Como conectar Supabase e Vercel ao Claude Code sem se arriscar

O post diz que o seu Claude Code está "rodando em 0 de 4" até você ligar quatro plugins. É exagero. O Claude Code funciona sem nenhum deles: lê o código, edita arquivos e roda comandos. O que os plugins fazem é dar a ele ferramentas novas, como falar com o banco de dados da Supabase ou publicar na Vercel. Isso é útil, mas também amplia o que um erro (ou um golpe) pode causar. Por isso este passo a passo vem com os cuidados junto.

Antes de começar, você precisa de uma conta na Supabase e outra na Vercel, do Claude Code instalado e de Node.js 18 ou mais novo (exigido pelo plugin da Vercel). Um plugin, segundo a documentação do Claude Code, pode rodar código na sua máquina com os seus privilégios de usuário: hooks, servidores MCP e comandos. A própria Anthropic avisa que não controla o que cada plugin inclui. Instale só o que vier de fonte que você confia e leia a tela de detalhes que o /plugin mostra antes de confirmar.

Primeiro, a Supabase. O plugin oficial está no marketplace da Anthropic. Dentro do Claude Code, rode /plugin install supabase@claude-plugins-official, escolha o escopo (só para você, para o projeto ou só para este repositório) e, se pedido, rode /reload-plugins. Ele traz o servidor MCP da Supabase e duas skills de boas práticas. Na primeira vez que o Claude usar o servidor, o navegador abre para você entrar na Supabase e escolher a organização. Também dá para fazer fora da sessão com claude plugin install supabase@claude-plugins-official.

Há um detalhe importante: a configuração do plugin da Supabase aponta para https://mcp.supabase.com/mcp sem nenhum filtro. Ou seja, sem limitar a um projeto e sem modo somente leitura. A documentação da Supabase manda limitar por parâmetros na URL. A alternativa mais segura é adicionar o servidor à mão, no escopo do projeto: claude mcp add --scope project --transport http supabase "https://mcp.supabase.com/mcp?project_ref=ID_DO_PROJETO&read_only=true". Depois, dentro do Claude Code, rode /mcp, escolha supabase e autentique. Se já instalou o plugin, remova um dos dois para as ferramentas não carregarem em duplicidade.

O que esses parâmetros fazem, segundo a Supabase: project_ref limita o servidor a um único projeto e desliga as ferramentas de conta (como criar ou pausar projetos); read_only=true executa as consultas com um usuário de Postgres somente leitura; features=database,docs liga só os grupos de ferramentas listados. Sem isso, o Claude consegue rodar SQL qualquer, aplicar migrações, publicar Edge Functions e mexer em outros projetos da sua conta. Você encontra o ID do projeto no painel da Supabase.

Agora a Vercel. O plugin oficial se instala com npx plugins add vercel/vercel-plugin, e também está no marketplace do Claude Code. Ele traz skills, três agentes especialistas e quatro comandos: /vercel-plugin:bootstrap, /vercel-plugin:deploy, /vercel-plugin:env e /vercel-plugin:status. O servidor MCP vai junto (https://mcp.vercel.com). Para adicionar só o MCP, o comando da Vercel é claude mcp add --transport http vercel https://mcp.vercel.com, seguido de /mcp para autenticar por OAuth. É esse acesso que permite dizer "faz o deploy": o comando /vercel-plugin:deploy publica uma prévia, e /vercel-plugin:deploy prod publica em produção.

O risco da Vercel é maior do que parece. A documentação diz que conectar o MCP dá ao Claude o mesmo acesso da sua conta de usuário. O servidor lê e escreve: cria deploys e altera recursos. Na autorização, conceda acesso apenas aos times necessários. A Vercel recomenda manter confirmação humana em cada passo e avisa sobre prompt injection: um texto malicioso em um log ou site pode tentar levar o agente a vazar dados ou mudar algo. Registro de domínio exige cotação e aprovação explícita, e a compra de assinaturas e créditos não está disponível pelo MCP. O plugin também envia telemetria de uso por padrão (sem texto de prompts); para desligar, use VERCEL_PLUGIN_TELEMETRY=off.

Os cuidados, em resumo: use um projeto de teste na Supabase, não o de produção; ligue read_only=true e project_ref; deixe a aprovação manual de cada ferramenta ligada; não use /vercel-plugin:deploy prod sem ler o que vai ser publicado; revise o que o plugin instala; e nunca entregue esse acesso a clientes, porque o servidor roda com as suas permissões. Se precisar testar mudanças no banco, a Supabase sugere uma branch de desenvolvimento antes de levar para produção. Para revogar o acesso, use Clear authentication no menu do /mcp e desinstale com claude plugin uninstall.

Os outros dois plugins do post existem. O Chrome DevTools MCP é do repositório oficial ChromeDevTools e instala com /plugin marketplace add ChromeDevTools/chrome-devtools-mcp e /plugin install chrome-devtools-mcp@chrome-devtools-plugins. Ele expõe o conteúdo do navegador ao Claude, e por padrão envia estatísticas de uso ao Google (dá para desligar com --no-usage-statistics). O oh-my-claudecode é um projeto da comunidade, de licença MIT, com 19 agentes e o comando /team, que exige ativar CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS nas configurações. Rodar vários agentes gasta mais do seu plano. Nenhum dos dois é da Anthropic.