OAuth Protected Resource
Protected Resource Metadata はそのもう半分で、どのリソースが保護され、どの認可サーバーがトークンを発行するかを示します。
なぜ重要か
401 を受け取ったエージェントはこの文書を読んで適切な認可サーバーを見つけ、人手を借りずに再試行できます。
合格基準
/.well-known/oauth-protected-resource が resource と authorization_servers を宣言している。
チェックが行うすべてのリクエスト（URL、メソッド、レスポンス ステータス、関連ヘッダー、本文プレビュー）が記録され、結果内の該当チェックの下に表示されます。
実装方法
Publish OAuth Protected Resource Metadata so agents can discover how to authenticate
/.well-known/oauth-protected-resource が resource と authorization_servers を宣言している。
ステップごとの実装プロンプトは Pro プランに含まれます。
プランを見るサイトをスキャン
このチェックがあなたのドメインで合格するかどうかを、残り 21 項目とあわせて確認できます。
関連するチェック
API Catalog
/.well-known/api-catalog が application/linkset+json を返し、少なくとも 1 つのエントリを含む。
OAuth ディスカバリ
/.well-known/oauth-authorization-server または /.well-known/openid-configuration が利用可能なメタデータを公開している。
Auth.md
/auth.md が存在し、Markdown の H1 に auth.md が言及されている。
MCP Server Card
/.well-known/mcp/server-card.json が serverInfo.name でサーバーを記述している。
A2A Agent Card
/.well-known/agent-card.json が name、version、対応インターフェースを宣言している。
Agent Skills
/.well-known/agent-skills/index.json が少なくとも 1 つのスキルを列挙している。
WebMCP
ページのコードが navigator.modelContext を通じてブラウザー側のツールを登録している。
ARD マニフェスト
/.well-known/ai-catalog.json が specVersion、host、少なくとも 1 つのエントリを宣言している。