Soll ich MCP mit OAuth oder mit einem API Key verbinden?

Wann nehme ich OAuth, wann den API Key?

OAuth, wo das Programm es kann. Claude Code, Claude im Browser und am Desktop, Copilot Studio und ChatGPT beschreiben die Anmeldung im Browser in ihren Anleitungen; ChatGPT kann laut OpenAI keinen Schlüssel senden.

Getestet haben wir bisher Claude Code, mit beiden Wegen.

Den API Key für Skripte, eigene Agenten und Programme, die keinen Browser öffnen. Bewahren Sie ihn in einer Umgebungsvariable oder einem Passwortmanager auf, in keiner Datei, die Sie teilen oder in ein Repository legen.

Wie funktioniert die Anmeldung mit OAuth?

Der Assistent öffnet die Anmeldeseite Ihrer Instanz. Sie melden sich an, sehen, welcher Assistent für welches Unternehmen fragt und wohin der Browser zurückgeht, und klicken „Erlauben“.

OAuth ist das Verfahren, mit dem sich ein Programm in Ihrem Namen anmeldet, ohne Ihr Passwort zu sehen. Der Durchgang nutzt OAuth 2.1 mit PKCE: Nur das Programm, das die Anmeldung begonnen hat, kann den Zugang abholen.

Das Programm registriert sich dabei selbst (Dynamic Client Registration). Die Instanz ist ihr eigener Anmeldedienst, auch selbst gehostet ist kein Dritter beteiligt.

Wie lange gilt die Anmeldung mit OAuth?

Der Assistent bekommt zwei Token, also Ausweise mit Ablaufdatum. Mit dem Zugangstoken ruft er den Durchgang auf; es gilt eine Stunde. Mit dem Erneuerungstoken holt er sich ein neues, und jede Erneuerung ersetzt auch das Erneuerungstoken, das 30 Tage gilt.

Kommt dasselbe Erneuerungstoken innerhalb einer Minute noch einmal, nimmt der Server es an. Das passiert, wenn ein Programm zweimal gleichzeitig erneuert oder eine Antwort unterwegs verloren geht.

Kommt es später noch einmal, behandelt der Server es als kopiert und trennt jeden Assistenten dieser Person, den Schlüssel eingeschlossen. Haben Original und Kopie beide innerhalb der Minute erneuert, fällt das auf, sobald beide noch einmal erneuern.

Spätestens 90 Tage nach Ihrem „Erlauben“ endet die Anmeldung, wie oft der Assistent auch erneuert hat. Dann erlauben Sie ihn neu.

Wie funktioniert der API Key?

In den Einstellungen erzeugt „Schlüssel erzeugen“ einen Schlüssel. Er wird nur in diesem Moment angezeigt und nirgends gespeichert, die App kann ihn also nicht noch einmal zeigen.

Er gilt 90 Tage, als Sie und mit Ihrer Rolle, in dem Unternehmen, das beim Erzeugen geöffnet war. Das Programm sendet ihn im Header Authorization als Bearer.

Pro Unternehmen haben Sie einen Schlüssel. Ein neuer beendet den bisherigen; Assistenten, die sich im Browser angemeldet haben, bleiben verbunden.

Warum verlangen beide eine frische Anmeldung?

Beide Wege überleben das Abmelden im Browser: Ein Assistent bleibt verbunden, auch wenn Sie sich abmelden. Deshalb verlangen „Schlüssel erzeugen“ und „Erlauben“ eine Anmeldung aus den letzten 15 Minuten.

Bei einer älteren Sitzung schickt die Seite Sie zur Anmeldung und bringt Sie danach zurück.

Jede neue Verbindung meldet Ihnen die App per E-Mail. Waren Sie es nicht, trennen Sie alle Assistenten und ändern Ihr Passwort.

Was beendet eine Verbindung?

„Trennen“ in den Einstellungen beendet eine einzelne Verbindung beim nächsten Aufruf. „Alle Assistenten trennen“ und jede Änderung Ihres Passworts beenden den Schlüssel und jede Anmeldung im Browser auf einmal.

Verlassen Sie das Unternehmen oder werden entfernt, enden beide endgültig. Schaltet ein Admin „Assistenten für dieses Unternehmen erlauben“ aus, enden die Verbindungen aller Mitglieder. Einzelheiten stehen in unserem Artikel zum Trennen einer MCP Verbindung.