Если вы нашли здесь ценность, пожалуйста, подумайте о главной роли.

Обзор

• Drop-in OAuth 2.1/OIDC шлюз для MCP-серверов — разместить его спереди, без изменений кода.
• Ваш idP, ваш выбор: Google, GitHub или любой OIDC-провайдер — например, Okta, Auth0, Azure AD, Keycloak — плюс необязательный пароль.
• Гибкое сопоставление пользователей: Поддержка точного сопоставления и шаблонов glob для авторизации пользователя (например, *@company.com)
• Безопасно публиковать локальные MCP-серверы: поддерживает все stdio, SSE и HTTP-транспорты. Для stdio трафик преобразуется в /mcp. Для SSE/HTTP он прокси как есть. Конечно, с аутентификацией.
• Проверено на основных MCP-клиентах: Claude, Claude Code, ChatGPT, GitHub Copilot, Cursor и др. — прокси сглаживает специфические для клиента особенности для стабильной аутентификации.

---

📖 Для подробного использования, конфигурации и примеров см. Документацию

Быстрый старт

Доменная связь и 80/443 должны быть доступны снаружи.

Скачайте бинарный файл со страницы релиза.

Если вы используете Stdio Transport

Вот и всё! Ваша HTTP-конечная точка теперь доступна по адресу https://{your-domain}/mcp.

• stdio (когда указана команда): конечная точка MCP — https://{your-domain}/mcp.

MCP Auth Proxy

If you found value here, please consider starring.

Overview

• Drop-in OAuth 2.1/OIDC gateway for MCP servers — put it in front, no code changes.
• Your IdP, your choice: Google, GitHub, or any OIDC provider — e.g. Okta, Auth0, Azure AD, Keycloak — plus optional password.
• Flexible user matching: Support exact matching and glob patterns for user authorization (e.g., *@company.com)
• Publish local MCP servers safely: Supports all stdio, SSE, and HTTP transports. For stdio, traffic is converted to /mcp. For SSE/HTTP, it’s proxied as-is. Of course, with authentication.
• Verified across major MCP clients: Claude, Claude Code, ChatGPT, GitHub Copilot, Cursor, etc. — the proxy smooths client-specific quirks for consistent auth.

---

📖 For detailed usage, configuration, and examples, see the Documentation

Quickstart

Domain binding & 80/443 must be accessible from outside.

Download binary from release page.

If you use stdio transport

./mcp-auth-proxy \
  --external-url https://{your-domain} \
  --tls-accept-tos \
  --password changeme \
  -- npx -y @modelcontextprotocol/server-filesystem ./

That’s it! Your HTTP endpoint is now available at https://{your-domain}/mcp.

• stdio (when a command is specified): MCP endpoint is https://{your-domain}/mcp.
• SSE/HTTP (when a URL is specified): MCP endpoint uses the backend’s original path (no conversion).

Already have certificates? Pass --tls-cert-file and --tls-key-file instead of --tls-accept-tos.

Why not MCP Gateway?

mcp-auth-proxy: A lightweight proxy that adds authentication to any MCP server (optional stdio→HTTP(S) conversion)
MCP Gateway: A hub to orchestrate multiple MCP servers (aggregation, catalog integration)

When to choose mcp-auth-proxy

• You just need to add auth to one or a few MCPs (enforce OAuth/OIDC/password-only)
• Catalog integration and aggregation aren’t needed (e.g., self-hosted or independently managed MCP deployments)

When to choose MCP Gateway

• You need to manage multiple MCPs centrally (aggregation, policies/permissions, auditing, centralized logging)
• You want catalog integration and aggregation

Note: They are not mutually exclusive. You can put mcp-auth-proxy in front of a Gateway’s public endpoint to enforce authentication if the Gateway itself doesn’t handle it.

TL;DR: Orchestrate many → Gateway / Expose safely & quickly → mcp-auth-proxy

Verified MCP Client