Andere MCP-Clients verbinden

Neben Claude und ChatGPT funktioniert jeder MCP-Client, der entfernte Server über HTTP und die Anmeldung per OAuth unterstützt – etwa IDEs wie Cursor oder der MCP Inspector zum Testen. Dieser Artikel richtet sich an alle, die einen solchen Client selbst einrichten oder eine eigene Anbindung bauen.

#Die Eckdaten

Server-URL

https://dock.at-harbor.com/mcp

Transport

Streamable HTTP, zustandslos. Jede Anfrage ist ein POST mit einer JSON-RPC-Nachricht (oder einem Batch), die Antwort kommt als JSON. Es gibt keine Session-ID und keinen Server-Stream.

Protokollversionen

2025-11-25, 2025-06-18 und 2025-03-26

Methoden

initialize, ping, tools/list und tools/call. Ressourcen und Prompts bietet der Server nicht an.

Anmeldung

OAuth 2.1 mit PKCE (S256). Ohne Token antwortet der Server mit 401 und verweist im Header WWW-Authenticate auf seine Metadaten.

#In einem Client einrichten

1. Füge in deinem Client einen entfernten MCP-Server hinzu (oft „Remote“, „HTTP“ oder „Streamable HTTP“ genannt)
2. Trage https://dock.at-harbor.com/mcp als URL ein
3. Lass Client-ID und Secret leer – der Client registriert sich selbst
4. Starte die Verbindung; im Browser öffnet sich die Anmeldung und danach die Zustimmungsseite von LinkHarbor
5. Wähle Workspace und Berechtigungen und klicke auf „Erlauben“

Wie die Einstellung im Client heißt, ist von Programm zu Programm verschieden. Im MCP Inspector wählst du zum Beispiel den Transport „Streamable HTTP“.

#Der OAuth-Ablauf im Detail

1. Der Client ruft den MCP-Server ohne Token auf und bekommt 401 mit einem Verweis auf die Ressourcen-Metadaten
2. Er liest die Metadaten des Autorisierungsservers (Endpunkte, unterstützte Verfahren, Berechtigungen)
3. Er registriert sich selbst: per Dynamic Client Registration oder mit einem Client-Metadaten-Dokument unter einer https-URL
4. Er öffnet den Browser mit der Autorisierungsanfrage inklusive PKCE und resource=https://dock.at-harbor.com/mcp
5. Du meldest dich an und entscheidest auf der Zustimmungsseite
6. Der Client tauscht den Code gegen ein Access-Token und ein Refresh-Token

Fragt ein Client keine Berechtigungen an, werden alle angefragt; du kannst sie auf der Zustimmungsseite trotzdem einschränken. Wird ein bereits ersetztes Refresh-Token erneut benutzt, beendet LinkHarbor die ganze Verbindung aus Sicherheitsgründen.

#Regeln für Rücksprungadressen

• https-Adressen
• http nur für Loopback-Adressen auf dem eigenen Rechner (für Desktop-Clients und IDEs)
• Eigene App-Schemata in umgekehrter Domain-Schreibweise
• Höchstens 10 Adressen pro Client, keine Fragmente

Schickt eine App eine Adresse, die für sie nicht registriert ist, bricht LinkHarbor ab: „Die App hat eine Rücksprungadresse geschickt, die für sie nicht registriert ist. Die Anfrage wurde gestoppt.“

#Discovery-Adressen für Entwickler

#Unbekannte Apps

Apps, deren Rücksprungadressen alle auf claude.ai, claude.com, chatgpt.com oder openai.com liegen, gelten als bekannt. Programme auf deinem eigenen Rechner, die über localhost zurückkehren – etwa Claude Code, Codex und IDEs –, zeigen auf der Zustimmungsseite den Hinweis „LinkHarbor kennt diese App nicht. Sie läuft auf deinem eigenen Rechner. Mach nur weiter, wenn du sie gerade selbst gestartet hast.“ und unten „Nach deiner Wahl geht es zurück zur App auf deinem Rechner.“ Andere unbekannte Web-Apps zeigen „LinkHarbor kennt diese App nicht. Mach nur weiter, wenn du das selbst gestartet hast und … vertraust.“, wobei an der Stelle der Punkte ihre Adresse steht. Beides ist normal, wenn du den Client gerade selbst eingerichtet hast. Ein Logo erscheint nur, wenn die App eines mitschickt. Hast du die Anmeldung nicht selbst gestartet, klicke auf „Ablehnen“.