.
Prerequisiti
Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:
WORKOS_API_KEY
Step 1 — Ottieni le credenziali
La configurazione richiede circa 2 minuti.
- Apri https://dashboard.workos.com, scegli l'ambiente (Sandbox o Production) nella barra in alto e apri API Keys.
- Crea una secret key (
sk_..., mostrata una sola volta) e incollala inWORKOS_API_KEY, senza spazi e senza il prefissoBearer. - Installa il connettore ed esegui
workos_list_organizations: elenca le organizzazioni dell'ambiente e conferma la chiave.
Una chiave appartiene a un solo ambiente e ha pieno accesso alla sua API: le chiavi WorkOS non hanno scope. Inizia con una chiave Sandbox e usa una chiave Production solo quando l'AI deve lavorare su dati reali.
Dati personali e sensibili: la chiave raggiunge i dati di identità di ogni organizzazione dell'ambiente, e l'AI legge tutto ciò che uno strumento restituisce: nomi e indirizzi email, identità di accesso, indirizzi IP e user agent delle sessioni, utenti di directory con qualifica, metadati e id cliente Stripe delle organizzazioni, e il contenuto degli audit log. workos_get_directory_user e workos_get_directory_group restituiscono per intero gli attributi grezzi del provider, che possono contenere numeri di telefono, responsabile, reparto e matricole; gli strumenti di elenco li omettono. L'AI condivide solo ciò che serve al compito.
Valori segreti: il connettore non restituisce mai la chiave API. Nelle risposte sugli inviti token e accept_invitation_url sono rimossi, perché con quel link chiunque lo abbia può entrare nell'organizzazione. workos_get_audit_log_export restituisce un link di download di breve durata (url) al CSV; l'AI lo tratta come una password e non lo incolla altrove.
Organizzazioni e domini: workos_list_organizations (filtro per testo del nome o dominio), workos_get_organization, workos_get_organization_by_external_id, workos_create_organization e workos_update_organization. workos_create_organization_domain aggiunge un dominio in attesa con un record DNS TXT (verification_prefix, verification_token) che il titolare del dominio pubblica; poi workos_verify_organization_domain avvia la verifica e workos_get_organization_domain ne mostra lo stato.
Utenti, membership e ruoli: workos_list_users (per email o organization_id), workos_get_user, workos_get_user_by_external_id, workos_create_user (senza password; la persona accede con Magic Auth, social login, SSO o tramite un invito) e workos_update_user; provider di accesso con workos_list_user_identities, sessioni con workos_list_user_sessions. Membership: workos_list_organization_memberships, workos_get_organization_membership, workos_create_organization_membership, workos_update_organization_membership per cambiare il ruolo, e workos_deactivate_organization_membership e workos_reactivate_organization_membership per bloccare e ripristinare l'accesso. Gli slug dei ruoli vengono da workos_list_roles, workos_get_role e workos_list_organization_roles (i ruoli personalizzati iniziano con org-), i permessi da workos_list_permissions.
Inviti: workos_list_invitations, workos_get_invitation, workos_send_invitation (WorkOS invia l'email da sé) e workos_resend_invitation.
SSO e Directory Sync: workos_list_connections e workos_get_connection mostrano il tipo di connessione e lo state (active significa che gli utenti possono accedere). workos_list_directories, workos_get_directory, workos_list_directory_users (richiede directory o group), workos_get_directory_user, workos_list_directory_groups (richiede directory o user) e workos_get_directory_group leggono utenti e gruppi sincronizzati; workos_sync_directory mette subito in coda una sincronizzazione.
Audit Logs ed eventi: workos_list_audit_log_actions e workos_list_audit_log_schemas mostrano cosa viene registrato. workos_create_audit_log_export avvia un'esportazione CSV per un intervallo di tempo (non scrive eventi) e workos_get_audit_log_export ne riporta lo stato finché state è ready; workos_get_audit_log_retention dice per quanti giorni gli eventi vengono conservati. workos_list_events legge l'event stream per tipo (user.created, organization_membership.updated, dsync.user.created, connection.activated e altri) con range_start e range_end; order: asc li ripercorre in ordine. L'API conserva 90 giorni di eventi, e una chiamata copre al massimo 30 giorni.
Aggiornamenti: workos_update_organization e workos_update_user cambiano solo i campi passati, ma domain_data e metadata sostituiscono il valore salvato, quindi l'AI invia l'elenco o l'oggetto completo. Cambiare l'email di un utente riporta email_verified a false. Un nuovo ruolo su una membership sostituisce quello attuale.
