Google’dan ‘Connected Apps Platform’ Hamlesi: MCP, Android AppFunctions ve OAuth 2.1 ile Search ve Gemini’de Tekil Ajan Entegrasyonu

Üretken yapay zeka asistanlarının salt bilgi getiren arama motorlarından, kullanıcı adına rezervasyon yapan, tasarım oluşturan ve finansal kayıtları sorgulayan eylem odaklı ajanlara dönüşmesi, yazılım geliştiriciler için ciddi bir entegrasyon parçalanması (fragmentation) yaratmıştı. Farklı yüzeyler (mobil asistanlar, web arama motorları, işletim sistemi katmanları) için ayrı özel uzantılar (extensions/plugins) geliştirmek zorunda kalan mühendislik ekipleri için Google, 28 Ekim 2026 itibarıyla Connected Apps Platform’u resmi olarak duyurdu.

'Bir Kez Geliştir, Tüm Google Yüzeylerinde Çalıştır' (Build Once, Run Google-Wide) felsefesiyle tasarlanan platform; açık standart Model Context Protocol (MCP), Android AppFunctions API, OAuth 2.1 yetkilendirme çerçevesi ve yeni Google Connected Console yönetim düzlemini tek bir çatı altında birleştirerek üçüncü taraf servislerin hem Google Search hem de Gemini uygulaması üzerinden doğrudan tetiklenmesini sağlıyor.

1. Çift Katmanlı MCP Mimarisi: Bulut Sunucuları ve Android AppFunctions API

Google’ın Connected Apps Platform mimarisindeki en stratejik mühendislik kararı, tescilli bir uzantı şeması dayatmak yerine endüstri standardı haline gelen Model Context Protocol (MCP) spesifikasyonunu birincil entegrasyon katmanı olarak benimsemesidir. Platform, uygulamanın çalışma doğasına göre iki ayrı MCP bağlantı topolojisi sunuyor:

1. Bulut Tabanlı Uzak MCP Sunucusu (Cloud-Hosted Remote MCP): SaaS platformları, e-ticaret sistemleri ve kurumsal web servisleri; araçlarını (tools), kaynaklarını (resources) ve eylem şemalarını Google Cloud Run gibi durumsuz (stateless) konteyner ortamlarında barındırılan uzak bir HTTP/SSE veya Streamable HTTP MCP sunucusu üzerinden dışa açar.
2. Cihaz İçi Yerel Çalıştırma (Android MCP & AppFunctions API): Kullanıcı verisinin cihaz dışına çıkmaması gereken veya doğrudan yerel mobil uygulama yeteneklerine ihtiyaç duyan senaryolarda, Android AppFunctions API devreye girer. Bu katman, kullanıcının Android telefonunu yerel bir MCP merkezi (local hub) haline getirerek Gemini veya Search ajanlarının cihazda yüklü uygulamadaki fonksiyonları düşük gecikmeyle ve yerel izin sınırları içinde çağırmasını sağlar.

flowchart TD
    User["Kullanıcı İsteği (Yüksek Niyetli Sorgu / Eylem)"] --> Surfaces{"Google Dağıtım Yüzeyleri"}
    Surfaces -->|"Web & Mobil Arama"| Search["Google Search Ajan Katmanı"]
    Surfaces -->|"Çok Modlu Asistan"| Gemini["Gemini Uygulaması (Web / Mobil)"]

    Search & Gemini --> Console["Google Connected Console\n(Yönlendirme, Telemetri & Marka Doğrulama)"]

    Console -->|"1. Bulut Yolu (OAuth 2.1 + RFC 8707)"| CloudMCP["Bulut Tabanlı Uzak MCP Sunucusu\n(Örn: Cloud Run / Kurumsal API)"]
    Console -->|"2. Cihaz İçi Yol (Yerel İzinler)"| AndroidMCP["Android MCP & AppFunctions API\n(Cihaz İçi Yerel Uygulama Çağrısı)"]

2. OAuth 2.1, RFC 8707 ve .well-known/oauth-protected-resource Güvenlik Sözleşmesi

Bir yapay zeka ajanının üçüncü taraf bir uygulamada kullanıcı adına gerçek dünya işlemi (örneğin bilet satın alma, kredi raporu sorgulama veya proje dosyası düzenleme) yürütebilmesi, katı bir kimlik doğrulama ve yetkilendirme el sıkışması gerektirir. Google Connected Apps Platform, uzak MCP sunucuları için OAuth 2.1 standardını zorunlu kılmaktadır:

• Korumalı Kaynak Üst Verisi (/.well-known/oauth-protected-resource — RFC 9728): Üçüncü taraf MCP sunucusu, hangi yetkilendirme sunucularına (authorization_servers) güvendiğini ve hangi kapsamları (scopes_supported) desteklediğini standart bir .well-known uç noktası üzerinden beyan eder.
• Kaynak Göstergeleri (Resource Indicators — RFC 8707) ve Hedef Kitle (aud) Doğrulaması: Üretilen erişim belirteçleri (access tokens) genel amaçlı değildir; kriptografik olarak yalnızca ilgili MCP sunucusunun URI adresine (aud iddiası) kilitlenir. Böylece bir MCP sunucusu için alınan belirtecin başka bir serviste yeniden oynatılması (token replay / confused deputy) engellenir.
• PKCE (Proof Key for Code Exchange): Tüm yetkilendirme kodu akışlarında S256 tabanlı PKCE doğrulaması zorunlu tutularak araya girme (interception) saldırıları önlenir.

