curl은 200인데 Claude 커넥터만 401 — 인증 헤더에 Bearer가 빠져 있었다

1. 상황

내 홈페이지에 글 초안을 받는 서버를 만들고, 그걸 Claude의 커스텀 커넥터로 붙이는 중이었다. 서버는 /api/mcp 주소 하나로 MCP(도구 목록, 도구 호출)를 받는다. 인증은 Authorization: Bearer 토큰 헤더로 하고, 서버 환경변수에 넣어 둔 값과 비교한다.

터미널에서 curl로 테스트하면 도구 목록이 잘 나왔다. 그런데 Claude 커넥터에서는 계속 "연결할 수 없습니다"만 떴다.

2. 막혔던 지점

서버 로그에는 401이 찍히고 있었다. 나는 "키를 잘못 넣었나?" 하고 몇 번을 확인했다. 서버 값과 커넥터에 넣은 값은 글자 하나 안 틀리고 똑같았다. 같은 값인데 curl은 되고 커넥터는 안 되니 더 헷갈렸다.

그래서 서버에 진단 로그를 넣었다. 헤더가 있는지, 길이가 몇인지, Bearer 접두어가 있는지만 찍도록 했다.

console.warn("[mcp] 인증 실패", {
  authorizationHeader: authorization ? "있음" : "없음",
  bearerPrefix: /^Bearer\s+/i.test(authorization ?? ""),
  valueLength: (authorization ?? "").length,
});

3. 원인

로그를 보니 헤더는 있는데 Bearer 접두어가 없었다. 커넥터의 "요청 헤더" 칸에 넣은 값은 입력한 그대로 전송된다. 나는 토큰 값만 넣었고, 그래서 서버에는 Authorization: 토큰 형태로 도착했다. 값은 같았지만 형식이 달랐던 거다. curl에서는 내가 Bearer 를 직접 붙여서 보냈으니 됐던 것이다.

커넥터는 만든 뒤에 설정을 수정할 수 없어서, 고치려면 지우고 다시 만들어야 한다.

4. 해결

커넥터를 다시 만드는 대신 서버가 두 형식을 다 받게 했다. Bearer 토큰이든 토큰만 오든 같은 값이면 통과시킨다. 비교는 해시로 바꿔서 timingSafeEqual로 한다.

import { createHash, timingSafeEqual } from "crypto";

export function isValidDraftToken(authorization: string | null): boolean {
  const expected = process.env.DRAFT_API_TOKEN;
  if (!expected || expected.length < 24) return false;
  const header = authorization?.trim();
  if (!header) return false;
  const match = header.match(/^Bearer\s+(.+)$/i);
  const candidate = (match ? match[1] : header).trim();
  const given = createHash("sha256").update(candidate).digest();
  const want = createHash("sha256").update(expected).digest();
  return timingSafeEqual(new Uint8Array(given), new Uint8Array(want));
}

[보강: 서버를 고치기로 한 이유. 예: 커넥터를 다시 만드는 게 번거로워서 / 두 형식을 다 받아도 보안상 문제가 없다고 판단해서]

5. 내가 한 실수 하나

처음 넣은 진단 로그는 헤더를 공백으로 쪼개서 앞부분을 scheme이라는 이름으로 찍었다. 그런데 공백이 없는 헤더는 통째로 앞부분이 되기 때문에, 토큰 전체가 로그에 찍혀 버렸다. 로그를 찍을 때는 값 자체가 아니라 "있는지, 몇 글자인지"만 남겨야 한다. 노출된 토큰은 새로 만들어 바꿨다. [확인 필요: 실제로 교체를 완료했는지 글 올리기 전에 확인]

정리

• 같은 값이어도 형식이 다르면 인증은 실패한다. 값 말고 헤더 모양도 의심하자.
• 커넥터 헤더 값은 입력한 그대로 간다. Bearer 는 직접 적어야 한다.
• 진단 로그에는 비밀값이 섞이지 않게, 존재 여부와 길이만 찍자.

다음 글에서는 주소 앞에 www가 없다는 이유만으로 연결이 안 됐던 이야기를 다뤄보겠다.