Verbinde Salesforce MCP mit ClickUp, damit deine KI-Tools Salesforce-Datensätze in natürlicher Sprache suchen, lesen, erstellen und aktualisieren können.

Diese Anleitung beschreibt die einmalige Salesforce-Einrichtung, die ein Salesforce-Administrator durchführen muss, und erklärt danach, wie du dich aus ClickUp heraus über OAuth 2.0 mit PKCE verbindest. Der Vorgang dauert etwa 20 Minuten, dazu kommen bis zu 30 Minuten, bis Salesforce die App aktiviert hat.

Was du benötigst

• Einen ClickUp-Workspace
• Eine Salesforce-Org (Enterprise Edition oder höher oder Developer Edition) mit Systemadministrator-Berechtigungen
• Die Berechtigung „Anwendung anpassen" in Salesforce

Salesforce-Schritte

Bevor du den Vorgang in ClickUp abschließen kannst, sind einige Einrichtungsschritte in Salesforce erforderlich.

Am Ende der Salesforce-Schritte brauchst du drei Angaben für ClickUp:

• Den Consumer Key aus deiner externen Client-App
• Ob du eine Produktions- oder Sandbox-Org verbindest
• Welchen MCP-Server du aktiviert hast

Schritt 1: MCP-Dienst aktivieren

Von Salesforce gehostete MCP-Server werden auf der Salesforce-Setup-Seite nur angezeigt, wenn der MCP-Dienst für deine Org eingeschaltet ist:

1. Gib auf der Salesforce-Setup-Seite MCP-Server in das Schnellsuche-Feld ein.
2. Wenn MCP-Server unter API-Katalog angezeigt wird, ist der Dienst bereits eingeschaltet. Fahre mit Schritt 2: Server aktivieren fort.
3. Wird er nicht angezeigt, gib Benutzeroberfläche in das Schnellsuche-Feld ein, öffne Benutzeroberfläche und schalte MCP-Dienst aktivieren ein. Speichere anschließend.

Wenn du MCP-Server nicht findest, prüfe, ob die Edition deiner Org gehostete MCP-Server unterstützt.

Schritt 2: Server aktivieren

MCP-Server sind standardmäßig deaktiviert. Ein Administrator muss jeden Server einzeln einschalten, bevor sich ein Client verbinden kann:

1. Gib auf der Salesforce-Setup-Seite MCP-Server in das Schnellsuche-Feld ein.
2. Klicke unter API-Katalog auf MCP-Server.
3. Schalte den Server ein, den dein Team benötigt. ClickUp unterstützt folgende:
   • SObject Reads (empfohlen): Sucht und ruft Datensätze und Beziehungen ab
   • SObject All: Erstellt, liest, aktualisiert und löscht Datensätze
   • SObject Mutations: Erstellt und aktualisiert Datensätze, keine Löschungen
   • Headless 360 (Beta): Einheitlicher Zugriff auf die gesamte Salesforce-Plattform

Wenn du diesen Schritt überspringst, meldet sich ClickUp erfolgreich an, findet aber keine Tools. Du wählst denselben Server später auch in ClickUp aus – merk dir also, welchen du eingeschaltet hast.

Es kann bis zu 2 Minuten dauern, bis ein Server nach dem Einschalten aktiv ist.

Die vollständige Referenz findest du in Salesforces Anleitung zum Aktivieren von MCP-Servern.

Schritt 3: Externe Client-App erstellen

Du musst eine externe Client-App verwenden. Connected Apps werden für MCP nicht unterstützt und verursachen Authentifizierungsfehler.

So erstellst du eine externe Client-App:

1. Gib auf der Salesforce-Setup-Seite Externer Client in das Schnellsuche-Feld ein.
2. Klicke auf Manager für externe Client-Apps.
3. Klicke auf Neue externe Client-App.
4. Fülle den Abschnitt Grundlegende Informationen aus. Gib der App einen Namen wie ClickUp MCP.
5. Klappe API (OAuth-Einstellungen aktivieren) auf und aktiviere OAuth aktivieren.

Lass dieses Formular geöffnet. In den Schritten 4 bis 6 füllst du den Rest aus.

Wenn ClickUp später einen ungültigen Client meldet, gehört der eingefügte Consumer Key entweder nicht zu dieser App, oder die App hat sich noch nicht vollständig übertragen (Schritt 8).

Die vollständige Referenz findest du in Salesforces Anleitung zum Erstellen einer externen Client-App.

Schritt 4: OAuth-Sicherheitseinstellungen

Im selben Formular unter Sicherheit:

1. Aktiviere diese Optionen:
   • Proof Key for Code Exchange (PKCE)-Erweiterung für unterstützte Autorisierungsflows erforderlich
   • Refresh-Token-Rotation aktivieren
   • JSON Web Token (JWT)-basierte Zugriffstoken für benannte Benutzer ausstellen
   • Lebensdauer (TTL) des inaktiven Refresh-Tokens auf 30 Tage begrenzen

• Lasse diese deaktiviert:
  • Geheimnis für Web-Server-Flow erforderlich
  • Geheimnis für Refresh-Token-Flow erforderlich
  • IP-Zulassungsliste für Refresh-Token erzwingen

ClickUp verwendet PKCE als öffentlicher Client und benötigt daher kein Consumer-Geheimnis. Wenn du hier ein Geheimnis anforderst, schlägt die Verbindung fehl.

