Val Town: 3.613 conectores sin OAuth manual gracias a MCP

MCP y OAuth: la pareja que está rompiendo el problema n² de conectar apps

Cada vez que Claude o ChatGPT necesitan «hablar» con una nueva aplicación —tu CRM, tu base de datos, tu SaaS favorito— alguien tiene que sentarse a registrar un cliente OAuth a mano. Es el clásico problema n²: N aplicaciones conectándose entre sí significa N² integraciones a mantener. Para una startup con 50 integraciones, son 2.450 cables sueltos. Steve Krouse, fundador de Val Town, lo describe con una imagen brutal: «lo mejor que puedes esperar son 5 minutos haciendo clics en un portal de desarrolladores; lo peor, una videollamada, papeleo y un video demo».

Pero algo cambió en los últimos meses. El protocolo Model Context Protocol (MCP) —el estándar abierto que Anthropic donó a la Linux Foundation a fines de 2025— convirtió el problema de autenticación en una pieza reutilizable. Krouse acaba de demostrar en su blog que, gracias a dos extensiones poco conocidas de OAuth (DCR y CIMD), cualquier app puede ahora autenticarse dinámicamente con miles de servicios sin que un humano toque un formulario.

Dynamic Client Registration (DCR): el fin del papeleo OAuth

El Dynamic Client Registration es una extensión de OAuth que automatiza exactamente lo que antes era manual: en vez de pedirte que vayas al portal del proveedor, rellenes formularios y esperes aprobación, tu aplicación genera su propio cliente OAuth al vuelo cuando un usuario lo solicita.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Anthropic y OpenAI empujaron DCR dentro del estándar MCP porque ellos mismos necesitaban conectarse con miles de SaaS de sus clientes sin hacer una reunión con cada uno. Hoy, según el análisis de HackerNoon sobre la adopción de MCP, miles de apps ya soportan DCR —una velocidad de propagación que Krouse califica como inusualmente rápida para un protocolo nuevo.

El propio Val Town lo usa: cualquier herramienta puede registrarse dinámicamente como cliente OAuth contra Val Town y empezar a leer datos del usuario sin intervención humana. Krouse construyó std/oauth, una librería middleware que añade «Login with Val Town» en 2 líneas de código —literalmente un archivo completo.

Client ID Metadata Documents (CIMD): ni siquiera necesitas pre-registrarte

DCR resuelve el registro, pero todavía requiere que el servidor de autorización exponga un endpoint de registro. Client ID Metadata Documents (CIMD) va un paso más allá: el cliente OAuth simplemente self-hostea sus metadatos en una URL pública (un archivo .well-known/) y puede lanzar el flujo OAuth inmediatamente, sin que el proveedor lo conozca de antemano.

El ejemplo que pone Krouse: Notion publica sus metadatos en https://mcp.notion.com/.well-known/oauth-authorization-server. Cualquier app que lea esa URL puede autenticarse con Notion al instante, sin papeleo. Cientos de servicios ya lo soportan.

El resultado práctico: Krouse construyó una app demo con 3.613 conectores que funciona sin tener un solo cliente OAuth pre-registrado. Si la clonas con un clic («remix» en Val Town), todos los conectores funcionan automáticamente.

El estándar MCP no estaba muerto: se estaba reescribiendo

Conviene entender por qué esto importa ahora y no hace seis meses. A inicios de 2026, MCP atravesó una crisis de credibilidad: «MCP is dead» fue un meme recurrente en marzo. Los problemas eran reales: los esquemas de herramientas devoraban ventanas de contexto, el modelo de seguridad tenía fugas, y el handshake con session IDs complicaba escalar el protocolo en producción.

La versión 2.0.0 del spec, publicada el 28 de julio de 2026, eliminó el handshake, las sesiones y tres primitivas originales. Cada request lleva ahora su propia versión del protocolo, lo que permite correr servidores MCP detrás de load balancers simples. Cloudflare deprecó su primitivo McpAgent porque ya no hacía falta; Sentry puso en producción el nuevo spec antes incluso de que se finalizara; Simon Willison, uno de los críticos más duros, revirtió su posición el 31 de julio.

La adopción respalda la remontada: según HackerNoon, los cuatro SDK principales de MCP suman cerca de medio billón de descargas mensuales; TypeScript y Python superan el billón acumulado. Anthropic donó el protocolo a la Agentic AI Foundation de la Linux Foundation, junto a Block y OpenAI. En diciembre de 2025, el proyecto registraba 97 millones de descargas mensuales y más de 10.000 servidores públicos activos, según cifras de la Linux Foundation recogidas por HackerNoon.

Tres problemas abiertos (y por qué todavía no estamos en el sueño)

Krouse es honesto con lo que falta:

Registro verdaderamente dinámico: muchos proveedores (Google Ads es el ejemplo que cita) rechazan hosts no pre-aparecidos en su catálogo. El check "redirect host not in platform catalog" sigue apareciendo.
MCP vs REST API: DCR/CIMD funciona para servidores MCP, pero no siempre autoriza llamadas a la API REST tradicional. Construir un dashboard de Stripe desde Val Town, por ejemplo, es posible vía MCP pero no es la convención que Stripe garantiza como estable.
OSS y tooling: falta un registro público tipo Zapier SDK o Nango. Krouse scrappeó su lista de 3.613 conectores de mcpservers.org y reconoce que la situación es todavía artesanal.

El segundo frente: x402 y el pago por uso sin cuenta

Hay una categoría de problema adicional: las APIs de pago. Aunque DCR/CIMD resuelven la autenticación, no resuelven el alta con tarjeta de crédito. Ahí entra x402, un protocolo creado por Coinbase en mayo de 2025 que reutiliza el status code HTTP 402 («Payment Required») para pagos automáticos en stablecoins.

El flujo, según el propio Krouse: el servidor responde 402 con precio y wallet; el cliente paga en blockchain y retry con la prueba; el servidor libera la respuesta. En su demo, pagó un décimo de centavo por una sesión de Browserbase sin haber creado cuenta. «Es como tener una tarjeta de débito para APIs: llegas, swipeas, te atienden», resume.

Val Town ya experimenta con proxies hospedados para OpenAI, envío de emails, almacenamiento blob y SQLite, precisamente para que sus usuarios no tengan que pasar por el alta de cada proveedor.

Qué significa esto para tu startup

Tres implicancias concretas si estás construyendo un producto SaaS o una app con vibe coding en 2026:

Si tu app expone una API, sumá soporte DCR/CIMD antes de que tu competencia lo haga. El coste es bajo si ya usás OAuth; el beneficio, inmediato: pasás de un flujo de partnership con cada integrador a un self-serve instantáneo. Notion, Block y GitHub ya lo hacen. Tu embudo de integraciones se vuelve viral.
Diseñá tu API asumiendo que los tokens DCR valen para MCP y para REST por igual. Val Town lo hace así: cualquier token obtenido vía DCR funciona con su MCP y con su REST API. Eso elimina la fricción que Krouse señala como el problema social (más que técnico) del estándar.
Si hacés vibe coding en plataformas como Val Town, Lovable, Bolt o Cursor, mapeá qué integraciones críticas dependen de API keys vs. qué puedes migrar a OAuth dinámico. El bottleneck real de una app generada por IA en 5 minutos ya no es el código —son los 30 minutos que toma conseguir cada clave, como bien señala Krouse.