A maioria dos servidores MCP continua a saltar o OAuth. A história de segurança é essa.

O Model Context Protocol teve dezoito meses muito bons. Milhares de servidores públicos, adoção em todos os grandes clientes de IA e uma especificação que já avança por um processo aberto. O retrato de segurança é menos lisonjeiro: a especificação exige OAuth 2.1, e os levantamentos independentes a servidores públicos continuam a encontrar apenas uma pequena fração que o implementa de facto.

O que a especificação exige

OAuth 2.1 e, desde a revisão de julho de 2026, uma versão bastante mais dura. Os servidores de autorização devem devolver o parâmetro iss segundo o RFC 9207 e os clientes têm de o validar antes de trocar o código, o que fecha um ataque de troca de servidor de autorização. As credenciais de cliente ficam vinculadas ao emissor que as criou, por isso não podem ser reutilizadas noutro servidor de autorização. E os Client ID Metadata Documents passam a ser o caminho de registo preferido — o Dynamic Client Registration está formalmente descontinuado a favor do CIMD, ainda que continue a funcionar por compatibilidade.

Porque é que isto interessa a quem compra

• Um servidor sem autenticação que toca em dados reais é um endpoint aberto com uma descrição simpática.
• Credenciais que não estão vinculadas ao emissor são um problema de delegação confusa à espera de ser notado.
• Sem identidade por lugar não há forma de revogar o acesso de uma pessoa — só de toda a gente.
• Se um servidor não te consegue dizer quem chamou uma ferramenta, também não te dirá quem deixou fugir alguma coisa.

O que nós fazemos

O endpoint MCP da SuperCognit implementa OAuth 2.1, incluindo validação do emissor e registo por CIMD. As ferramentas listam-se sem login, de propósito, para que um comprador possa colar o URL e ver exatamente o que o servidor oferece antes de qualquer credencial mudar de mãos; o OAuth entra na primeira chamada real a uma ferramenta. Essa combinação — inspecionável sem conta, autenticado antes de fazer seja o que for — é o que nós queríamos do servidor de outra pessoa.

Se estás a avaliar um servidor, a lista é curta: faz OAuth de todo, valida o emissor, consegues revogar um único lugar e regista quem chamou o quê. Um servidor que falha a primeira pergunta não precisa das outras três.