O Claude agora conecta seus apps sozinho no login: como funciona, quem aceita e o que conferir antes de ligar

O que você leva deste artigo

• O nome oficial é Enterprise-managed auth. O modo pelo provedor de identidade já está disponível; o modo em que o próprio Claude assina, o Claude-issued, está em beta desde 3 de novembro de 2026.
• Vale para os planos Team e Enterprise. No gratuito e no Pro, cada pessoa continua conectando os apps com o próprio login.
• Sete apps aceitam o Claude como emissor: Amplitude, Atlassian, Datadog, Figma, Linear, Notion e Supabase. Outros oito entram só pelo Okta.
• A configuração exige um administrador do Claude e um administrador do app, porque é o app que decide em quem confiar.
• O Claude confere só se a pessoa é membro atual da organização. SSO, verificação em duas etapas e regras de login do app ficam de fora.
• A pessoa é reconhecida pelo e-mail. E-mail reaproveitado antes de limpar as contas antigas pode entregar a conta de quem saiu para quem chegou.
• Para um sistema aceitar o Claude como emissor, o servidor de autorização precisa da concessão por JWT e de nove checagens, sem registro dinâmico de cliente.

O que a Anthropic liberou em 3 de novembro

No meio da tarde de 3 de novembro de 2026, às 15h09 em Brasília, a conta de desenvolvedores da Anthropic no X anunciou que os usuários já podem conectar plugins automaticamente ao entrar no Claude, com servidores MCP que aceitam o Claude como emissor confiável. O post termina com um pedido a quem constrói plugins: adicionar o suporte, para que o usuário comece mais rápido e continue conectado sem autorizar de novo. Em menos de quatro horas, passou de 297 mil visualizações.

O nome técnico, no artigo de suporte publicado no mesmo dia, é autorização gerenciada pela empresa (Enterprise-managed auth), com duas fontes de identidade. Na primeira, o provedor de identidade da empresa, hoje só o Okta, faz o login do funcionário no app, e essa já está disponível para os clientes Team e Enterprise. Na segunda, que é a novidade do dia, quem assina é o próprio Claude, sem provedor de identidade e sem SSO. É a Claude-issued auth, em beta.

O post fala em plugins e a documentação fala em conectores, e a diferença pesa pouco aqui. Plugin é o pacote que se instala no Claude e pode trazer conectores junto. Conector é a ligação com um app externo, feita por um servidor MCP. É o conector que passa a se ligar sozinho. Se MCP ainda é sigla solta para você, o nosso texto sobre o que é MCP explica o padrão do começo.

O problema que a mudança ataca é conhecido de quem usa o Claude com muitos apps. Na conta que a ROO3 usa no trabalho, no próprio dia 3, o Claude listava 64 servidores MCP de plugins instalados esperando autorização, cada um com o seu login. Notion, Linear, Figma, Amplitude e Atlassian estavam entre eles, cinco dos sete apps da beta. A novidade não resolve esse caso sozinha, porque vale para organização Team ou Enterprise e depende do administrador de cada app do outro lado. Mas dá a medida da fila que ela quer zerar.

O login que cada funcionário fazia em cada app vira uma configuração que o administrador faz uma vez por app.

Como funciona, sem jargão

Pense numa portaria que conhece todos os funcionários. Em vez de cada sistema da empresa pedir o seu crachá, ele aceita um bilhete assinado pela portaria dizendo que aquela é a Ana, do financeiro, e que ela trabalha ali hoje. O Claude faz o papel da portaria. O app só precisa saber reconhecer a assinatura.

Cada organização do Claude recebe um endereço de emissor próprio, em identity.anthropic.com/issuers/ seguido de um identificador que não é o número da organização. O administrador do app cadastra esse endereço como emissor confiável do espaço de trabalho da empresa. Quando um funcionário usa o app pelo Claude, o Claude assina uma credencial curta, que o padrão chama de ID-JAG, com o e-mail da pessoa, o app a que ela se destina e validade de menos de um minuto. O servidor de autorização do app confere a assinatura com as chaves públicas publicadas naquele endereço e devolve um token de acesso, o mesmo tipo de token que sairia do login normal.

Quando o token vence, o Claude assina outra credencial e faz a troca de novo, sem ninguém clicar em nada. A documentação para desenvolvedores diz com todas as letras que um token de uma hora não obriga o funcionário a entrar de novo a cada hora. E se o app responder no meio de uma conversa que não reconhece a pessoa, com o erro 401, o Claude tenta essa troca e repete o pedido antes de mostrar o botão de conectar.

