# Quais servidores MCP oficiais conectam com um clique? Checagem de 2026 Uma checagem própria, feita em 29 de outubro de 2026 e refeita a cada trimestre: 64 endereços de 62 fornecedores, com o método à vista. · [English](https://agentes.chat/en/guides/mcp-servers-one-click-oauth.md) Conferido em 29 de outubro de 2026 **Resposta curta:** Em 29 de outubro de 2026, os servidores MCP remotos oficiais de 54 fornecedores publicavam o que o login em um clique precisa: registro dinâmico de cliente (RFC 7591) e PKCE S256. Entre eles, Linear, Sentry, Notion, Atlassian, Stripe e GitLab. HubSpot, Slack, GitHub, Box, PagerDuty e Render não publicavam registro dinâmico; Vercel e Figma só aceitam clientes aprovados. ## O que é login em um clique num servidor MCP? Um servidor MCP remoto é o jeito de um fornecedor deixar apps de IA usarem o serviço dele: ler tarefas, criar registros, consultar dados. O login é por OAuth, a mesma tela de “Permitir acesso” que você já conhece. Se o MCP é novidade para você, comece pelo guia [o que é MCP](https://agentes.chat/pt/guias/o-que-e-mcp). Antes da tela de login, o app de IA precisa ser um cliente conhecido do servidor de autorização. É aqui que o “um clique” se decide. A especificação do MCP aceita três caminhos\[1\]: - **Registro dinâmico de cliente (DCR, RFC 7591):** o app se registra sozinho, na hora, num endereço que o servidor publica\[2\]. - **Documento de metadados do cliente (CIMD):** o app se identifica por um endereço que descreve quem ele é\[9\]. A versão de 2026 da especificação recomenda esse caminho e marca o registro dinâmico como obsoleto, mantido por compatibilidade\[1\]. - **Registro prévio:** alguém do time cria um app no painel do fornecedor e copia um ID e um segredo para o app de IA. Os dois primeiros são de um clique: a pessoa cola o endereço do servidor (ou escolhe no catálogo), faz login no serviço e pronto. O terceiro pede trabalho de administrador em cada fornecedor e um segredo a mais para guardar. Em todos os casos, o app precisa usar PKCE, com o método S256 sempre que puder, o que protege o código de login contra interceptação\[3\]\[10\]. ## Como fizemos a checagem? Checamos em 29 de outubro de 2026, entre 21h39 e 21h40 (UTC), os servidores MCP remotos publicados no domínio do próprio fornecedor. Para cada endereço, seguimos o mesmo caminho que um app de IA segue antes do login: 1. Mandamos ao servidor um pedido MCP de início de conversa, sem credencial, e anotamos a resposta. Todos os servidores da tabela responderam 401, que significa “precisa de login”. 2. Lemos onde fica o servidor de autorização: pelo cabeçalho da resposta ou pelo documento de metadados do recurso protegido, como manda a RFC 9728\[4\]. 3. Lemos os metadados públicos do servidor de autorização (RFC 8414, e depois a descoberta do OpenID Connect)\[5\]. 4. Contamos como **um clique** quando os metadados traziam um endereço de registro dinâmico (registration\_endpoint) e o método S256 em code\_challenge\_methods\_supported. 5. Anotamos também se o servidor anunciava suporte a CIMD (client\_id\_metadata\_document\_supported). 