Quais servidores MCP oficiais conectam com um clique? Checagem de 2026
Uma checagem própria, feita em 29 de outubro de 2026 e refeita a cada trimestre: 64 endereços de 62 fornecedores, com o método à vista.
· Fontes
Resposta curta
Em 29 de outubro de 2026, os servidores MCP remotos oficiais de 54 fornecedores publicavam o que o login em um clique precisa: registro dinâmico de cliente (RFC 7591) e PKCE S256. Entre eles, Linear, Sentry, Notion, Atlassian, Stripe e GitLab. HubSpot, Slack, GitHub, Box, PagerDuty e Render não publicavam registro dinâmico; Vercel e Figma só aceitam clientes aprovados.
O que é login em um clique num servidor MCP?
Um servidor MCP remoto é o jeito de um fornecedor deixar apps de IA usarem o serviço dele: ler tarefas, criar registros, consultar dados. O login é por OAuth, a mesma tela de “Permitir acesso” que você já conhece. Se o MCP é novidade para você, comece pelo guia o que é MCP.
Antes da tela de login, o app de IA precisa ser um cliente conhecido do servidor de autorização. É aqui que o “um clique” se decide. A especificação do MCP aceita três caminhos[1]:
- Registro dinâmico de cliente (DCR, RFC 7591): o app se registra sozinho, na hora, num endereço que o servidor publica[2].
- Documento de metadados do cliente (CIMD): o app se identifica por um endereço que descreve quem ele é[9]. A versão de 2026 da especificação recomenda esse caminho e marca o registro dinâmico como obsoleto, mantido por compatibilidade[1].
- Registro prévio: alguém do time cria um app no painel do fornecedor e copia um ID e um segredo para o app de IA.
Os dois primeiros são de um clique: a pessoa cola o endereço do servidor (ou escolhe no catálogo), faz login no serviço e pronto. O terceiro pede trabalho de administrador em cada fornecedor e um segredo a mais para guardar. Em todos os casos, o app precisa usar PKCE, com o método S256 sempre que puder, o que protege o código de login contra interceptação[3][10].
Como fizemos a checagem?
Checamos em 29 de outubro de 2026, entre 21h39 e 21h40 (UTC), os servidores MCP remotos publicados no domínio do próprio fornecedor. Para cada endereço, seguimos o mesmo caminho que um app de IA segue antes do login:
- Mandamos ao servidor um pedido MCP de início de conversa, sem credencial, e anotamos a resposta. Todos os servidores da tabela responderam 401, que significa “precisa de login”.
- Lemos onde fica o servidor de autorização: pelo cabeçalho da resposta ou pelo documento de metadados do recurso protegido, como manda a RFC 9728[4].
- Lemos os metadados públicos do servidor de autorização (RFC 8414, e depois a descoberta do OpenID Connect)[5].
- Contamos como um clique quando os metadados traziam um endereço de registro dinâmico (registration_endpoint) e o método S256 em code_challenge_methods_supported.
- Anotamos também se o servidor anunciava suporte a CIMD (client_id_metadata_document_supported).
- Para os fornecedores que não passaram, ou que passaram nos metadados mas são conhecidos por restringir clientes, lemos a documentação oficial.
Limites: lemos só metadados públicos. Não registramos clientes nem fizemos login em nenhum serviço. Um servidor pode aceitar o registro e ainda assim recusar na tela de login, por plano, região ou política da conta. Refazemos a checagem a cada trimestre; a próxima é em janeiro de 2027.
Quais servidores MCP oficiais conectam com um clique?