Nada disso foi inventado em novembro. O fluxo segue a extensão de autorização gerenciada do MCP, publicada como especificação em 28 de julho de 2026, e a credencial segue um rascunho do grupo de OAuth da IETF. O que muda agora é quem pode assinar. Até aqui, só um provedor de identidade corporativo, e quando a Supabase lançou o recurso, em agosto, o Okta era o único com suporte. A Supabase afirma que o Claude é o primeiro cliente MCP a implementar a extensão.

Antes, cada app pedia o seu crachá. Agora todos aceitam o bilhete do Claude, e quem tem o acesso ao Claude leva o resto junto.

Quem já aceita e quem fica de fora

Sete apps aceitam o Claude como emissor na beta: Amplitude, Atlassian, Datadog, Figma, Linear, Notion e Supabase. Outros oito entram na autorização gerenciada só pelo provedor de identidade: Asana, Canva, Crossbeam, Granola, Lovable, Monday.com, Slack e Unblocked. Reportagens do dia falaram em 14 apps, e a lista oficial tem 15.

Para empresa pequena, a distância entre os dois grupos é grande. O modo pelo provedor de identidade exige SSO no Claude e no app, e no Claude o único provedor aceito hoje é o Okta. Segundo a página da extensão no site do MCP, o Okta inclui a emissão dessas credenciais no plano de SSO com teto de 250 por usuário, por app, por mês, e volume maior exige outro produto dele, o Okta for AI Agents. Quem não tem Okta só tinha o login um a um.

Cada app ainda põe as próprias condições. O Linear exige plano Business ou Enterprise do lado dele e o mesmo e-mail nos dois sistemas. A Supabase exige plano Team ou Enterprise, SSO configurado e que cada membro já tenha entrado por SSO pelo menos uma vez. Ela também avisa que trocar o emissor para o Claude desliga o anterior: aceita um só por provedor de SSO, e as outras ferramentas de IA que dependiam do Okta perdem o acesso até ele voltar.

A documentação para desenvolvedores traz mais uma restrição: organização do Claude que entra pelo Okta não tem a opção Claude-issued. Cada conector usa uma fonte de identidade por vez, e quem já tem Okta continua nele.

Apps com login automático no Claude em 3 de novembro de 2026

	Claude assina beta, sem Okta
Amplitude análise de produto	sim
Atlassian Jira e Confluence	sim
Datadog monitoramento	sim
Figma design	sim
Linear gestão de projetos	sim
Notion documentos e wiki	sim
Supabase banco de dados	sim
Asana gestão de tarefas	não
Canva design	não
Crossbeam parcerias	não
Granola notas de reunião	não
Lovable criação de apps	não
Monday.com gestão de trabalho	não
Slack mensagens	não
Unblocked busca em código	não

O que o administrador configura, dos dois lados

A configuração é feita uma vez por app e precisa de duas pessoas, ou de uma pessoa com dois acessos: um administrador do Claude e um administrador do app. Sem o segundo, nada acontece, porque é o app que decide em quem confiar. Se você não administra o app, o Claude tem um botão para mandar o endereço e o guia de configuração a quem administra.

A Anthropic recomenda começar pequeno. Os papéis da organização permitem ligar o conector só para um grupo, num piloto com a equipe de produto, por exemplo, e ela sugere pedir a dois ou três usuários que confirmem a conexão e façam um pedido de verdade antes de anunciar para a empresa inteira. Na mesma tela, o administrador escolhe quais permissões o Claude pode pedir, e pode estreitar essas permissões para cada papel.

O login individual não some. Os dois modos podem ficar ligados ao mesmo tempo, e nesse caso o Claude tenta o automático primeiro e cai no login normal se ele falhar, para ninguém ficar trancado enquanto um problema de configuração se resolve. Quem tem e-mail diferente no app vê o botão de conectar de sempre. E o administrador pode exigir que um conector só se ligue pela autorização gerenciada, o que tira conta pessoal de ferramenta de trabalho.

O caminho, segundo o artigo de suporte da Anthropic e o guia do Linear, tem cinco passos:

• No Claude, abra as configurações da organização (Organization settings), depois Conectores (Connectors), escolha o app e clique em Set up ao lado de Managed authorization.
• Em Identity source, escolha Claude-issued e copie o endereço do emissor (Issuer URL).
• No painel do app, cadastre esse endereço como emissor confiável do espaço de trabalho. No Linear, fica em Workspace settings, Security.
• Se o app mostrar um identificador do espaço de trabalho (Tenant ID), cole no campo correspondente do Claude.
• Rode o teste de conexão no Claude, ative e escolha quais papéis recebem o conector e quais permissões ele pode pedir.

