A conexão administrada elimina autorizações individuais, mas muda o ponto de controle de identidade. Defina como retirar o acesso nos dois sistemas antes de habilitar.
O que a novidade permite#
Em 3 de novembro de 2026, o Supabase anunciou que Claude pode emitir asserções ID-JAG assinadas quando o provedor de identidade não suporta a extensão MCP correspondente. Supabase exige Team ou Enterprise com SSO; auto-connect do Claude está em beta para Claude Team e Enterprise.
Documentação: Supabase · Claude-issued enterprise-managed auth, 3 November 2026 ↗
O que cada sistema valida#
Claude verifica participação na organização e o e-mail da conta. Supabase valida assinatura, identidade SSO correspondente e autorização administrativa, emitindo um token de curta duração com as permissões do membro. Esse fluxo não verifica por si só MFA nem uma sessão ativa no provedor de identidade.
| Situação | O que verificar |
|---|---|
| Entrada de uma pessoa | E-mail e identidade SSO correspondem; o papel está autorizado. |
| Mudança de papel | O acesso efetivo no Supabase corresponde ao papel esperado. |
| Suspensão no IdP | Não presumir que isso impede novas asserções do Claude. |
| Desligamento | Remover o membro do Claude e do Supabase; considerar tokens já emitidos. |
Documentação: Supabase · Enterprise-Managed Authorization for MCP ↗
Decidir se vale mudar o emissor#
Supabase aceita um emissor por provedor SSO. Registrar o emissor do Claude substitui o do IdP e pode afetar outras ferramentas que o utilizam. Se o emissor atual funciona, identifique seus consumidores antes de mudar e preserve a configuração necessária para restaurar o fluxo anterior.
Documentação: Supabase · Enterprise-Managed Authorization for MCP ↗
Uma verificação de acesso em staging#
- Use membros de teste identificáveis e recursos de staging para separar conexão bem-sucedida de permissões corretas.
- Teste uma pessoa autorizada e outra sem participação ou identidade correspondente; confirme que a segunda não acessa recursos.
- Verifique a remoção nos dois sistemas e a validade de tokens já emitidos. Documente quem executa cada etapa do desligamento.
- Revise o emissor e os aplicativos autorizados após a mudança e registre como restaurar o emissor anterior ou revogar o cliente.
Antes de habilitar o conector, defina quem autoriza mudanças e quem retira acessos; o procedimento deve abranger toda a organização.
Evidência e escopo
Documentação verificada · Fontes revisadas:
Método
Se contrastaron el anuncio del 3 de noviembre y la documentación de autorización MCP de Supabase. La matriz distingue autenticación, permisos y retirada de acceso; la pauta de staging es una propuesta de verificación.
Limitações
- No se configuró ningún conector, emisor, cuenta o permiso. La disponibilidad de Claude auto-connect sigue en beta y depende de la organización.
Próxima revisão prevista:
Fontes e escopo
Documentação consultada em 4 de novembro de 2026. Os exemplos e critérios de decisão são propostas editoriais; adapte-os ao contrato da sua aplicação e valide-os no seu ambiente de testes autorizado.