La mayoría de servidores MCP sigue saltándose OAuth. Esa es toda la historia de seguridad.
El Model Context Protocol ha tenido dieciocho meses muy buenos. Miles de servidores públicos, adopción en todos los grandes clientes de IA y una especificación que ya avanza por un proceso abierto. El retrato de seguridad es menos halagador: la especificación exige OAuth 2.1, y los estudios independientes de servidores públicos siguen encontrando que solo una pequeña fracción lo implementa de verdad.
Qué exige la especificación
OAuth 2.1 y, desde la revisión de julio de 2026, una versión bastante más dura. Los servidores de autorización deben devolver el parámetro iss según el RFC 9207 y los clientes tienen que validarlo antes de canjear el código, lo que cierra un ataque de confusión de servidor de autorización. Las credenciales de cliente quedan vinculadas al emisor que las creó, así que no pueden reutilizarse contra otro servidor de autorización. Y los Client ID Metadata Documents pasan a ser la vía de registro preferida — Dynamic Client Registration queda formalmente obsoleto en favor de CIMD, aunque sigue funcionando por compatibilidad.
Por qué le importa a quien compra
- Un servidor sin autenticación que toca datos reales es un endpoint abierto con una descripción simpática.
- Credenciales no vinculadas al emisor son un problema de delegación confusa esperando a que alguien lo note.
- Sin identidad por plaza no hay forma de revocar el acceso de una persona — solo el de todas.
- Si un servidor no puede decirte quién llamó a una herramienta, tampoco te dirá quién filtró algo.
Qué hacemos nosotros
El endpoint MCP de SuperCognit implementa OAuth 2.1, incluida la validación del emisor y el registro por CIMD. Las herramientas se listan sin iniciar sesión, a propósito, para que un comprador pueda pegar la URL y ver exactamente qué ofrece el servidor antes de que ninguna credencial cambie de manos; OAuth entra en la primera llamada real a una herramienta. Esa combinación — inspeccionable sin cuenta, autenticado antes de hacer nada — es lo que querríamos del servidor de otro.
Si estás evaluando un servidor, la lista es corta: ¿hace OAuth siquiera, valida el emisor, puedes revocar una sola plaza y registra quién llamó a qué? Un servidor que falla la primera pregunta no necesita las otras tres.