Marketplace MCP : où trouver des serveurs fiables

Par Amir N., éditeur de serveurmcp.com

Des dizaines de milliers de serveurs MCP sont désormais référencés en ligne, mais tous ne se valent pas. Registre officiel, catalogue Docker, GitHub, Smithery ou Glama : chaque marketplace MCP a ses règles d’inscription et ses garanties, souvent plus minces qu’on ne le croit. Ce guide vous aide à choisir où chercher, et quoi vérifier avant d’installer.

Les marketplaces MCP en bref

Registre officiel : registry.modelcontextprotocol.io, en préversion, alimenté par les éditeurs eux-mêmes.
GitHub MCP Registry : github.com/mcp, une sélection de serveurs de partenaires et de la communauté, installables en un clic dans VS Code.
Docker MCP Catalog : des serveurs empaquetés en images Docker signées, en bêta.
Smithery : un catalogue doublé d’une plateforme de connexion et d’hébergement.
Glama : plus de 114 000 serveurs indexés et notés automatiquement.
PulseMCP et mcp.so : des annuaires communautaires.
Répertoire des connecteurs Claude : la sélection d’Anthropic, avec plusieurs niveaux de vérification.

Ce que chaque marketplace MCP vous apporte

Le registre officiel MCP

Lancé en préversion en septembre 2025 et soutenu notamment par Anthropic, GitHub, PulseMCP et Microsoft, le registre officiel ne stocke pas de code : il publie des métadonnées (un fichier server.json) qui pointent vers des paquets npm, PyPI, Docker Hub ou des adresses distantes. Les éditeurs publient eux-mêmes avec l’outil mcp-publisher, sous un nom du type com.exemple/serveur ou io.github.utilisateur/serveur, après avoir prouvé la propriété du domaine ou du compte GitHub. Sa documentation précise qu’il vise surtout à alimenter d’autres marketplaces et qu’il faut s’attendre à une modération « minimale, voire nulle » : les serveurs bogués ou vulnérables ne sont pas retirés.

GitHub MCP Registry

GitHub présente sa page github.com/mcp comme une liste sélectionnée de serveurs de partenaires et de la communauté (740 serveurs affichés début novembre 2026). L’installation se fait en un clic dans VS Code, qui vous demande ensuite de confirmer votre confiance, ou avec /mcp search dans Copilot CLI. Les organisations peuvent imposer leur propre registre et une liste de serveurs autorisés.

Docker MCP Catalog

Le catalogue de Docker (hub.docker.com/mcp) regroupe plus de 300 serveurs vérifiés, empaquetés en images. Docker construit et signe les serveurs locaux, avec leur provenance et leur SBOM. Les ajouts passent par une pull request relue sur le dépôt docker/mcp-registry. Le catalogue est encore en bêta.

Smithery

Smithery associe un catalogue et une plateforme de connexion : stockage chiffré des clés d’API, gestion de l’OAuth, publication de serveurs distants ou de paquets .mcpb. À la publication, Smithery analyse le serveur pour en extraire outils, prompts et ressources ; sa documentation ne mentionne pas d’audit de sécurité.

Glama, PulseMCP et mcp.so

Glama se présente comme un sur-ensemble du registre officiel : chaque serveur y est indexé depuis GitHub, avec détection de licence, analyse de sécurité, test de fonctionnement et notes de qualité automatiques. La plupart des soumissions y sont acceptées en quelques minutes, sans relecture humaine. PulseMCP classe les serveurs entre références Anthropic, fournisseurs officiels et communauté, mais a suspendu les nouvelles soumissions le temps de revoir son fonctionnement. mcp.so, annuaire communautaire, publie les fiches après une relecture dont les critères ne sont pas détaillés.

Le répertoire des connecteurs Claude

Anthropic distingue trois niveaux : « Verified » (outils testés et conformes à sa politique d’annuaire), « Community » (filtrés mais pas examinés en profondeur) et « Custom » (ajoutés par vous-même). Anthropic précise que la vérification n’est ni un audit de sécurité ni une garantie, car les outils peuvent changer après examen. Pour y figurer, un connecteur doit être distant, servi en HTTPS, utiliser OAuth 2.0 s’il demande une authentification et indiquer pour chaque outil s’il lit ou modifie des données.

