#03 OAUTH Faille

CIMD : tout client MCP peut se connecter à Vercel

Plus de liste blanche : le nom d'hôte devient votre garde-fou.

Vercel MCP n'exige plus que chaque client soit approuvé à la main : un client publie un document JSON sur son domaine, et l'URL HTTPS de ce document sert de client_id OAuth. La spécification d'autorisation MCP recommande désormais cette méthode (CIMD) plutôt que l'enregistrement dynamique. En contrepartie, l'écran de consentement n'affiche plus qu'un nom d'hôte à juger.

3 novembre 20261 min de lectureavancévidéo 1:19

Sommaire3 sections

Ce qui change
Ce que ça change pour vous
À retenir

Ce qui change

Avant, Vercel inscrivait à la main chaque client MCP et ses URI de redirection ; les autres étaient refusés. Désormais, tout client peut demander une connexion grâce aux Client ID Metadata Documents (CIMD), que la spécification d'autorisation de MCP recommande maintenant plutôt que l'enregistrement dynamique de clients.

Ce que ça change pour vous

Vous vous connectez et approuvez toujours chaque connexion.
Vercel n'a plus relu le client : l'écran montre son nom, son logo et le nom d'hôte du document, par exemple « Claude Code by claude.ai ». Un client CIMD n'a pas le badge Vérifié : c'est ce nom d'hôte que vous approuvez.
Les applications déjà enregistrées ne changent pas.

À retenir

Client : publier un JSON en HTTPS, son URL devient le client_id. Serveur MCP : accepter un client_id en URL. Utilisateur : lire le nom d'hôte avant de cliquer.

Source : changelog Vercel, en anglais.