As duas brechas que ficam com a sua empresa

A primeira está escrita no artigo de suporte: o Claude confere só se a pessoa é membro atual da organização. Não confere se ela entrou por SSO, se usou verificação em duas etapas, nem as regras de login do próprio app. Com o login automático ligado, quem consegue entrar na conta do Claude de um funcionário, pelo e-mail ou pela conta Google ligada a ela, ganha junto o Notion, o Linear e o que mais estiver na lista. A Anthropic recomenda exigir SSO na organização mesmo sem precisar dele para essa configuração, e a recomendação deixa de ser opcional no dia em que o primeiro conector for ligado.

A segunda é o e-mail. A pessoa no Claude e a conta no app se encontram pelo endereço, e o artigo de suporte descreve o risco sem rodeio. Quando alguém sai, o Claude para de assinar por ela, mas o acesso já concedido no app dura até vencer. E se aquele e-mail for reaproveitado antes de a conta antiga ser removida do app, a pessoa nova pode ser conectada à conta da antiga. Em empresa pequena, e-mail reaproveitado é rotina: o vendedor sai e o substituto herda o comercial@ com a caixa de entrada inteira.

Diretório sincronizado não fecha tudo. Quem cria e remove pessoas automaticamente por SCIM precisa saber que o Claude tira o membro quando o diretório apaga, mas não quando só suspende ou marca como inativo. E a Supabase lembra que, com o Claude como emissor, desativar alguém no provedor de identidade deixa de cortar o acesso, porque nem o Claude nem ela perguntam ao provedor se a pessoa continua ativa. A saída, nos dois casos, é tirar a pessoa da organização do Claude e de cada app conectado.

Há ainda o dado pessoal. Por instrução da empresa, a Anthropic envia ao app o e-mail e um identificador único de cada membro. É dado de funcionário indo para um terceiro, e ele entra no registro das operações de tratamento que o artigo 37 da LGPD pede ao controlador. O nosso texto sobre LGPD e IA ajuda a organizar esse mapa. Antes de ligar o primeiro conector, confira:

• SSO exigido no login do Claude ou, no mínimo, verificação em duas etapas no e-mail e na conta Google que dão acesso a ele.
• O mesmo e-mail para cada pessoa no Claude e no app, sem caixa compartilhada no meio.
• Na saída de alguém, remoção no Claude e em cada app conectado no mesmo dia.
• Nenhum e-mail de quem saiu reaproveitado antes de a conta antiga sumir de todos os apps.
• Um papel piloto primeiro, ampliado só depois de dois ou três testes reais.

Se você faz um sistema e quer entrar nessa lista

O recado final do post é para quem desenvolve: adicione o suporte. A documentação publicada junto mostra que o trabalho fica no servidor de autorização do app. O servidor MCP em si recebe o mesmo tipo de token que receberia depois do login interativo, e não muda.

Os pré-requisitos eliminam muita gente logo de cara. O servidor MCP precisa implementar a autorização do MCP com descoberta de metadados do recurso protegido, e o Claude precisa estar registrado no servidor de autorização por credenciais guardadas pela Anthropic ou por um documento de metadados de cliente. O registro dinâmico de cliente, atalho que muito servidor usa, não funciona nessa modalidade. O servidor de autorização também precisa aceitar a concessão por JWT, da RFC 7523, no endpoint de token, anunciá-la nos metadados e responder no próprio endereço do token, porque o Claude não segue redirecionamento nesse pedido.

O ponto mais delicado está num aviso em destaque: o endereço do emissor não é segredo. Qualquer um pode cadastrar o emissor de outro cliente, ou um provedor de identidade próprio, num espaço de trabalho que controla, e quem roda um provedor põe na credencial o e-mail que quiser. Por isso, o app só pode conectar alguém pelo e-mail se tiver verificado aquele endereço, ou se ele for de um domínio que o cliente verificou. Quem pula essa regra entrega a conta de um cliente a outro.

Para aparecer como compatível no diretório de conectores do Claude, o desenvolvedor testa numa organização Team que não entre pelo Okta, passa pelos oito casos da lista de lançamento, seis deles de recusa, publica a página de ajuda para o administrador do cliente e escreve para mcp-review@anthropic.com. Enquanto desenvolve, o ambiente de teste do Okta em xaa.dev exercita o servidor sem precisar de organização do Claude.

Antes de tudo isso, cada pedido de token precisa passar por nove checagens, nesta ordem, e qualquer falha devolve invalid_grant. A documentação manda usar a validação pronta do produto de autorização, em vez de escrever a própria:

• Emissor: o iss igual, como texto exato, ao emissor cadastrado para aquele espaço de trabalho. Comparar só o começo do endereço admite usuário de outro cliente.
• Chaves: buscadas no documento de descoberta do próprio emissor, nunca numa chave ou endereço que venha no cabeçalho da credencial.
• Assinatura: só ES256 ou RS256. O Claude assina em ES256.
• Tipo: cabeçalho typ igual a oauth-id-jag+jwt.
• Audiência: o aud igual ao issuer que o servidor de autorização publica.
• Cliente: o client_id da credencial igual ao do pedido.
• Sujeito: sub presente. Na credencial do Claude, a pessoa é achada pelo e-mail, e não pelo sub.
• Tempo: validade conferida, com no máximo 60 segundos de folga no relógio.
• Repetição: cada jti aceito uma vez só. Se o servidor não consegue conferir, recusa.

