MCP HTTP 401 und 403: Anmeldung und Rechte prüfen
MCP meldet HTTP 401 oder 403? Endpunkt, Konto, OAuth-Zielressource, Scopes und Origin unterscheiden. Mit Prüftabelle und klaren Ergebniskriterien.
Zuerst die fehlgeschlagene Anfrage bestimmen
Notieren Sie, ob die Verbindung schon bei der Initialisierung scheitert oder erst beim Zugriff auf eine Datei, ein Repository oder einen Kalender. Im zweiten Fall kann der MCP-Zugang funktionieren, während die dahinterliegende Anwendung eine Operation ablehnt. Diese Unterscheidung entscheidet, welche Anmeldung und welche Rechte Sie prüfen. Halten Sie außerdem Zeitpunkt, Clientfassung und die bereinigte Fehlermeldung fest. Entfernen Sie Tokenwerte aus jedem geteilten Protokoll.
HTTP 401: den Anmeldeweg nachvollziehen
Prüfen Sie zuerst die vollständige Serveradresse und den WWW-Authenticate-Hinweis der Antwort. Ein Zugang für die normale Anbieter-API ist nicht automatisch ein Zugang zum MCP-Endpunkt. Der MCP-Autorisierungsablauf unterscheidet die geschützte Ressource und den Autorisierungsserver. Verwenden Sie den dokumentierten Clientablauf und melden Sie sich mit dem vorgesehenen Konto erneut an. Prüfen Sie lokal, ob ein Zugang abgelaufen ist oder zur falschen Zielressource gehört. Geben Sie einen Token nicht an eine fremde Adresse weiter, um dessen Gültigkeit auszuprobieren.
HTTP 403: Berechtigung oder Anfragekontext
Eine 403 legt die Ursache nicht eindeutig fest. Fehlende Scopes sind eine Möglichkeit; daneben kommen Organisationsregeln, Ressourcenfreigaben oder ein abgewiesener Origin infrage. Die Transportbeschreibung verlangt bei einem ungültigen, mitgesendeten Origin eine 403. Lesen Sie deshalb den Fehlertext und die dokumentierten Anforderungen, bevor Sie Rechte erweitern. Prüfen Sie bei einem Ressourcenfehler genau das Objekt, das der Aufruf benötigt. Ein Konto kann ein Repository sehen, ohne alle anderen Repositories derselben Organisation lesen zu dürfen.
| Beobachtung | Nächster Schritt |
|---|---|
| 401 bei Initialisierung | Serveradresse und Anmeldehinweis prüfen |
| 403 mit Scope-Hinweis | Benötigte Operation und Rechte abgleichen |
| 403 mit Origin-Hinweis | Clientadresse und Serverfreigabe prüfen |
| Fehler erst im Werkzeugaufruf | Konto und Zielressource der Anbieter-API prüfen |
Mit einem begrenzten Zugriff erneut testen
Wählen Sie eine bekannte Testressource, für die das vorgesehene Konto ausdrücklich Zugriff hat. Prüfen Sie zunächst die Initialisierung und dann genau einen kleinen Leseaufruf. Dokumentieren Sie, welche Änderung den Fehler beseitigt hat. Ein erfolgreicher Login bestätigt noch keinen erfolgreichen fachlichen Zugriff. Umgekehrt ist eine fehlende Ressource nicht automatisch ein Anmeldefehler. Falls der Fehler bleibt, geben Sie dem Betreiber die Stufe, Uhrzeit und bereinigte Anfragekennung weiter, sofern der Dienst eine liefert.
Ordnen Sie die Meldung der Initialisierung oder einer Operation zu.
Ändern Sie nur die zur Meldung passende Anmeldung oder Freigabe.
Wiederholen Sie den begrenzten Test und notieren Sie das Ergebnis.
Im Fehler-Navigator finden Sie weitere Fehlerbilder und passende nächste Schritte. Die Konfigurationsvorlage hilft beim Abgleich des Formats. Nutzen Sie den Registervergleich, wenn ähnlich benannte Einträge unterschiedliche Pakete oder Startwege führen. Eine Registerangabe beschreibt die Quelle; sie ersetzt Ihren Verbindungstest nicht.
- Behebt ein neuer Token jede 403?
- Nein. Eine Organisationsregel, fehlende Ressourcenfreigabe oder ein Origin-Fehler bleibt dadurch möglicherweise unverändert.
- Soll ich alle Scopes freigeben?
- Prüfen Sie die dokumentierten Rechte der benötigten Operation. Eine pauschale Erweiterung erschwert die Ursachenklärung.
- Welche Angaben helfen bei einer Fehlermeldung?
- Serveradresse ohne Geheimnisse, Zeitpunkt, Clientfassung, fehlgeschlagene Stufe und bereinigte Anfragekennung helfen, den Fehler einzugrenzen.
- Beweist eine erfolgreiche Anmeldung den Dateizugriff?
- Nein. Das angemeldete Konto braucht weiterhin Zugriff auf die konkrete Datei oder andere Zielressource.
Quellen geprüft am 1. Oktober 2026. Die Prüfschritte sind redaktionelle Vorschläge für Ihre eigene Umgebung.
- MCP 2025-11-25: Authorization
Abrufbefehl anzeigen
curl -s https://modelcontextprotocol.io/specification/2025-11-25/basic/authorization - MCP 2025-11-25: Transports
Abrufbefehl anzeigen
curl -s https://modelcontextprotocol.io/specification/2025-11-25/basic/transports - MCP: Debugging
Abrufbefehl anzeigen
curl -s https://modelcontextprotocol.io/docs/tools/debugging