Vercel MCP, manuel client onaylama listesinin yerini Client ID Metadata Documents ile değiştirdi

Vercel, MCP sunucusuna hangi client'ların bağlanabileceğini belirleyen manuel onaylama listesini kaldırdı. Vercel changelog'a göre artık herhangi bir MCP client Vercel MCP'ye bağlantı isteğinde bulunabiliyor. Kullanıcılar yine giriş yapıp her bağlantıyı onaylıyor, ancak client'ın artık önce Vercel tarafından incelenmesi gerekmiyor.

Bu değişiklik, elle yapılan seçkilendirmeyi protokol düzeyinde bir mekanizmayla değiştiriyor: Client ID Metadata Documents. MCP yetkilendirme belirtimi bu yaklaşımı artık OAuth Dynamic Client Registration'a tercih edilmesi gereken yöntem olarak öneriyor.

Onaylama listesinin yerini alan şey

Daha önce Vercel her client'ı ve yönlendirme URI'lerini elle inceliyor, listede olmayan her şey reddediliyordu. Bu, her erişim isteyen client için bir inceleme adabı pahasına, Vercel'e MCP sunucusuyla konuşabilecek şeyler üzerinde doğrudan kontrol sağlıyordu.

Client ID Metadata Documents nasıl çalışır

Yeni modelde bir client, Client ID Metadata Document (client'ı tanımlayan ve kendi alan adında barındırılan bir JSON dosyası) yayınlar ve bu dosyanın HTTPS URL'sini OAuth client_id olarak kullanır.

client_id belgenin URL'si olduğu için client'ın kimliği, belgeyi sunan alan adına bağlanır. Beklenecek bir onay listesi kaydı yoktur; belgenin kendisi kaydın yerini alır. Vercel'e göre bu, MCP yetkilendirme belirtimine uygun; belirtim artık CIMD'yı, client'ların runtime'da bir authorization sunucusuna programatik olarak kaydolduğu OAuth mekanizması olan Dynamic Client Registration'a tercih ediyor.

Kullanıcılar bağlantı onaylarken ne görüyor

Vercel CIMD tabanlı client'ları incelemediği için onay ekranı, kökenlerini görünür kılmak üzere tasarlanmış. Ekranda client'ın adı, logosu ve metadata belgesini sunan hostname gösteriliyor; changelog örnek olarak "Claude Code by claude.ai" ifadesinin nasıl göründüğünü veriyor.

Bu client'lar, incelenmiş client'ların taşıdığı Vercel verified rozetini almıyor. Bunun yerine, kullanıcının bir bağlantıyı onaylarken fiilen güvendiği şey hostname oluyor. Vercel'e zaten kayıtlı uygulamalar ise değişmeden kalıyor.

Neden önemli

Client geliştiricileri için Vercel MCP ile entegrasyon engeli ciddi biçimde düşüyor: inceleme döngüsü yok, onay listesi kaydı yok; sadece client'ın kontrol ettiği bir alan adında yayınlanan bir JSON belge ve ona işaret eden bir OAuth akışı var.

Daha geniş MCP ekosistemi için bu hamle yön konusunda bir sinyal. MCP yetkilendirme belirtimi artık CIMD'yı Dynamic Client Registration'a tercih ettiğine göre, diğer sunucu işletmecileri de aynı seçimle karşı karşıya; Vercel'in uygulaması, büyük bir işletmecinin CIMD tarafında konumlanmasının somut bir örneği.

Ödünleşim ise güvenin platform seçkilendirmesinden alan adı kimliğine geçmesi. Verified rozeti, Vercel'de bir insanın client'ı incelediği anlamına geliyordu; CIMD ile pratikteki kontrol, onay ekranındaki hostname'in kullanıcının tanıdığı bir şey olup olmadığı. Bu, kullanıcıların onaylamadan önce hostname'i fark etmesine ve client geliştiricilerinin metadata belgelerini sunan alan adları üzerindeki denetimlerini sıkı tutmasına daha fazla ağırlık yüklüyor.