Anthropic permet à Claude d'émettre des assertions d'identité pour les plugins MCP

Anthropic a introduit une nouvelle fonctionnalité d'autorisation qui permet à Claude d'agir en tant qu'émetteur d'identité pour les plugins professionnels. Disponible en bêta pour les clients Team et Enterprise depuis le 4 novembre 2026, cette mise à jour permet des connexions automatiques aux services pris en charge sans nécessiter de connexions individuelles ni un support spécifique du fournisseur d'identité.

Ce qui s'est passé

Auparavant, connecter Claude à des outils professionnels tels que Notion, Figma ou Supabase obligeait les employés à s'authentifier individuellement sur chaque service. Cette friction était aggravée par la dépendance à l'extension Enterprise-Managed Authorization (EMA) du Model Context Protocol (MCP), lancée en juin. Bien que l'EMA ait permis une gestion centralisée via les fournisseurs d'identité, seul Okta la prenait en charge au lancement, laissant de nombreuses organisations incapables d'automatiser ces connexions.

Pour combler ce vide, Anthropic a annoncé que Claude peut désormais émettre lui-même des assertions d'identité signées. Ces assertions permettent aux services MCP participants de reconnaître directement les employés comme membres de leur organisation. Boris Cherny, responsable des applications chez Anthropic, a souligné l'amélioration de l'expérience utilisateur, notant que se connecter un par un aux plugins d'entreprise est fastidieux et que l'auto-connexion résout ce point de douleur.

Les administrateurs peuvent configurer quels services sont activés et définir les accès en fonction des rôles des employés. Par exemple, les outils de productivité généraux pourraient être ouverts à tout le personnel, tandis que les bases de données sensibles restent restreintes à certaines équipes. Lorsqu'un utilisateur éligible accède à un plugin, Claude envoie une assertion signée au service, qui délivre ensuite un jeton d'accès. Ce processus gère également le renouvellement automatique des jetons, réduisant les invites d'autorisation répétitives.

Comment cela fonctionne

Le mécanisme repose sur le fait que Claude agit comme un émetteur de confiance plutôt que comme un fournisseur d'identité complet. Lorsqu'un utilisateur tente de se connecter à un service pris en charge, Claude génère une assertion signée confirmant l'appartenance de l'utilisateur à son organisation. Le service tiers valide cette assertion contre une URL d'émetteur enregistrée fournie par Anthropic. Si elle est valide, le service accorde l'accès selon ses propres règles internes de permission.

Cette approche découple la connectivité des plugins de l'infrastructure sous-jacente d'identité d'entreprise. Des services comme Supabase ont intégré cette capacité pour permettre aux clients d'utiliser Claude pour l'authentification, même si leur fournisseur d'identité principal ne prend pas en charge l'extension EMA. Le service applique toujours ses propres contrôles d'accès, ce qui signifie que les employés doivent disposer de comptes et d'autorisations correspondants dans l'application cible.

Les responsabilités en matière de sécurité restent partagées. Alors que Claude vérifie l'appartenance à l'organisation, le service connecté gère l'accès réel aux données. Les administrateurs doivent veiller à ce que les employés partants soient retirés à la fois de Claude et des services individuels, car révoquer l'accès uniquement dans le fournisseur d'identité d'entreprise n'invalidera pas les assertions émises par Claude.

Détails clés

• La fonctionnalité est actuellement en bêta pour les clients Anthropic Team et Enterprise.
• Quatorze services prennent en charge l'auto-connexion au lancement, notamment Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush et Supabase.
• Claude émet des assertions d'identité signées que les services MCP participants utilisent pour vérifier le statut des employés.
• Les administrateurs contrôlent quels services sont activés et associent les accès à des rôles spécifiques d'employés.
• Le système gère automatiquement le rafraîchissement des jetons, éliminant le besoin de re-autorisations manuelles répétées.
• La révocation de l'accès nécessite le retrait des utilisateurs à la fois de Claude et du service cible, et non seulement du fournisseur d'identité d'entreprise.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables techniques, ce changement réduit la charge opérationnelle liée à la gestion des workflows agentiques. En supprimant la dépendance à des fournisseurs d'identité spécifiques comme Okta, les organisations peuvent adopter plus rapidement les plugins basés sur MCP, indépendamment de leur infrastructure informatique existante. Cela démocratise l'accès aux intégrations IA avancées pour les entreprises utilisant des solutions d'identité moins courantes ou personnalisées.

Ce changement impacte également la manière dont les développeurs construisent et sécurisent les serveurs MCP. Prendre en charge les assertions émises par Claude nécessite la mise en œuvre d'une logique de validation pour ces jetons signés spécifiques. Cependant, cela simplifie considérablement le parcours d'intégration des utilisateurs, pouvant potentiellement augmenter les taux d'adoption des outils internes. Les développeurs doivent rester vigilants concernant la modélisation des permissions, afin de garantir que la commodité de l'auto-connexion ne contourne pas les contrôles d'accès basés sur les rôles nécessaires au sein de leurs applications.

Ce que vous pouvez faire

• Examinez la liste des quatorze services pris en charge pour identifier les opportunités d'intégration immédiates pour votre équipe.
• Si vous construisez des serveurs MCP, implémentez la prise en charge de la validation des assertions d'identité signées émises par Claude.
• Configurez des politiques d'accès basées sur les rôles dans Claude pour restreindre les connexions aux plugins sensibles au personnel autorisé uniquement.
• Auditez vos procédures actuelles de départ pour vous assurer que les utilisateurs sont retirés à la fois de Claude et des services individuels.
• Testez la fonctionnalité d'auto-connexion avec un outil non critique comme Notion ou Linear pour évaluer l'expérience utilisateur.
• Surveillez la documentation d'Anthropic pour les mises à jour à mesure que davantage de services rejoignent l'écosystème d'auto-connexion.