Schritt 5: Callback-URL hinzufügen

Gib im Feld Callback-URL die Callback-URL von ClickUp ein:

https://search.clickup-prod.com/connect/salesforcemcp

Die Callback-URL muss exakt übereinstimmen, ohne abschließenden Schrägstrich. ClickUp zeigt denselben Wert in der geführten Einrichtung an, damit du ihn vergleichen kannst.

Schritt 6: OAuth-Scopes hinzufügen

So fügst du OAuth-Scopes hinzu:

1. Füge unter Ausgewählte OAuth-Scopes folgende hinzu:
   • mcp_api: Zugriff auf von Salesforce gehostete MCP-Server
   • refresh_token, offline_access: Anfragen jederzeit ausführen
2. Klicke auf Erstellen.

Wenn du die Einrichtung während der Salesforce-MCP-Beta vorgenommen hast, funktionieren die alten Scopes (api, sfap_api, einstein_gpt_api) nicht mehr. Verwende stattdessen mcp_api und refresh_token. Weitere Informationen findest du in Salesforces Leitfaden zum Übergang von Beta zu GA.

Schritt 7: Berechtigungsset zuweisen

Standardmäßig kann jede Person in deiner Org eine Verbindung zur App herstellen. Um den Zugriff auf bestimmte Personen zu beschränken, verwende ein Berechtigungsset. Dieser Schritt ist optional.

Das Berechtigungsset steuert nur, wer eine Verbindung herstellen kann. Die bestehenden Salesforce-Objekt-, Feld- und Freigabeberechtigungen jeder Person gelten weiterhin für jeden Tool-Aufruf.

So weist du ein Berechtigungsset zu:

1. Erstelle ein Berechtigungsset für ClickUp-MCP-Benutzer, zum Beispiel ClickUp-MCP-Benutzer. Es braucht keine zusätzlichen Berechtigungen.
2. Weise es allen Personen zu, die sich über ClickUp verbinden werden.
3. Öffne im Manager für externe Client-Apps deine App und klicke auf Richtlinien.
4. Lege unter OAuth-Richtlinien für Zugelassene Benutzer die Option Von Admins genehmigte Benutzer sind vorautorisiert fest.

5. Verschiebe unter App-Richtlinien dein Berechtigungsset zu Ausgewählte Berechtigungssets. Lasse Ausgewählte Profile leer.

6. Klicke auf Speichern.

Wenn du Von Admins genehmigte Benutzer sind vorautorisiert auswählst und kein Berechtigungsset festlegst, kann niemand eine Verbindung herstellen.

Lasse Benutzerdefinierte OAuth-Scopes leer. ClickUp benötigt nur die Scopes aus Schritt 6.

Schritt 8: Warten, bis die App übertragen wurde

Eine neue externe Client-App kann bis zu 30 Minuten brauchen, bis sie verfügbar ist – ähnlich wie bei der DNS-Übertragung. Wenn ClickUp kurz nach der Einrichtung einen Fehler meldet, warte kurz und versuche es erneut.

Kopiere in der Zwischenzeit deinen Consumer Key:

1. Öffne im Manager für externe Client-Apps die App, die du erstellt hast.
2. Klicke auf Einstellungen.
3. Klicke unter OAuth-Einstellungen auf Consumer Key und Geheimnis.
4. Kopiere den Consumer Key. Er beginnt mit 3MVG9.

In ClickUp verbinden

Salesforce OAuth nutzt deine aktive Browser-Sitzung. Bereite deinen Browser vor, bevor du beginnst:

1. Melde dich in deinem Standardbrowser von allen anderen Salesforce-Orgs ab.
2. Melde dich bei der Org an, die deine externe Client-App enthält, und lasse den Browser geöffnet.

So wird verhindert, dass die Anmeldung in der falschen Org landet. Weitere Informationen findest du in Salesforces Anleitung zum Anmelden bei deiner Org.