6. Para os fornecedores que não passaram, ou que passaram nos metadados mas são conhecidos por restringir clientes, lemos a documentação oficial. > Limites: lemos só metadados públicos. Não registramos clientes nem fizemos login em nenhum serviço. Um servidor pode aceitar o registro e ainda assim recusar na tela de login, por plano, região ou política da conta. Refazemos a checagem a cada trimestre; a próxima é em janeiro de 2027. ## Quais servidores MCP oficiais conectam com um clique? Os servidores remotos oficiais de **54 fornecedores** (56 endereços, porque Cloudflare e Supabase têm dois) publicavam registro dinâmico e PKCE S256. Desses, 18 também anunciavam CIMD, 5 diziam que não o suportam e 31 não informavam. Na coluna “Fonte”, cada link abre os metadados que lemos. | Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte | | --- | --- | --- | --- | --- | | Sentry | mcp.sentry.dev/mcp | Sim | Sim | [metadados](https://mcp.sentry.dev/.well-known/oauth-authorization-server) | | GitLab | gitlab.com/api/v4/mcp | Sim | Não informa | [metadados](https://gitlab.com/.well-known/oauth-authorization-server) | | Cloudflare | bindings.mcp.cloudflare.com/mcp e observability.mcp.cloudflare.com/mcp | Sim | Não | [metadados](https://bindings.mcp.cloudflare.com/.well-known/oauth-authorization-server) | | Supabase | mcp.supabase.com/mcp | Sim | Não informa | [metadados](https://api.supabase.com/.well-known/oauth-authorization-server) | | Neon | mcp.neon.tech/mcp | Sim | Não informa | [metadados](https://mcp.neon.tech/.well-known/oauth-authorization-server) | | Prisma | mcp.prisma.io/mcp | Sim | Não informa | [metadados](https://auth.prisma.io/.well-known/oauth-authorization-server) | | Netlify | netlify-mcp.netlify.app/mcp | Sim | Não informa | [metadados](https://netlify-mcp.netlify.app/.well-known/oauth-authorization-server) | | Railway | mcp.railway.com | Sim | Sim | [metadados](https://backboard.railway.com/.well-known/oauth-authorization-server) | | Datadog | mcp.datadoghq.com/api/unstable/mcp-server/mcp | Sim | Não informa | [metadados](https://mcp.datadoghq.com/.well-known/oauth-authorization-server/v1/mcp) | | Grafana | mcp.grafana.com/mcp | Sim | Sim | [metadados](https://mcp.grafana.com/.well-known/oauth-authorization-server/mcp) | | Postman | mcp.postman.com/mcp | Sim | Não informa | [metadados](https://mcp.postman.com/.well-known/oauth-authorization-server) | | Jam | mcp.jam.dev/mcp | Sim | Não informa | [metadados](https://api.jam.dev/.well-known/oauth-authorization-server) | | Resend | mcp.resend.com/mcp | Sim | Sim | [metadados](https://api.resend.com/.well-known/oauth-authorization-server) | | Expo | mcp.expo.dev/mcp | Sim | Sim | [metadados](https://mcp.expo.dev/.well-known/oauth-authorization-server) | Desenvolvimento e infraestrutura: 14 fornecedores, checados em 29/10/2026 | Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte | | --- | --- | --- | --- | --- | | Linear | mcp.linear.app/mcp | Sim | Sim | [metadados](https://mcp.linear.app/.well-known/oauth-authorization-server) | | Notion | mcp.notion.com/mcp | Sim | Sim | [metadados](https://mcp.notion.com/.well-known/oauth-authorization-server) | | Atlassian | mcp.atlassian.com/v1/mcp | Sim | Não informa | [metadados](https://mcp.atlassian.com/.well-known/oauth-authorization-server) | | Asana | mcp.asana.com/mcp | Sim | Não informa | [metadados](https://mcp.asana.com/.well-known/oauth-authorization-server) | | monday.com | mcp.monday.com/mcp | Sim | Sim | [metadados](https://auth.monday.com/.well-known/oauth-authorization-server/mcp) | | ClickUp | mcp.clickup.com/mcp | Sim | Não informa | [metadados](https://mcp.clickup.com/.well-known/oauth-authorization-server) | | Todoist | ai.todoist.net/mcp | Sim | Sim | [metadados](https://todoist.com/.well-known/oauth-authorization-server) | | Airtable | mcp.airtable.com/mcp | Sim | Sim | [metadados](https://airtable.com/.well-known/oauth-authorization-server/oauth2/v1) | | Dropbox | mcp.dropbox.com/mcp | Sim | Não informa | [metadados](https://www.dropbox.com/.well-known/oauth-authorization-server) | | Miro | mcp.miro.com | Sim | Não informa | [metadados](https://mcp.miro.com/.well-known/oauth-authorization-server) | | Gamma | mcp.gamma.app/mcp | Sim | Não informa | [metadados](https://auth.gamma.app/.well-known/oauth-authorization-server) | | Granola | mcp.granola.ai/mcp | Sim | Sim | [metadados](https://mcp-auth.granola.ai/.well-known/oauth-authorization-server) | | Fireflies | api.fireflies.ai/mcp | Sim | Sim | [metadados](https://api.fireflies.ai/.well-known/oauth-authorization-server) | | Zapier | mcp.zapier.com/api/mcp/mcp | Sim | Não informa | [metadados](https://mcp.zapier.com/.well-known/oauth-authorization-server) | | Canva | mcp.canva.com/mcp | Sim | Sim | [metadados](https://mcp.canva.com/.well-known/oauth-authorization-server) | | Intercom | mcp.intercom.com/mcp | Sim | Não informa | [metadados](https://mcp.intercom.com/.well-known/oauth-authorization-server) | | Calendly | mcp.calendly.com | Sim | Não informa | [metadados](https://calendly.com/.well-known/oauth-authorization-server) | Produto, documentos e produtividade: 17 fornecedores, checados em 29/10/2026 | Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte | | --- | --- | --- | --- | --- | | Stripe | mcp.stripe.com | Sim | Não informa | [metadados](https://access.stripe.com/.well-known/oauth-authorization-server/mcp) | | PayPal | mcp.paypal.com/mcp | Sim | Não | [metadados](https://mcp.paypal.com/.well-known/oauth-authorization-server) | | Square | mcp.squareup.com/mcp | Sim | Não | [metadados](https://mcp.squareup.com/.well-known/oauth-authorization-server) | | Mercado Pago | mcp.mercadopago.com/mcp | Sim | Não informa | [metadados](https://mcp.mercadopago.com/.well-known/oauth-authorization-server/mcp) | | RevenueCat | mcp.revenuecat.ai/mcp | Sim | Não informa | [metadados](https://mcp.revenuecat.ai/.well-known/oauth-authorization-server) | | Superwall | mcp.superwall.com/mcp | Sim | Sim | [metadados](https://auth.superwall.com/.well-known/oauth-authorization-server) | | Paddle | mcp.paddle.com/mcp | Sim | Sim | [metadados](https://id.paddle.com/.well-known/oauth-authorization-server) | | AbacatePay | mcp.abacatepay.com/mcp | Sim | Não informa | [metadados](https://mcp.abacatepay.com/.well-known/oauth-authorization-server) | | Attio | mcp.attio.com/mcp | Sim | Não informa | [metadados](https://app.attio.com/.well-known/oauth-authorization-server) | | Close | mcp.close.com/mcp | Sim | Não informa | [metadados](https://api.close.com/.well-known/oauth-authorization-server) | Pagamentos e vendas: 10 fornecedores, checados em 29/10/2026 | Serviço | Servidor | Registro dinâmico e S256 | CIMD | Fonte | | --- | --- | --- | --- | --- | | PostHog | mcp.posthog.com/mcp | Sim | Sim | [metadados](https://oauth.posthog.com/.well-known/oauth-authorization-server) | | Mixpanel | mcp.mixpanel.com/mcp | Sim | Não informa | [metadados](https://auth.mixpanel.com/.well-known/oauth-authorization-server) | | Amplitude | mcp.amplitude.com/mcp | Sim | Sim | [metadados](https://mcp.amplitude.com/.well-known/oauth-authorization-server) | | Meta Ads | mcp.facebook.com/ads | Sim | Não informa | [metadados](https://www.facebook.com/.well-known/oauth-authorization-server/ads) | | Klaviyo | mcp.klaviyo.com/mcp | Sim | Sim | [metadados](https://mcp.klaviyo.com/.well-known/oauth-authorization-server) | | Semrush | mcp.semrush.com/v1/mcp | Sim | Não informa | [metadados](https://oauth.semrush.com/.well-known/oauth-authorization-server) | | Ahrefs | api.ahrefs.com/mcp/mcp | Sim | Não informa | [metadados](https://api.ahrefs.com/.well-known/oauth-authorization-server) | | Webflow | mcp.webflow.com/mcp | Sim | Não | [metadados](https://mcp.webflow.com/.well-known/oauth-authorization-server) | | Wix | mcp.wix.com/mcp | Sim | Não informa | [metadados](https://mcp.wix.com/.well-known/oauth-authorization-server) | | Sanity | mcp.sanity.io | Sim | Não informa | [metadados](https://mcp.sanity.io/.well-known/oauth-authorization-server) | | Contentful | mcp.contentful.com/mcp | Sim | Não | [metadados](https://mcp.contentful.com/.well-known/oauth-authorization-server) | | Jotform | mcp.jotform.com | Sim | Não informa | [metadados](https://oauth2.jotform.com/.well-known/oauth-authorization-server) | | Tally | api.tally.so/mcp | Sim | Não informa | [metadados](https://api.tally.so/.well-known/oauth-authorization-server/mcp) | Marketing, análise e conteúdo: 13 fornecedores, checados em 29/10/2026 O Supabase tem um segundo endereço, com parâmetros que limitam o servidor a consultas só de leitura. Ele usa o mesmo servidor de autorização e passou da mesma forma. ## O que chamou atenção na checagem? - **A Atlassian não publica os metadados do recurso protegido** (RFC 9728) no endereço checado, algo que a especificação atual exige do servidor MCP\[1\]. Um app que segue a especificação à risca para aí. Os metadados de autorização estão na raiz do mesmo domínio, então um app que tenta esse endereço por conta própria consegue seguir. - **Onze servidores de autorização também aceitam PKCE “plain”**, além do S256: Atlassian, Asana, Supabase, Square, Webflow, Canva, GitLab, Dropbox, RevenueCat, Semrush e Wix. O app deve escolher S256 sempre que puder\[10\]. - **O servidor de autorização nem sempre mora no mesmo endereço do servidor MCP.** No Stripe, ele fica em access.stripe.com; no Supabase, em api.supabase.com; no Airtable, em airtable.com. Isso é normal: o app descobre o endereço pelos metadados. - **O CIMD já aparece em um terço dos fornecedores que passaram** (18 de 54). Com o registro dinâmico agora obsoleto, vale acompanhar esse número nas próximas checagens. ## Quais servidores MCP oficiais não conectam com um clique? Oito fornecedores conhecidos têm servidor MCP remoto, mas não deixam um app qualquer entrar sozinho: | Serviço | Servidor | O que encontramos | Fonte | | --- | --- | --- | --- | | HubSpot | mcp.hubspot.com | Sem registro dinâmico. A documentação manda criar um conector MCP na conta e copiar o ID e o segredo do cliente\[8\]. | [metadados](https://mcp.hubspot.com/.well-known/oauth-authorization-server) | | Slack | mcp.slack.com/mcp | Sem registro dinâmico nos metadados. | [metadados](https://mcp.slack.com/.well-known/oauth-authorization-server) | | GitHub | api.githubcopilot.com/mcp | Sem registro dinâmico nos metadados. | [metadados](https://github.com/.well-known/oauth-authorization-server/login/oauth) | | Box | mcp.box.com | Sem registro dinâmico nos metadados. | [metadados](https://api.box.com/.well-known/oauth-authorization-server) | | PagerDuty | mcp.pagerduty.com/mcp | Sem registro dinâmico nos metadados. | [metadados](https://app.pagerduty.com/.well-known/oauth-authorization-server/global/oauth/anonymous) | | Render | mcp.render.com/mcp | Sem registro dinâmico nos metadados. | [metadados](https://api.render.com/.well-known/oauth-authorization-server) | | Vercel | mcp.vercel.com | Publica registro dinâmico e CIMD, mas só aceita clientes que a Vercel revisou e aprovou\[6\]. | [metadados](https://vercel.com/.well-known/oauth-authorization-server) | | Figma | mcp.figma.com/mcp | Publica registro dinâmico, mas só aceita clientes do catálogo de MCP da Figma\[7\]. | [metadados](https://api.figma.com/.well-known/oauth-authorization-server) | Servidores MCP oficiais sem login em um clique, checados em 29/10/2026 Vercel e Figma mostram por que os metadados não bastam: o endereço de registro existe, mas a política do fornecedor fecha a porta. Para esses serviços, o caminho é o fornecedor aprovar o app de IA, ou o app de IA usar um registro prévio. ## O que isso muda para o seu time? Com login em um clique, ligar um serviço é passar por uma tela de permissão. Sem ele, alguém com acesso de administrador precisa criar um app no painel do fornecedor, configurar o endereço de retorno e guardar um segredo, e repetir isso em cada ferramenta de IA que o time usa. Na hora de escolher ferramentas, vale perguntar duas coisas: o fornecedor tem servidor MCP remoto oficial? E ele aceita clientes sem registro prévio? A tabela acima responde para 62 fornecedores, na data da checagem. No agentes.chat, os 54 fornecedores que passaram estão no catálogo de um clique. O workspace liga cada serviço uma vez, os tokens ficam cifrados, e cada agente recebe só as ferramentas que você liberar, com leitura livre e ações sensíveis esperando aprovação. O GitHub, que não tem registro dinâmico, entra pelo app do agentes.chat no GitHub ou por OAuth. Os detalhes estão no guia [o que é MCP](https://agentes.chat/pt/guias/o-que-e-mcp) e no de [governança de agentes de IA](https://agentes.chat/pt/guias/governanca-de-agentes-de-ia). ## Como refazer essa checagem? Você pode conferir qualquer servidor em poucos minutos, sem conta no serviço: 1. Mande um POST ao endereço do servidor com um pedido MCP, como o de inicialização, sem credencial. A resposta deve ser 401. 2. No cabeçalho WWW-Authenticate, procure resource\_metadata. Se não houver, abra /.well-known/oauth-protected-resource no domínio do servidor, com o caminho do servidor no fim e depois sem ele. 3. No documento que abrir, pegue o primeiro endereço de authorization\_servers. 4. Abra /.well-known/oauth-authorization-server no domínio desse endereço, com o caminho dele no fim, se houver (ou /.well-known/openid-configuration). 5. Confira se há registration\_endpoint, se code\_challenge\_methods\_supported inclui S256 e se client\_id\_metadata\_document\_supported é true. 6. Leia a documentação do fornecedor sobre quais clientes ele aceita. Nós refazemos a lista a cada trimestre e atualizamos a data no topo desta página. Se você quer conectar os servidores que passaram aos agentes do seu time, com acesso por agente e aprovação no chat, entre na lista de espera do agentes.chat. ## Perguntas frequentes ### O que é registro dinâmico de cliente no MCP? É o app de IA se registrar sozinho no servidor de autorização do fornecedor, na hora, seguindo a RFC 7591. Com ele, ninguém precisa criar um app no painel do fornecedor. A especificação de 2026 o marca como obsoleto e recomenda o CIMD, mas ele continua sendo o mais comum. ### O que é CIMD? Client ID Metadata Document: o app de IA usa como ID um endereço que descreve quem ele é, e o servidor de autorização lê esse documento. Também dispensa registro prévio. Na nossa checagem, 18 dos 54 fornecedores que passaram já o anunciavam. ### Por que o GitHub não aparece como um clique? Porque, na data da checagem, o servidor de autorização por trás do servidor MCP remoto do GitHub não publicava registro dinâmico. Apps de IA costumam ligar o GitHub por um app próprio ou por OAuth com registro