Quando faz sentido ligar, e onde a ROO3 entra

Para a empresa que já paga o Claude Team e usa dois ou mais dos sete apps, o ganho aparece no primeiro dia e o risco é administrável: ligue para um papel piloto, confira os e-mails, exija SSO e escreva o procedimento de saída de funcionário antes de ampliar. Para quem usa Okta, nada muda. O modo pelo provedor de identidade continua, e é ele que respeita as regras de acesso que a TI já configurou.

Para quem não usa nenhum desses apps, a novidade conta como sinal de direção. Ligar a IA aos sistemas da empresa sai da mão de cada funcionário e vai para a do administrador, com papel, permissão e revogação. É assim que um agente deve trabalhar com dado de verdade, como mostramos no texto sobre IA agêntica, e é a parte que costuma ficar para depois.

Na ROO3, a gente põe a IA para trabalhar dentro da rotina da empresa, no CRM, no WhatsApp e nas planilhas, com a menor permissão que resolve a tarefa e com quem sai perdendo o acesso no mesmo dia, e treina a equipe para usar. Se a sua empresa quer IA no dia a dia da operação sem abrir uma porta que ninguém vigia, ou se você tem um sistema próprio e quer que ele converse com a IA dos seus clientes, fale com a gente antes de ligar o primeiro conector.

Perguntas frequentes

O que é o Claude-issued auth?

É o modo em que o próprio Claude assina o login de um funcionário num app conectado, sob um endereço de emissor exclusivo da organização. O app cadastra esse endereço como emissor confiável e passa a aceitar a assinatura no lugar da tela de login e de consentimento. Está em beta desde 3 de novembro de 2026.

Funciona no Claude gratuito ou no Pro?

Não. A autorização gerenciada é dos planos Team e Enterprise. No gratuito e no Pro, cada pessoa continua conectando os apps com o próprio login.

Preciso de Okta ou de SSO para usar?

No modo em que o Claude assina, não. Ele dispensa provedor de identidade e SSO, embora a Anthropic recomende exigir SSO na organização. No modo pelo provedor de identidade, sim, e hoje o único aceito pelo Claude é o Okta.

Quais apps aceitam o Claude como emissor?

Na beta, sete: Amplitude, Atlassian, Datadog, Figma, Linear, Notion e Supabase. Outros oito, Asana, Canva, Crossbeam, Granola, Lovable, Monday.com, Slack e Unblocked, aceitam a autorização gerenciada só pelo provedor de identidade. Cada app tem condições próprias de plano.

O que acontece quando um funcionário sai da empresa?

O Claude para de assinar por ele assim que ele é removido da organização, mas o acesso já concedido em cada app vale até vencer. Remova a pessoa de cada app também, e não reaproveite o e-mail antes disso, porque é pelo endereço que o app reconhece a pessoa.

Meu sistema pode aceitar o Claude como emissor?

Pode, se o servidor MCP já tiver autorização OAuth com descoberta de metadados, registrar o Claude sem registro dinâmico de cliente, aceitar a concessão por JWT e rodar as nove checagens da documentação, inclusive a de só conectar por e-mail verificado. Depois dos testes, o desenvolvedor pede à Anthropic, por mcp-review@anthropic.com, a marcação no diretório de conectores.

Fontes

• ClaudeDevs no X, anúncio do login automático de plugins (3/nov/2026)
• Anthropic, Auto-connect your organization's apps to Claude (3/nov/2026)
• Anthropic, Enterprise Managed Auth for connectors (documentação para desenvolvedores)
• Model Context Protocol, extensão Enterprise-Managed Authorization
• IETF, rascunho Identity Assertion JWT Authorization Grant
• Supabase, Claude can now issue the identity assertion (3/nov/2026)
• Supabase, Enterprise-managed authentication for the Supabase MCP Server
• Linear, MCP server: Claude auto-connect
• Lei 13.709/2018 (LGPD), artigo 37

Rodrigo Fávaro

Fundador da ROO3, agência de marketing e tecnologia em São José do Rio Preto. Constrói produtos com IA em produção (Tobia, gerar.app, Pense Mercado) e mantém o AI Benchmark, ranking público de modelos de IA. Veja a consultoria em IA da ROO3.

X @rodmf LinkedIn rodrigofavaro