Os servidores remotos oficiais de 54 fornecedores (56 endereços, porque Cloudflare e Supabase têm dois) publicavam registro dinâmico e PKCE S256. Desses, 18 também anunciavam CIMD, 5 diziam que não o suportam e 31 não informavam. Na coluna “Fonte”, cada link abre os metadados que lemos.
| Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte |
|---|---|---|---|---|
| Sentry | mcp.sentry.dev/mcp | Sim | Sim | metadados |
| GitLab | gitlab.com/api/v4/mcp | Sim | Não informa | metadados |
| Cloudflare | bindings.mcp.cloudflare.com/mcp e observability.mcp.cloudflare.com/mcp | Sim | Não | metadados |
| Supabase | mcp.supabase.com/mcp | Sim | Não informa | metadados |
| Neon | mcp.neon.tech/mcp | Sim | Não informa | metadados |
| Prisma | mcp.prisma.io/mcp | Sim | Não informa | metadados |
| Netlify | netlify-mcp.netlify.app/mcp | Sim | Não informa | metadados |
| Railway | mcp.railway.com | Sim | Sim | metadados |
| Datadog | mcp.datadoghq.com/api/unstable/mcp-server/mcp | Sim | Não informa | metadados |
| Grafana | mcp.grafana.com/mcp | Sim | Sim | metadados |
| Postman | mcp.postman.com/mcp | Sim | Não informa | metadados |
| Jam | mcp.jam.dev/mcp | Sim | Não informa | metadados |
| Resend | mcp.resend.com/mcp | Sim | Sim | metadados |
| Expo | mcp.expo.dev/mcp | Sim | Sim | metadados |
| Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte |
|---|---|---|---|---|
| Linear | mcp.linear.app/mcp | Sim | Sim | metadados |
| Notion | mcp.notion.com/mcp | Sim | Sim | metadados |
| Atlassian | mcp.atlassian.com/v1/mcp | Sim | Não informa | metadados |
| Asana | mcp.asana.com/mcp | Sim | Não informa | metadados |
| monday.com | mcp.monday.com/mcp | Sim | Sim | metadados |
| ClickUp | mcp.clickup.com/mcp | Sim | Não informa | metadados |
| Todoist | ai.todoist.net/mcp | Sim | Sim | metadados |
| Airtable | mcp.airtable.com/mcp | Sim | Sim | metadados |
| Dropbox | mcp.dropbox.com/mcp | Sim | Não informa | metadados |
| Miro | mcp.miro.com | Sim | Não informa | metadados |
| Gamma | mcp.gamma.app/mcp | Sim | Não informa | metadados |
| Granola | mcp.granola.ai/mcp | Sim | Sim | metadados |
| Fireflies | api.fireflies.ai/mcp | Sim | Sim | metadados |
| Zapier | mcp.zapier.com/api/mcp/mcp | Sim | Não informa | metadados |
| Canva | mcp.canva.com/mcp | Sim | Sim | metadados |
| Intercom | mcp.intercom.com/mcp | Sim | Não informa | metadados |
| Calendly | mcp.calendly.com | Sim | Não informa | metadados |
| Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte |
|---|---|---|---|---|
| Stripe | mcp.stripe.com | Sim | Não informa | metadados |
| PayPal | mcp.paypal.com/mcp | Sim | Não | metadados |
| Square | mcp.squareup.com/mcp | Sim | Não | metadados |
| Mercado Pago | mcp.mercadopago.com/mcp | Sim | Não informa | metadados |
| RevenueCat | mcp.revenuecat.ai/mcp | Sim | Não informa | metadados |
| Superwall | mcp.superwall.com/mcp | Sim | Sim | metadados |
| Paddle | mcp.paddle.com/mcp | Sim | Sim | metadados |
| AbacatePay | mcp.abacatepay.com/mcp | Sim | Não informa | metadados |
| Attio | mcp.attio.com/mcp | Sim | Não informa | metadados |
| Close | mcp.close.com/mcp | Sim | Não informa | metadados |
| Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte |
|---|---|---|---|---|
| PostHog | mcp.posthog.com/mcp | Sim | Sim | metadados |
| Mixpanel | mcp.mixpanel.com/mcp | Sim | Não informa | metadados |
| Amplitude | mcp.amplitude.com/mcp | Sim | Sim | metadados |
| Meta Ads | mcp.facebook.com/ads | Sim | Não informa | metadados |
| Klaviyo | mcp.klaviyo.com/mcp | Sim | Sim | metadados |
| Semrush | mcp.semrush.com/v1/mcp | Sim | Não informa | metadados |
| Ahrefs | api.ahrefs.com/mcp/mcp | Sim | Não informa | metadados |
| Webflow | mcp.webflow.com/mcp | Sim | Não | metadados |
| Wix | mcp.wix.com/mcp | Sim | Não informa | metadados |
| Sanity | mcp.sanity.io | Sim | Não informa | metadados |
| Contentful | mcp.contentful.com/mcp | Sim | Não | metadados |
| Jotform | mcp.jotform.com | Sim | Não informa | metadados |
| Tally | api.tally.so/mcp | Sim | Não informa | metadados |
O Supabase tem um segundo endereço, com parâmetros que limitam o servidor a consultas só de leitura. Ele usa o mesmo servidor de autorização e passou da mesma forma.