prévio. ### Passar nesta checagem garante que o login vai funcionar? Não. Lemos só metadados públicos. O fornecedor ainda pode recusar o login por plano, região ou política da conta, como fazem Vercel e Figma com clientes que não aprovaram. ### Com que frequência a lista é atualizada? A cada trimestre. A data da última checagem fica no topo da página; a próxima é em janeiro de 2027. ## Fontes Links conferidos em 29 de outubro de 2026. O que esta página diz do agentes.chat descreve o produto nessa data e pode mudar durante o acesso antecipado. 1. Model Context Protocol, [Specification: Authorization (2026-07-28)](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization), 28 de julho de 2026. modelcontextprotocol.io/specification/2026-07-28/basic/authorization · conferido em 29 de outubro de 2026 2. IETF, [RFC 7591: OAuth 2.0 Dynamic Client Registration Protocol](https://datatracker.ietf.org/doc/html/rfc7591). datatracker.ietf.org/doc/html/rfc7591 · conferido em 29 de outubro de 2026 3. IETF, [RFC 7636: Proof Key for Code Exchange by OAuth Public Clients](https://datatracker.ietf.org/doc/html/rfc7636). datatracker.ietf.org/doc/html/rfc7636 · conferido em 29 de outubro de 2026 4. IETF, [RFC 9728: OAuth 2.0 Protected Resource Metadata](https://datatracker.ietf.org/doc/html/rfc9728). datatracker.ietf.org/doc/html/rfc9728 · conferido em 29 de outubro de 2026 5. IETF, [RFC 8414: OAuth 2.0 Authorization Server Metadata](https://datatracker.ietf.org/doc/html/rfc8414). datatracker.ietf.org/doc/html/rfc8414 · conferido em 29 de outubro de 2026 6. Vercel, [Use Vercel's MCP server](https://vercel.com/docs/agent-resources/vercel-mcp), 15 de setembro de 2026. vercel.com/docs/agent-resources/vercel-mcp · conferido em 29 de outubro de 2026 7. Figma, [Set up the remote server (recommended)](https://developers.figma.com/docs/figma-mcp-server/remote-server-installation). developers.figma.com/docs/figma-mcp-server/remote-server-installation · conferido em 29 de outubro de 2026 8. HubSpot, [Integrate AI tools with the HubSpot MCP server](https://developers.hubspot.com/docs/apps/developer-platform/build-apps/integrate-with-the-remote-hubspot-mcp-server). developers.hubspot.com/docs/apps/developer-platform/build-apps/integrate-with-the-remote-hubspot-mcp-server · conferido em 29 de outubro de 2026 9. IETF, [OAuth Client ID Metadata Document (draft-ietf-oauth-client-id-metadata-document-00)](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-client-id-metadata-document-00), 8 de outubro de 2025. datatracker.ietf.org/doc/html/draft-ietf-oauth-client-id-metadata-document-00 · conferido em 29 de outubro de 2026 10. Model Context Protocol, [Specification: Authorization Security Considerations (2026-07-28)](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization/security-considerations), 28 de julho de 2026. modelcontextprotocol.io/specification/2026-07-28/basic/authorization/security-considerations · conferido em 29 de outubro de 2026 ## Leia também - [O que é MCP (Model Context Protocol) e como os agentes de IA usam as ferramentas da empresa](https://agentes.chat/pt/guias/o-que-e-mcp) - [Governança de agentes de IA: quando o agente age sozinho e quando pede aprovação](https://agentes.chat/pt/guias/governanca-de-agentes-de-ia) - [Agentes de IA para empresas: como pessoas e agentes trabalham no mesmo chat](https://agentes.chat/pt/guias/agentes-de-ia-para-empresas) --- **Guarde um lugar para o seu time.** Deixe seu e-mail. Avisamos quando chegar a vez da sua onda. [Entrar na lista](https://agentes.chat/pt#lista)