La conexión administrada evita autorizaciones individuales, pero cambia el punto de control de identidad. Define cómo retirar acceso en ambos sistemas antes de habilitarla.
Qué permite la novedad#
Supabase anunció el 3 de noviembre de 2026 que Claude puede emitir la aserción firmada ID-JAG cuando el proveedor de identidad no soporta la extensión MCP correspondiente. Supabase exige una organización Team o Enterprise con SSO; auto-connect de Claude está en beta para Claude Team y Enterprise.
Documentación: Supabase · Claude-issued enterprise-managed auth, 3 November 2026 ↗
Qué valida cada sistema#
Claude comprueba pertenencia a su organización y correo de la cuenta. Supabase valida firma, identidad SSO coincidente y autorización del administrador, y emite un token de corta duración con los permisos del miembro. Esta vía no añade por sí sola una comprobación de MFA ni una sesión vigente en el proveedor de identidad.
| Situación | Qué debes comprobar |
|---|---|
| Alta de una persona | Correo e identidad SSO coinciden; el rol es el autorizado. |
| Cambio de rol | El acceso efectivo coincide con el rol esperado en Supabase. |
| Suspensión en el IdP | No asumir que por sí sola corta nuevas aserciones de Claude. |
| Baja definitiva | Retirar a la persona de Claude y Supabase; considerar tokens ya emitidos. |
Documentación: Supabase · Enterprise-Managed Authorization for MCP ↗
Decidir si conviene cambiar de emisor#
Supabase admite un emisor por proveedor SSO. Registrar el de Claude sustituye al del IdP y puede afectar a otras herramientas que lo utilizaban. Si el emisor actual funciona, inventaría sus consumidores antes de cambiarlo; conserva la configuración necesaria para volver al flujo anterior.
Documentación: Supabase · Enterprise-Managed Authorization for MCP ↗
Una comprobación de acceso en staging#
- Usa miembros de prueba identificables y recursos de staging para separar conexión correcta de permisos correctos.
- Prueba una persona con acceso permitido y otra sin pertenencia o identidad coincidente; verifica que la segunda no acceda.
- Comprueba la retirada en los dos sistemas y la vida de los tokens ya emitidos. Documenta quién ejecuta cada paso de la baja.
- Revisa el emisor y las aplicaciones autorizadas después del cambio, y registra cómo restaurar el emisor anterior o revocar al cliente.
Antes de activar el conector, acuerda quién autoriza los cambios y quién retira los accesos; el procedimiento debe cubrir toda la organización.
Evidencia y alcance
Documentación verificada · Fuentes revisadas:
Método
Se contrastaron el anuncio del 3 de noviembre y la documentación de autorización MCP de Supabase. La matriz distingue autenticación, permisos y retirada de acceso; la pauta de staging es una propuesta de verificación.
Limitaciones
- No se configuró ningún conector, emisor, cuenta o permiso. La disponibilidad de Claude auto-connect sigue en beta y depende de la organización.
Próxima revisión prevista:
Fuentes y alcance
Documentación consultada el 4 de noviembre de 2026. Los ejemplos y criterios de decisión son propuestas editoriales; adáptalos al contrato de tu aplicación y valídalos en tu entorno de pruebas autorizado.