Claude.ai läuft in Anthropics Infrastruktur. Es gibt keinen lokalen Client, den du installierst, und damit auch keinen Rechner, von dem aus die Verbindung aufgebaut wird. Anthropic ruft deinen MCP-Endpoint direkt auf. Der Server muss deshalb öffentlich über HTTPS erreichbar sein, mit einem Zertifikat einer allgemein anerkannten CA. Interne DNS-Namen, localhost, *.ddev.site, IP-Allowlists und selbstsignierte Zertifikate funktionieren hier nicht.

Authentifiziert wird ausschließlich über OAuth 2.1 mit Dynamic Client Registration. Ein statisches Token wie bei Claude Desktop gibt es in der Web-Variante nicht. Eigene Connectors setzen einen bezahlten Claude-Tarif voraus (Pro, Team oder Enterprise), im kostenlosen Tarif fehlt die Konfigurationsoberfläche.

• enableMcp ist aktiviert (siehe Konfiguration).
• mcpAllowedRedirectUris enthält claude.ai/api/mcp/auth_callback.
• mcpAllowedOrigins enthält claude.ai.
• mcpAllowedClientIds bleibt leer. Sonst muss die per Dynamic Client Registration erzeugte Client-ID nachträglich von Hand eingetragen werden.
• Die Backend-Gruppe besitzt enable_mcp_access und die benötigten Feature-Rechte (siehe Berechtigungen & Scopes).

Prüfe die öffentliche Erreichbarkeit von einem Rechner außerhalb deines Netzes. Beide Aufrufe müssen 200 liefern:

curl -sS [typo3-url]/aisuite-mcp/health
curl -sS [typo3-url]/.well-known/oauth-authorization-server

Scheitert einer der beiden an einer IP-Allowlist, an HTTP Basic Auth oder an einem selbstsignierten Zertifikat, bricht Claude.ai die Verbindung ohne aussagekräftige Meldung ab. Steht die Installation hinter Basic Auth, müssen die MCP-Pfade ausgenommen werden, siehe Produktivbetrieb. Prüfe außerdem, dass der Authorization-Header PHP erreicht. Auf Apache mit mod_php oder FCGI wird er häufig verworfen, was nach erfolgreichem OAuth-Ablauf zu endlosen 401-Antworten führt. Die nötige Rewrite-Regel liefert TYPO3 in der Standard-.htaccess mit.

1. Connector-Einstellungen öffnen. Melde dich auf claude.ai an und öffne oben rechts über das Profilsymbol die Einstellungen und dort Connectors. Je nach Tarif liegt der Punkt auch unter Feature preview.

2. Connector anlegen. Wähle Add custom connector und trage einen Namen (zum Beispiel AI Suite) sowie als Server-URL [typo3-url]/aisuite-mcp ein. Verwende ausschließlich die Wurzel-URL ohne Site-Präfix, eine URL wie [typo3-url]/[site]/aisuite-mcp endet in einem 404.

3. Verbinden und zustimmen. Nach dem Klick auf Connect registriert sich Claude.ai selbständig unter [typo3-url]/aisuite-mcp/oauth/register und öffnet dann ein Fenster mit der Autorisierungsseite. Dort folgt zuerst die normale TYPO3-Backend-Anmeldung, falls du nicht angemeldet bist, danach die Zustimmungsseite mit den angeforderten Scopes. Nach der Bestätigung landet das Token bei Claude.ai und der Connector zeigt Connected.

4. Connector pro Unterhaltung aktivieren. Eigene Connectors sind nicht automatisch in jedem Chat aktiv. Öffne eine neue Unterhaltung, klicke unter dem Eingabefeld auf Search & tools und schalte AI Suite ein. Erst dann bekommt das Model die Tool-Definitionen zu sehen.

Den Zugriff kannst du von beiden Seiten beenden. In Claude.ai entfernst du den Connector, im TYPO3-Backend widerrufst du das Token über das MCP-Dashboard im AI Suite-Backend-Modul mit Revoke Token.

Nichts passiert beim Klick auf Connect, und im TYPO3-Log steht nichts. Der Server ist aus Anthropics Netz nicht erreichbar oder das Zertifikat wird nicht anerkannt (selbstsigniert, abgelaufen, falscher Hostname). Prüfe die beiden curl-Aufrufe von einem externen Rechner.

Das Model behauptet, es habe keinen MCP-Zugriff, obwohl der Connector verbunden ist. Der Connector ist im aktuellen Chat nicht eingeschaltet, siehe Schritt 4.

Die Tool-Liste bleibt leer. Der Backend-Benutzer hat keine AI Suite-Feature-Rechte, damit filtert die Scope-Prüfung alles heraus. Rechte ergänzen und im Connector neu authentifizieren.

Zum Debuggen ist das Access-Log des Webservers die beste Quelle, denn auf Claude.ai-Seite gibt es keine einsehbaren Protokolle. Ein 404 auf /aisuite-mcp deutet auf ein Site-Präfix in der URL, wiederholte 401 auf den fehlenden Authorization-Header. Auf ein 200 bei /aisuite-mcp/oauth/token sollte unmittelbar ein 200 bei POST /aisuite-mcp folgen. Weitere clientunabhängige Fälle sind unter Clients verbinden gesammelt.