MCPのOAuthとAPIトークンは何が違うのか

MCPを接続するとき、OAuthを選ぶべきか、APIトークンを入れるべきか迷うことがあります。まず接続先が案内する認証方式と、利用するAIクライアントの対応を確認しましょう。

OAuthは、本人が許可した範囲をアプリへ委任する仕組みです。APIトークンは発行された秘密情報を使って認証する方法です。どちらも権限と解除の確認が必要で、OAuthなら何でも安全、トークンなら何でも危険という分け方はしません。

まず、ほかの方法と比べる

OAuthのClient IDはアプリを識別する情報で、本人のアクセストークンとは別です。Client IDの入力を求められた場所へ、パスワードやAPIトークンを代わりに入れないでください。

MCPの認証対応はクライアント、接続方式、サーバー設定によって違います。ローカルで動くサーバーと、遠隔のHTTPサーバーでも設定が異なります。AccountHubには公開ガイドの接続方式があるので、自分のクライアント向けの案内を使います。

小さく試してみる

まず、接続するサービスの正式なURLと、利用するクライアントを確認します。ガイドがOAuthを案内する場合は、本人のサインインと許可内容を確認します。トークン方式を案内する場合も、専用の秘密情報入力先だけを使い、チャットや公開URLへ貼りません。

AccountHubに接続できたら、接続した本人のアカウントと検索できるサービスを確認してください。次に、私が指定した一つのGmailアカウントのテストメールを検索してください。秘密情報は表示せず、接続不足や権限不足を区別してください。送信や変更はしないでください。

結果を確認する

認証が通ったことと、必要な外部サービスを読めることは別です。AccountHubへのサインイン、Googleなどのサービス接続、AIの接続を分けて確認します。

認証で止まる場合は、エラー文、クライアント、接続URL、選んだ方式を記録します。秘密値は含めません。Client IDが必要な理由は接続先の設定で確認し、推測で値を作ったり認証を無効にしたりしないでください。不要になった資格情報は、発行元の手順で失効・削除します。 AccountHubの公開ガイドが案内するOAuth接続と、個人用APIトークンは別です。秘密値を接続URLに付け足さず、ガイドで指定された入力先を使います。個人用トークンを他人との共通ログインとして配らないでください。

次に使うなら

ガイドどおりの方式で接続できたら、一件の読み取りまで確認しましょう。認証の成功だけで終わらず、必要な用途に使えるかを見ることが大切です。

接続ガイドで、この用途を1件試す

参照資料

• MCP authorization
• Google OAuth2
• AccountHub guide

---

AccountHub運営側の下書きです。内山本人の執筆・確認済み記事ではありません。入力例は今回の実行結果ではありません。機能と資料の確認日：2026年10月13日。

公開中の機能を確認する