مصادقة MCP في عام 2026

غيّر بروتوكول سياق النموذج (Model Context Protocol - MCP) طريقة تواصل الوكلاء (agents) مع الخوادم. بدأ الأمر بأدوات محلية مثل الآلات الحاسبة، والآن أصبح يعمل على خوادم بعيدة. هذا التحول جعل المصادقة (authentication) متطلباً أساسياً.

إذا كنت ترغب في إضافة OAuth إلى خادم MCP الخاص بك، فاستعد لهدف متحرك؛ فالمواصفات تتغير كل بضعة أشهر، وتستخدم الوكلاء المختلفة إصدارات متنوعة من القواعد.

إليك الوضع الحالي لمصادقة MCP.

التحول الجوهري

خادم MCP الخاص بك ليس خادم تفويض (authorization server)، بل هو خادم موارد (resource server).

في الماضي، كانت المواصفات تجبر الخوادم على التعامل مع الرموز (tokens) وعمليات تسجيل الدخول، مما جعل الخوادم ثقيلة ويصعب توسيع نطاقها. وقد أشار خبراء مثل Aaron Parecki و Christian Posta إلى ذلك، وجادلوا بأن خوادم MCP يجب أن تكتفي فقط بالتحقق من صحة الرموز (validate tokens).

اليوم، يتبع المعيار هذا التدفق:

• يتلقى الطلب غير المصادق عليه خطأ 401. • يخبر الخطأ العميل بمكان العثور على البيانات الوصفية للمورد (resource metadata). • يجد العميل خادم التفويض الصحيح (مثل Okta أو Keycloak). • يحصل العميل على رمز (token) ويقدمه إلى خادم MCP الخاص بك. • يقوم خادمك بالتحقق من صحة الرمز وتشغيل الأداة.

مشكلة التجزئة

على الرغم من وجود معيار، إلا أن كل وكيل يطبقه بشكل مختلف.

• Claude Desktop: يشغل تدفق OAuth كاملاً. • Claude API: يتطلب منك تمرير رمز الحامل (bearer token) الخاص بك. • ChatGPT: يستخدم CIMD للتسجيل ويدعم أحدث المواصفات. • Gemini: يستخدم Google Cloud IAM ومفاتيح API. • VS Code: يدعم مزودي GitHub و Entra.

وهذا يعني أن الخادم الذي تم بناؤه لوكيل واحد قد يفشل مع وكيل آخر. فقد يتطلب أحد الموردين تدفق تسجيل دخول كاملاً، بينما يتوقع آخر منك إدارة الرمز بنفسك.

ثلاثة دروس للمطورين

  1. استهدف نموذج خادم الموارد (Resource Server). لا تحاول أن تصبح مزود هوية (identity provider). استخدم RFC 9728 لتقديم البيانات الوصفية والتحقق من الجمهور (audience).

  2. ادعم العالمين. ابنِ خادمك ليتعامل مع كل من استدعاءات API بنظام "أحضر رمزك الخاص" (bring your own token) وتدفقات OAuth الكاملة.

  3. توقع تحديثات مستمرة. لا تزال المواصفات في طور التطور. لا يزال OAuth 2.1 مسودة، ولا يزال بروتوكول MCP يبحث عن مكانته المستقرة.

بناء خوادم MCP أمر صعب في الوقت الحالي، فالقواعد تتغير بسرعة. إذا حافظت على مرونتك والتزمت بنموذج خادم الموارد، فستنجو من هذه التحولات.

المصدر: https://dev.to/0ndreu/mcp-authentication-in-2026-how-oauth-flipped-the-servers-role-and-why-every-agent-differs-11fm

مجتمع تعليمي اختياري: https://t.me/GyaanSetuAi