Sobald dein Browser bereit ist, kannst du dich in ClickUp verbinden:

1. Öffne das App Center.
2. Suche nach Salesforce und wähle es aus.
3. Wähle eine Registerkarte aus, um den Verbindungstyp festzulegen:
   • Persönliche Verbindung: Nur du kannst die Salesforce-Tools in ClickUp verwenden. Deine Salesforce-Identität und deine Berechtigungen werden für jeden Tool-Aufruf verwendet.
   • Workspace-Verbindung: Jedes Workspace-Mitglied kann die Salesforce-Tools verwenden, aber jede Person meldet sich mit ihren eigenen Salesforce-Anmeldedaten an und benötigt – sofern du den Zugriff in Schritt 7 eingeschränkt hast – das entsprechende Berechtigungsset. Alle nutzen dieselbe externe Client-App, aber jede Person hat eine eigene Autorisierung.
4. Klicke auf Verbinden, um die geführte Einrichtung zu öffnen.
5. Wähle unter Welche Org verbindest du? entweder Production / Developer Edition oder Sandbox / Scratch-Org aus.
6. Wähle unter Welchen Server hast du aktiviert? den Server aus, den du in Schritt 2 eingeschaltet hast.
7. Prüfe, ob die in ClickUp angezeigte Callback-URL mit der in deiner externen Client-App übereinstimmt.
8. Füge deinen Consumer Key aus Schritt 8 ein.
9. Klicke auf Weiter.
10. Genehmige den Zugriff, wenn Salesforce dich dazu auffordert.
11. Warte, bis ClickUp die Verbindung validiert und deine Tools geladen hat.

Einschränkungen

Bekannte Einschränkungen und häufige Probleme mit Salesforce MCP:

• Übertragungsverzögerung: Eine neue externe Client-App kann bis zu 30 Minuten brauchen, bis sie funktioniert. Wenn der erste Versuch fehlschlägt, warte kurz und versuche es erneut.
• Connected Apps funktionieren nicht: Du musst eine externe Client-App verwenden.
• Server nicht eingeschaltet: Die Anmeldung funktioniert, aber es werden keine Tools geladen, wenn der in ClickUp ausgewählte Server in Salesforce nicht aktiv ist.
• Eingeschränkter Zugriff: Wenn du den Zugriff in Schritt 7 mit einem Berechtigungsset eingeschränkt hast, können Personen ohne dieses Set keine Verbindung herstellen. Weise ihnen das Set zu oder setze Zugelassene Benutzer auf Alle Benutzer können sich selbst autorisieren zurück.
• Nur vier Server in ClickUp: Die geführte Einrichtung unterstützt SObject Reads, SObject All, SObject Mutations und Headless 360 (Beta). Andere Salesforce-MCP-Server wie SObject Deletes oder Data Cloud SQL sind in ClickUp noch nicht verfügbar.
• Mehrere Orgs in einem Browser: Wenn du bei mehr als einer Org angemeldet bist, kann die Anmeldung bei der falschen Org landen. Melde dich zuerst von den anderen ab.
• API-Limits und Abrechnung: MCP-Tool-Aufrufe werden auf die API-Anfragelimits deiner Org angerechnet, und Salesforce kann die MCP-Nutzung über Flex Credits abrechnen. Prüfe die API-Nutzung auf der Salesforce-Setup-Seite.
• Scratch-Orgs: In Scratch-Orgs kannst du über die Salesforce-Setup-Seite keine externen Client-Apps erstellen. Erstelle die App in einer Dev-Hub-Org, verpacke sie und installiere sie in der Scratch-Org.
• Beta-Einrichtungen: Alte Beta-Scopes und URLs mit v1-beta.2 funktionieren nicht mehr. Die geführte Einrichtung von ClickUp verwendet automatisch das GA-URL-Format.

Verbindung trennen oder Zugriff widerrufen

So trennst du die Verbindung in ClickUp:

1. Suche im App Center nach der App und wähle sie aus.
2. Wähle die Registerkarte Persönlich oder Workspace aus.
3. Klicke neben Verbunden auf das Ellipsis-…-Symbol.
4. Wähle Trennen aus.
5. Klicke zur Bestätigung auf Trennen.

So widerrufst du den Zugriff vollständig auf der Salesforce-Seite:

1. Öffne auf der Salesforce-Setup-Seite den Manager für externe Client-Apps.
2. Öffne deine ClickUp-MCP-App.
3. Klicke auf OAuth-Richtlinien.
4. Widerrufe den Zugriff oder lösche die externe Client-App.

Wenn du die Verbindung in ClickUp trennst, wird dein OAuth-Token widerrufen, die externe Client-App in Salesforce bleibt jedoch erhalten – du kannst dich also jederzeit problemlos erneut verbinden.

Sicherheitshärtung für den Produktionsbetrieb (optional)

• Nach IP-Adresse einschränken: Füge erlaubte IP-Bereiche unter OAuth-Richtlinien hinzu und aktiviere unter Sicherheit die Option IP-Zulassungsliste für Refresh-Token erzwingen. Stelle zuerst sicher, dass die IP-Bereiche deines MCP-Clients innerhalb der Zulassungslisten-Limits von Salesforce liegen.
• Einzelner Abmeldevorgang: Aktiviere diese Option unter Sitzungseinstellungen, damit das Beenden einer Salesforce-Sitzung auch die entsprechende MCP-Sitzung beendet.
• Minimale Berechtigungen: Bevorzuge SObject Reads, sofern dein Team keine Datensätze ändern muss.