Disattivati all'installazione: workos_delete_organization, workos_delete_organization_domain, workos_delete_user, workos_delete_organization_membership, workos_revoke_invitation, workos_revoke_session e workos_create_audit_log_event. Non si possono annullare (gli eventi di audit log non si possono rimuovere una volta scritti), quindi un amministratore del workspace li attiva quando il team ne ha bisogno.
Formati dei dati: gli id hanno un prefisso di tipo (org_, org_domain_, user_, om_, invitation_, session_, conn_, directory_, directory_user_, directory_group_, audit_log_export_, event_). I timestamp sono ISO 8601 in UTC. Gli elenchi arrivano come {"object": "list", "data": [...], "list_metadata": {...}}. I valori di metadata sono stringhe.
Paginazione: gli elenchi restituiscono 10 elementi di default, fino a 100 con limit, dal più recente. Per la pagina successiva l'AI passa list_metadata.after come after e si ferma quando è null; workos_list_events pagina allo stesso modo.
Limiti: 6.000 richieste al minuto per chiave; AuthKit 1.000 letture e 500 scritture ogni 10 secondi; utenti di directory 4 richieste al secondo per directory; eliminazioni di organizzazioni 50 al minuto. Le email di invito contano nei limiti di invio email di WorkOS.
Errori comuni: 401 significa chiave errata o revocata. 403 significa che la chiave non può farlo o che la funzione non è attiva nell'ambiente. 404 significa id sconosciuto, o un id di un altro ambiente. 400 o 422 significa un campo non valido, indicato nel corpo della risposta. 429 significa rate limit: attendi e riprova una volta.
Il connettore non configura connessioni SSO, branding di AuthKit, redirect URI, Vault, Pipes o chiavi API, non imposta password e non fa mai accedere nessuno.
Step 2 — Installa l'adapter
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
Step 3 — Aggiungi il connettore in ChatGPT
L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (
https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostraYOUR_SERVER_ID.
ChatGPT aggiunge i server MCP come plugin dalla pagina Plugins, sul web e nei piani a pagamento. La modalità sviluppatore non serve più. In un workspace Business possono farlo solo admin e owner; in Enterprise ed Edu un amministratore può concedere il permesso Create plugins with MCPs.
- Vai su chatgpt.com/plugins, clicca Add e poi Add custom MCP server.
- Inserisci un nome, ad esempio Name:
WorkOS. - In Connection inserisci come Server URL
https://cloud.anythingmcp.com/mcp/YOUR_SERVER_IDe lascia Authentication su OAuth. - Seleziona I understand and want to continue, poi Create as a plugin. Quando ChatGPT lo chiede, accedi ad AnythingMCP e consenti l'accesso.
- Installa il nuovo plugin dai tuoi plugin personali, poi digita @ in una chat e selezionalo.
Tool disponibili
| Tool | What it does |
|---|---|
workos_list_organizations | List organizations (the customer companies of this WorkOS environment), newest first: id, name, external_id, domains with their… |
workos_get_organization | One organization by id: name, domains (each with id, state and verification strategy), external_id, stripe_customer_id, metadata and… |
workos_get_organization_by_external_id | One organization by the external_id your own application stored on it |
workos_create_organization | Create an organization |
workos_update_organization | Update an organization: name, domains (domain_data replaces the whole list), external_id, Stripe customer id, metadata or the… |
workos_delete_organization | Permanently delete an organization together with its SSO connections and directories |
workos_get_organization_domain | One organization domain: domain name, state (pending, verified, failed, legacy_verified), verification strategy (dns or manual), the DNS… |
workos_create_organization_domain | Add a domain to an organization |
workos_verify_organization_domain | Start DNS verification of a pending organization domain after its TXT record was published |
workos_delete_organization_domain | Remove a domain from its organization |
workos_list_users | List AuthKit users of the environment, newest first: id, email, email_verified, first and last name, profile picture URL, external_id… |
workos_get_user | One AuthKit user by id: email, verification state, names, external_id, metadata, locale and last sign-in time |
workos_get_user_by_external_id | One AuthKit user by the external_id your own application stored on it |
workos_create_user | Create an AuthKit user without a password; the person signs in with a method enabled in the environment (Magic Auth, social or SSO) or… |
workos_update_user | Update an AuthKit user: name, email (resets email_verified to false), email_verified, external_id, metadata or locale |
workos_delete_user | Permanently delete an AuthKit user with their memberships, identities and sessions |
workos_list_user_identities | The sign-in identities linked to a user: provider (e.g |
workos_list_user_sessions | A user's AuthKit sessions, newest first: id, status, auth_method, organization_id, ip_address, user_agent, impersonator, expires_at and… |