O que chamou atenção na checagem?
- A Atlassian não publica os metadados do recurso protegido (RFC 9728) no endereço checado, algo que a especificação atual exige do servidor MCP[1]. Um app que segue a especificação à risca para aí. Os metadados de autorização estão na raiz do mesmo domínio, então um app que tenta esse endereço por conta própria consegue seguir.
- Onze servidores de autorização também aceitam PKCE “plain”, além do S256: Atlassian, Asana, Supabase, Square, Webflow, Canva, GitLab, Dropbox, RevenueCat, Semrush e Wix. O app deve escolher S256 sempre que puder[10].
- O servidor de autorização nem sempre mora no mesmo endereço do servidor MCP. No Stripe, ele fica em access.stripe.com; no Supabase, em api.supabase.com; no Airtable, em airtable.com. Isso é normal: o app descobre o endereço pelos metadados.
- O CIMD já aparece em um terço dos fornecedores que passaram (18 de 54). Com o registro dinâmico agora obsoleto, vale acompanhar esse número nas próximas checagens.
Quais servidores MCP oficiais não conectam com um clique?
Oito fornecedores conhecidos têm servidor MCP remoto, mas não deixam um app qualquer entrar sozinho:
| Serviço | Servidor | O que encontramos | Fonte |
|---|---|---|---|
| HubSpot | mcp.hubspot.com | Sem registro dinâmico. A documentação manda criar um conector MCP na conta e copiar o ID e o segredo do cliente[8]. | metadados |
| Slack | mcp.slack.com/mcp | Sem registro dinâmico nos metadados. | metadados |
| GitHub | api.githubcopilot.com/mcp | Sem registro dinâmico nos metadados. | metadados |
| Box | mcp.box.com | Sem registro dinâmico nos metadados. | metadados |
| PagerDuty | mcp.pagerduty.com/mcp | Sem registro dinâmico nos metadados. | metadados |
| Render | mcp.render.com/mcp | Sem registro dinâmico nos metadados. | metadados |
| Vercel | mcp.vercel.com | Publica registro dinâmico e CIMD, mas só aceita clientes que a Vercel revisou e aprovou[6]. | metadados |
| Figma | mcp.figma.com/mcp | Publica registro dinâmico, mas só aceita clientes do catálogo de MCP da Figma[7]. | metadados |
Vercel e Figma mostram por que os metadados não bastam: o endereço de registro existe, mas a política do fornecedor fecha a porta. Para esses serviços, o caminho é o fornecedor aprovar o app de IA, ou o app de IA usar um registro prévio.
O que isso muda para o seu time?
Com login em um clique, ligar um serviço é passar por uma tela de permissão. Sem ele, alguém com acesso de administrador precisa criar um app no painel do fornecedor, configurar o endereço de retorno e guardar um segredo, e repetir isso em cada ferramenta de IA que o time usa.
Na hora de escolher ferramentas, vale perguntar duas coisas: o fornecedor tem servidor MCP remoto oficial? E ele aceita clientes sem registro prévio? A tabela acima responde para 62 fornecedores, na data da checagem.
