Cline Desktop přidal přihlášení přes OAuth k vzdáleným serverům MCP

Cline Desktop se umí připojit k serverům MCP, které agentovi nabízejí nástroje a data přes síť. Dosud u nich chyběl běžný způsob přihlášení přes OAuth. Vydání 0.0.10 ze 7. srpna ho přidalo přímo na stránku Settings → MCP.

U serveru lze spustit autorizaci, sledovat její stav a rozpracované přihlášení zrušit nebo zopakovat. Chyba se nově ukáže u konkrétního serveru, nikoli jako obecný problém celé stránky. Cline zároveň doplnil variantu pro provozovatele, kteří klientovi předem vydají vlastní ID a tajný klíč.

Heslo zůstává u poskytovatele

OAuth v tomto případě neznamená, že Cline dostane uživatelovo heslo. Desktop otevře autorizační stránku provozovatele, uživatel se přihlásí tam a schválí požadovaný přístup. Cline si z výsledku odnese přístupový token, kterým se prokazuje při dalších požadavcích na vzdálený server MCP.

Specifikace MCP z 28. července 2026 tento postup vyžaduje jen pro transport přes HTTP; samotná autorizace je v protokolu volitelná. U místních serverů spuštěných přes standardní vstup a výstup naopak doporučuje předávat přihlašovací údaje proměnnými prostředí. Novinka v Cline se tedy týká hlavně služeb, které běží jinde a klient k nim chodí po síti.

Celý tok má několik pojistek. Klient nejprve zjistí, který autorizační server chráněný zdroj používá. Při přihlášení pracuje s PKCE, tedy s jednorázovou vazbou mezi zahájeným a dokončeným požadavkem, a žádá token určený právě pro daný server MCP. Specifikace zakazuje posílat token v adrese; patří do autorizační hlavičky požadavku.

Dvě cesty, jak server pozná Cline

Ještě před přihlášením musí autorizační server vědět, kdo je klient, kam smí po úspěchu uživatele vrátit a jaké způsoby ověření používá. Poznámky k vydání Cline jmenují dvě řešení.

První je dynamická registrace. Cline pošle popis sebe sama registračnímu rozhraní serveru a dostane ID klienta, případně další údaje. Výhodou je, že uživatel nemusí nic opisovat. Druhou cestou je předem registrovaný klient: provozovatel služby vytvoří záznam ručně a uživatel vloží přidělené ID a tajný klíč do konfigurace serveru v Cline. To se hodí u služeb, které automatickou registraci nepovolují.

Aktuální kapitola MCP o registraci klientů už ale za přednostní mechanismus považuje dokument s metadaty klienta dostupný na jeho HTTPS adrese. Dynamickou registraci ponechává kvůli zpětné kompatibilitě a označuje ji za zastarávající. Předem registrované údaje zůstávají jednou ze tří dovolených cest.

Cline ve vydání 0.0.10 výslovně mluví o dynamické a předem registrované variantě. O podpoře dokumentů s metadaty klienta poznámky k vydání nic neříkají. Z dostupných podkladů proto nejde tvrdit, že Desktop už pokrývá i novou přednostní cestu současné specifikace.

Změna konfigurace zahodí staré tokeny

Přidání OAuth není jen nové tlačítko. Cline při změně klientské konfigurace uložené tokeny zneplatní. Kdyby uživatel změnil ID klienta, tajný klíč nebo navázaný server a starý token zůstal použitelný, mohl by se požadavek vydávat za jinou konfiguraci, než jakou ukazuje nastavení.

Stejný princip požaduje i specifikace MCP: údaje získané předběžnou či dynamickou registrací se mají vázat ke konkrétnímu autorizačnímu serveru. Když se jeho identita změní, klient je nesmí znovu použít a musí registraci provést znovu.

Vydání opravuje také okolí připojení. Neplatná konfigurace serveru se zobrazí přímo v jeho detailu a jednotlivé servery mají vlastní chybový stav. Selhání jednoho připojení tak už nemá překrýt stav ostatních serverů na stránce MCP.

OAuth neříká, co smí nástroj udělat

Přihlášení řeší identitu a rozsah přístupu ke službě. Neříká ale, zda má agent smět odeslat soubor, změnit záznam nebo spustit vzdálený příkaz. O tom dál rozhodují oprávnění serveru, udělené rozsahy a potvrzování konkrétních nástrojů v Cline.

Praktický přínos je užší: vzdálený server MCP už nemusí spoléhat na ručně vložený dlouhodobý token bez přehledného přihlašovacího toku. Uživatel vidí, že autorizace běží, může ji přerušit a při změně klientských údajů Cline staré tokeny neponechá. Pro firemní server s předem přidělenými údaji přibyla cesta, kterou vydání 0.0.9 ještě ve svých novinkách neuvádělo.