workos_revoke_session | End one AuthKit session (sign the user out of that device) |
workos_list_organization_memberships | List organization memberships (which user belongs to which organization, with role(s) and status active, inactive or pending) |
workos_get_organization_membership | One organization membership: user, organization, role(s), status, whether a directory manages it, and IdP custom attributes |
workos_create_organization_membership | Add an existing AuthKit user to an organization with one role (role_slug) or several (role_slugs) |
workos_update_organization_membership | Change the role(s) of an organization membership; the new role replaces the current one |
workos_deactivate_organization_membership | Deactivate a membership: the user keeps the account and the membership record but can no longer sign in to that organization |
workos_reactivate_organization_membership | Reactivate an inactive membership, with its previous role(s) |
workos_delete_organization_membership | Permanently remove a user from an organization |
workos_list_invitations | List invitations, newest first: email, state (pending, accepted, expired, revoked), organization, role, inviter, expires_at |
workos_get_invitation | One invitation by id with its state and expiry, without the token and accept link |
workos_send_invitation | Invite someone by email, optionally into an organization with a role |
workos_resend_invitation | Send the email of a pending invitation again, optionally in another language |
workos_revoke_invitation | Revoke a pending invitation so its link stops working |
workos_list_connections | List SSO connections, newest first: id, name, organization_id, connection_type (OktaSAML, AzureSAML, GoogleOAuth, GenericOIDC, ...), state… |
workos_get_connection | One SSO connection by id: connection type, state, organization and domains |
workos_list_directories | List Directory Sync directories (SCIM, Entra ID, Google Workspace, Okta, BambooHR, ...), newest first: id, name, type, state (linked… |
workos_get_directory | One directory: type, state, organization, domain and user and group counts |
workos_sync_directory | Ask WorkOS to sync a directory from its provider now |
workos_list_directory_users | List users synced from a directory or a directory group: name, emails, username, job title, state (active, suspended, inactive), role(s)… |
workos_get_directory_user | One directory user with everything the provider sent, including raw_attributes (can hold phone numbers, manager, department, employee ids) |
workos_list_directory_groups | List groups synced from a directory, or the groups of one directory user: id, name, idp_id. raw_attributes are left out |
workos_get_directory_group | One directory group by id: name, idp_id, directory, organization and the provider's raw_attributes |
workos_list_audit_log_actions | List the Audit Logs actions configured in the environment (e.g. user.signed_in, document.updated) with their latest schema |
workos_list_audit_log_schemas | List the schema versions of one Audit Logs action: allowed target types and the actor, target and metadata JSON schemas |
workos_create_audit_log_event | Write an event into an organization's audit log |
workos_create_audit_log_export | Start a CSV export of an organization's audit log events for a time range, optionally filtered by actions, actors and target types |
workos_get_audit_log_export | State of an audit log export (pending, ready, error) |
workos_get_audit_log_retention | How many days an organization's audit log events are kept (retention_period_in_days) |
workos_list_events | Read the environment's event stream (what happened in WorkOS and at the connected identity and directory providers): id, event type… |
workos_list_roles | List the environment roles (RBAC) with slug, name, description, permissions and type, the roles every organization starts with |
workos_get_role | One environment role by slug: name, description, type and its permission slugs |
workos_list_organization_roles | All roles available in one organization: the environment roles plus its own custom roles (slugs starting with org-), with permissions |
workos_list_permissions | List the RBAC permissions defined in the environment: slug, name, description |
Esempi di prompt
- "Quali organizzazioni hanno una connessione SSO non ancora attiva?"
- "Elenca i membri dell'organizzazione Acme Corp con ruolo e stato."
- "Invita [email protected] nell'organizzazione Acme Corp con il ruolo admin."
- "Quali directory sono nello stato invalid_credentials, e a quali organizzazioni appartengono?"
- "Esporta l'audit log di Acme Corp di ottobre come file CSV."
FAQ
Il piano free di ChatGPT funziona con i server MCP personalizzati? OpenAI documenta i server MCP personalizzati solo per i piani a pagamento; il piano Free non è nell'elenco.
Prossimi passi
- Landing del connettore
- Collegare a Claude
- Collegare a Cursor
- Collegare a Gemini
- Collegare a Meta Muse
- Collegare a Microsoft Copilot
Questa guida ti è stata utile?