No agentes.chat, os 54 fornecedores que passaram estão no catálogo de um clique. O workspace liga cada serviço uma vez, os tokens ficam cifrados, e cada agente recebe só as ferramentas que você liberar, com leitura livre e ações sensíveis esperando aprovação. O GitHub, que não tem registro dinâmico, entra pelo app do agentes.chat no GitHub ou por OAuth. Os detalhes estão no guia o que é MCP e no de governança de agentes de IA.
Como refazer essa checagem?
Você pode conferir qualquer servidor em poucos minutos, sem conta no serviço:
- Mande um POST ao endereço do servidor com um pedido MCP, como o de inicialização, sem credencial. A resposta deve ser 401.
- No cabeçalho WWW-Authenticate, procure resource_metadata. Se não houver, abra /.well-known/oauth-protected-resource no domínio do servidor, com o caminho do servidor no fim e depois sem ele.
- No documento que abrir, pegue o primeiro endereço de authorization_servers.
- Abra /.well-known/oauth-authorization-server no domínio desse endereço, com o caminho dele no fim, se houver (ou /.well-known/openid-configuration).
- Confira se há registration_endpoint, se code_challenge_methods_supported inclui S256 e se client_id_metadata_document_supported é true.
- Leia a documentação do fornecedor sobre quais clientes ele aceita.
Nós refazemos a lista a cada trimestre e atualizamos a data no topo desta página. Se você quer conectar os servidores que passaram aos agentes do seu time, com acesso por agente e aprovação no chat, entre na lista de espera do agentes.chat.
Perguntas frequentes
O que é registro dinâmico de cliente no MCP?
É o app de IA se registrar sozinho no servidor de autorização do fornecedor, na hora, seguindo a RFC 7591. Com ele, ninguém precisa criar um app no painel do fornecedor. A especificação de 2026 o marca como obsoleto e recomenda o CIMD, mas ele continua sendo o mais comum.
O que é CIMD?
Client ID Metadata Document: o app de IA usa como ID um endereço que descreve quem ele é, e o servidor de autorização lê esse documento. Também dispensa registro prévio. Na nossa checagem, 18 dos 54 fornecedores que passaram já o anunciavam.
Por que o GitHub não aparece como um clique?
Porque, na data da checagem, o servidor de autorização por trás do servidor MCP remoto do GitHub não publicava registro dinâmico. Apps de IA costumam ligar o GitHub por um app próprio ou por OAuth com registro prévio.
Passar nesta checagem garante que o login vai funcionar?
Não. Lemos só metadados públicos. O fornecedor ainda pode recusar o login por plano, região ou política da conta, como fazem Vercel e Figma com clientes que não aprovaram.
Com que frequência a lista é atualizada?
A cada trimestre. A data da última checagem fica no topo da página; a próxima é em janeiro de 2027.
Fontes
Links conferidos em 29 de outubro de 2026. O que esta página diz do agentes.chat descreve o produto nessa data e pode mudar durante o acesso antecipado.
- 1Model Context Protocol, Specification: Authorization (2026-07-28), 28 de julho de 2026.
- 2IETF, RFC 7591: OAuth 2.0 Dynamic Client Registration Protocol.
- 3IETF, RFC 7636: Proof Key for Code Exchange by OAuth Public Clients.
- 4IETF, RFC 9728: OAuth 2.0 Protected Resource Metadata.
- 5IETF, RFC 8414: OAuth 2.0 Authorization Server Metadata.
- 6Vercel, Use Vercel's MCP server, 15 de setembro de 2026.
- 7Figma, Set up the remote server (recommended).
- 8HubSpot, Integrate AI tools with the HubSpot MCP server.
- 9IETF, OAuth Client ID Metadata Document (draft-ietf-oauth-client-id-metadata-document-00), 8 de outubro de 2025.
- 10Model Context Protocol, Specification: Authorization Security Considerations (2026-07-28), 28 de julho de 2026.