O que dá pra fazer

Depois de conectar, a IA pode:

Listar os agendamentos de hoje, amanhã, da semana
Ver suas comissões, vendas, clientes inativos, aniversariantes
Verificar disponibilidade de horários
Criar, cancelar e reagendar agendamentos
Listar profissionais, serviços, produtos
Consultar reviews, status do caixa, estoque baixo

A lista completa cresce a cada atualização da plataforma.

Assim que conecta, a IA já sabe qual negócio ela está operando — o nome e o fuso horário do estabelecimento são informados automaticamente, então ela interpreta e responde horários no fuso certo sem você precisar explicar.

Atalhos prontos

Em clientes que suportam (como o Claude Desktop), a plataforma oferece atalhos de um clique — você escolhe num menu em vez de digitar o pedido:

Resumo do dia — agenda, faturamento previsto e destaques de hoje
Clientes inativos — quem não volta há mais de 60 dias, com sugestão de reengajamento
Fechamento de caixa — vendas por forma de pagamento e valor esperado em caixa
Buracos na agenda — horários vagos de hoje por profissional

Cada atalho só aparece se a conexão tiver as permissões necessárias. Em clientes que não suportam atalhos, é só pedir a mesma coisa por texto.

Como funciona a segurança

OAuth 2.1 com PKCE. Nenhuma chave de API estática — sempre consentimento explícito do dono.
O endereço define o negócio. Conectar em sua-barbearia.barbeiro.app prende o acesso àquela barbearia; conectar em admin.barbeiro.app deixa você escolher qual. Cada conexão concede acesso a UM negócio, e um token de uma barbearia não funciona no endereço de outra.
Permissões por área. O acesso é agrupado em áreas — agenda, catálogo, equipe, clientes, financeiro, marketing, configurações e relatórios — cada uma com consultar (ver) e alterar e executar (mudar). A tela de consentimento separa o que a IA pode ver do que pode mudar (as escritas são o risco), e você vê tudo antes de aprovar.
Ações críticas ficam só no painel. Algumas operações irreversíveis — estornar venda, cancelar NFS-e, excluir cliente, baixar dívida e ajustar repasse manual — não podem ser disparadas pela IA/MCP; elas exigem confirmação no painel. A IA continua podendo consultar esses dados.
Acesso cortável a qualquer momento em Configurações → Aplicativos conectados.

Qual URL usar

O endereço decide qual negócio a IA vai acessar — você não precisa informar ID nenhum.

Conectar a uma barbearia específica (recomendado) — use o subdomínio dela:

https://sua-barbearia.barbeiro.app/api/mcp

Tem domínio próprio configurado? Funciona igual:

https://seudominio.com.br/api/mcp

Conectar como administrador (escolher entre as suas barbearias) — use o subdomínio admin:

https://admin.barbeiro.app/api/mcp

Se você tem mais de uma barbearia, a tela de consentimento mostra um seletor para escolher qual conectar (o padrão é a barbearia ativa no momento). Com uma só, conecta direto nela.

A discovery automática (RFC 8414/9728) fica no mesmo endereço que você usar — cada host anuncia a si mesmo:

https://sua-barbearia.barbeiro.app/.well-known/oauth-authorization-server
https://sua-barbearia.barbeiro.app/.well-known/oauth-protected-resource

Clientes MCP modernos (incluindo Claude Desktop) leem esses endpoints sozinhos, então normalmente basta apontar para o /api/mcp do endereço escolhido.

Passo a passo

Atalho: o endereço do seu negócio já vem pronto em Configurações → Aplicativos conectados — é só clicar em Copiar endereço no cartão "Conectar uma IA" e colar no app cliente. O endereço geral (para quem tem mais de um negócio) fica logo abaixo, com botão próprio.

Decida qual negócio conectar e use o endereço correspondente (o subdomínio da barbearia, ou admin.barbeiro.app para escolher na hora).
No app cliente (ex: Claude Desktop), adicione um servidor MCP apontando para esse /api/mcp.
O cliente vai te redirecionar para o aplicativo para fazer login (se ainda não estiver).
Você verá uma tela de consentimento com o nome do app, o estabelecimento que ele vai acessar (ou um seletor, no endereço admin) e a lista de permissões. Confirme.
Pronto — o app já consegue chamar as ferramentas. Faça uma pergunta como "quantos agendamentos eu tenho amanhã?" e veja a resposta vir da plataforma.

Para um passo a passo específico do Claude Desktop, veja Conectar o Claude Desktop.

Revogar acesso

Em Configurações → Aplicativos conectados você vê todas as conexões ativas. Cada cartão separa o que o app lê do que ele muda (as permissões de escrita ficam no bloco âmbar, e logo abaixo delas está a lista do que ele não pode fazer), mostra quando ele agiu pela última vez, quando você o autorizou e o número de chamadas MCP dos últimos 30 dias. Esse total é do estabelecimento, não do aplicativo: com dois apps ligados na mesma loja, os dois mostram o mesmo número — para saber se uma conexão específica anda sendo usada, olhe quando ela agiu pela última vez.

Uma etiqueta ao lado do nome diz se ele está Ativo agora ou Parado — atenção: parado não é fora. Sem sessão aberta no momento, a autorização continua de pé e o app volta a ter acesso sozinho, sem te perguntar de novo. Para tirá-lo de vez, clique em Cortar acesso: o corte vale na chamada seguinte e todos os tokens daquele app param de funcionar.

Se a tela não conseguir carregar a lista, ela diz isso com todas as letras — "Não consegui verificar quem tem acesso" — em vez de mostrar "nenhum aplicativo conectado". Precisando cortar um acesso naquele momento, troque a sua senha: isso derruba todas as sessões.

Para desenvolvedores

Registro dinâmico (RFC 7591): clientes podem se registrar via POST /api/oauth/register. Não precisa pedir nada à equipe da plataforma.
PKCE S256 obrigatório. Não aceitamos plain.
Tokens de acesso: JWT, validade 1h, claim biz indica o estabelecimento.
Refresh tokens: opacos, validade 30 dias, com rotação a cada uso (replay = revogação automática da cadeia inteira).

Se você está construindo uma integração customizada, comece pelo metadata: GET /.well-known/oauth-authorization-server te diz exatamente quais endpoints chamar.

Conectar a plataforma à sua IA (MCP / OAuth)