3. Google Connected Console ve 50+ Ortaklı Ekosistem

Geliştiricilerin entegrasyon yaşam döngüsünü uçtan uca yönetebilmesi için Google Connected Console adında merkezi bir kontrol paneli devreye alındı:

1. Hedef Yüzey Seçimi: Geliştiriciler inceleme (review) öncesinde uygulamalarının yalnızca Google Search, yalnızca Gemini uygulaması veya her iki yüzeyde birden yayınlanmasını seçebiliyor.
2. Marka Kimliği ve Gözlemlenebilirlik: Doğrulanmış kurumsal logolar ve uygulama kartları konsol üzerinden tanımlanırken; canlıya geçiş sonrasında çağrı hacmi, uç nokta yanıt gecikmesi (latency) ve HTTP/MCP hata oranları gerçek zamanlı olarak izlenebiliyor.
3. Genişleyen Ekosistem ve Kurumsal Vertex AI Köprüsü: Halihazırda Adobe, Canva, Instacart, OpenTable ve Ticketmaster dahil 50’den fazla üçüncü taraf uygulamanın yer aldığı ekosisteme; duyuruyla birlikte Calm entegrasyonu eklendi ve Peloton ile Experian servislerinin Google Search üzerindeki kapsamı genişletildi. Aynı MCP mimarisi, kurumsal tarafta Gemini Enterprise ve Vertex AI ajanlarının şirket içi özel API ve veri depolarına bağlanmasında da kullanılıyor.

4. Kod Uygulaması: OAuth 2.1 + RFC 8707 Korumalı Connected Apps MCP Sunucusu

Aşağıdaki Python mimari referans kodu, Google Connected Apps Platform gereksinimlerine uygun olarak .well-known/oauth-protected-resource üst verisi sunan, gelen OAuth 2.1 Bearer belirtecinde RFC 8707 hedef kitle (aud) doğrulaması yapan ve hem Google Search hem de Gemini yüzeylerine MCP araç şeması döndüren bir uç noktayı göstermektedir:

from dataclasses import dataclass
from typing import Dict, Any, List
import time

@dataclass(frozen=True)
class OAuth21VerifiedClaims:
    sub: str
    aud: str
    scope: str
    exp: int
    surface: str  # "google_search" veya "gemini_app"

class GoogleConnectedAppMcpServer:
    """
    Google Connected Apps Platform uyumlu, OAuth 2.1 (RFC 8707 / RFC 9728)
    doğrulamalı örnek Model Context Protocol (MCP) sunucu katmanı.
    """
    def __init__(self, canonical_resource_uri: str, auth_server_uri: str):
        self.canonical_resource_uri = canonical_resource_uri
        self.auth_server_uri = auth_server_uri

    def get_protected_resource_metadata(self) -> Dict[str, Any]:
        """GET /.well-known/oauth-protected-resource yanıtını üretir."""
        return {
            "resource": self.canonical_resource_uri,
            "authorization_servers": [self.auth_server_uri],
            "bearer_methods_supported": ["header"],
            "scopes_supported": ["booking:read", "booking:write"]
        }

    def validate_oauth21_token(self, claims: OAuth21VerifiedClaims, required_scope: str) -> None:
        now = int(time.time())
        if claims.exp <= now:
            raise PermissionError("OAuth 2.1 Hatası: Erişim belirtecinin süresi dolmuş.")

        # RFC 8707 Resource Indicator / Audience (aud) kontrolü
        if claims.aud != self.canonical_resource_uri:
            raise PermissionError(
                f"RFC 8707 Hedef Kitle Uyuşmazlığı: Beklenen '{self.canonical_resource_uri}', gelen '{claims.aud}'"
            )

        granted_scopes = set(claims.scope.split())
        if required_scope not in granted_scopes:
            raise PermissionError(f"Yetersiz Yetki Kapsamı: '{required_scope}' izni bulunmuyor.")

    def invoke_mcp_tool(
        self,
        claims: OAuth21VerifiedClaims,
        tool_name: str,
        arguments: Dict[str, Any]
    ) -> Dict[str, Any]:
        self.validate_oauth21_token(claims, required_scope="booking:write")

        return {
            "jsonrpc": "2.0",
            "result": {
                "status": "CONFIRMED",
                "invoked_from_surface": claims.surface,
                "tool": tool_name,
                "user_subject": claims.sub,
                "confirmation_payload": {
                    "venue": arguments.get("venue"),
                    "slot": arguments.get("time_slot")
                }
            }
        }

if __name__ == "__main__":
    mcp_server = GoogleConnectedAppMcpServer(
        canonical_resource_uri="https://mcp.partner-app.example.com/v1/mcp",
        auth_server_uri="https://auth.partner-app.example.com"
    )

    token_claims = OAuth21VerifiedClaims(
        sub="usr_90812",
        aud="https://mcp.partner-app.example.com/v1/mcp",
        scope="booking:read booking:write",
        exp=int(time.time()) + 300,
        surface="google_search"
    )

    response = mcp_server.invoke_mcp_tool(
        claims=token_claims,
        tool_name="create_instant_reservation",
        arguments={"venue": "Istanbul Tech Summit Lounge", "time_slot": "2026-11-04T19:00:00Z"}
    )
    print(response)

5. Stratejik Değerlendirme

Google’ın Connected Apps Platform hamlesi, tüketici araması (Google Search) ile otonom yapay zeka asistanını (Gemini) tek bir açık protokol (MCP + OAuth 2.1) arkasında birleştirerek geliştiriciler için maliyetli entegrasyon tekrarlarını ortadan kaldırıyor. İlk aşamada ABD merkezli geliştiricilerle sınırlı önizlemeye açılan ve önümüzdeki aylarda küresel ölçekte genişletilecek olan platform, web sitelerinin SEO için optimize edildiği dönemden servislerin MCP üzerinden ajanlar için optimize edildiği (Agentic Optimization) döneme geçişin en somut altyapı adımlarından birini oluşturuyor.