Installer un serveur trouvé dans un annuaire

Dans Claude Code

La plupart des fiches donnent une commande prête à l’emploi. Pour un serveur distant :

claude mcp add --transport http <nom> <url>

Lancez ensuite /mcp pour vous authentifier. Notre guide pour ajouter un serveur MCP à Claude détaille les autres cas.

Dans VS Code

Depuis github.com/mcp, le bouton d’installation ouvre VS Code, qui vous demande de confirmer que vous faites confiance au serveur avant de le démarrer.

Avec Docker Desktop

Dans le MCP Toolkit, ouvrez l’onglet Catalog et ajoutez le serveur à un profil. Chaque outil tourne dans son propre conteneur, limité à 1 CPU et 2 Go de mémoire, sans accès par défaut au système de fichiers de l’hôte. Quel que soit le client, passez votre fichier de configuration dans notre validateur de configuration MCP avant de le déployer.

Les pièges des marketplaces MCP

Un référencement n’est pas une validation : le registre officiel conserve même les serveurs présentant des failles.
Les fiches sont auto-déclarées : description et liste d’outils viennent le plus souvent de l’auteur lui-même.
Un nom de service ne dit rien de l’auteur : par exemple, la seule entrée Contabo du registre officiel est un adaptateur publié par un tiers, pas par Contabo.
Les serveurs de référence du dépôt modelcontextprotocol/servers sont présentés comme des exemples pédagogiques, pas comme des solutions prêtes pour la production ; plusieurs, dont ceux de GitHub, Slack et Postgres, ont été archivés.
Le registre officiel est en préversion : des changements incompatibles ou des remises à zéro des données restent possibles.

Sécurité : six vérifications avant d’installer

Vérifiez l’éditeur : dans le registre officiel, un nom en com.editeur/… prouve la propriété du domaine ; assurez-vous qu’il correspond au vrai domaine du service.
Préférez les serveurs maintenus par l’éditeur du service, ou marqués officiels ou vérifiés, sans y voir une garantie.
Regardez l’emballage : paquet public sur npm, PyPI ou Docker Hub, image signée avec SBOM.
Privilégiez OAuth et des permissions minimales plutôt qu’un jeton qui ouvre tout.
Isolez les serveurs locaux (conteneur, accès aux fichiers limité) et repérez les outils signalés comme destructifs.
Contrôlez la licence et l’activité du dépôt : un projet archivé ne recevra plus de correctifs.

Les bonnes pratiques de sécurité officielles du protocole détaillent ces risques : relais de jetons, SSRF, compromission d’un serveur local, minimisation des scopes. Notre checklist sécurité MCP les résume en points à cocher.

Questions fréquentes

Existe-t-il une marketplace MCP officielle ?

Oui : le registre officiel du projet MCP, registry.modelcontextprotocol.io, toujours en préversion. Il sert surtout de source de données à d’autres annuaires, comme celui de GitHub, et ne fait presque aucune modération.

Une marketplace MCP vérifie-t-elle la sécurité des serveurs ?

Rarement en profondeur. Glama lance des analyses automatiques et Docker signe ses images, mais aucun annuaire ne garantit la sécurité d’un serveur. Même le label « Verified » d’Anthropic n’est pas un audit de sécurité.

Quel annuaire choisir pour débuter ?

Le répertoire de connecteurs de votre client, celui de Claude ou celui de GitHub pour VS Code, offre l’installation la plus simple et une première sélection. Pour un serveur local, le catalogue Docker ajoute une isolation par conteneur.

Comment savoir si un serveur MCP est officiel ?

Vérifiez que le dépôt ou le paquet appartient à l’éditeur du service et que sa documentation officielle mentionne le serveur MCP. Dans le registre officiel, un nom du type com.editeur/serveur prouve en plus la propriété du domaine.

Sources

Pages consultées le 2 novembre 2026.

Marketplaces MCP : où trouver des serveurs fiables (guide 2026)