Votre SaaS a un dashboard.Vos clients veulent le piloter en parlant.

1. Cœur stateless

   SEP-2575SEP-2567

   Ce qui casse

   Le handshake initialize et l'en-tête Mcp-Session-Id disparaissent. Tout ce qui était indexé sur la session perd son ancrage : contexte d'auth, caches, rate limits.

   Ce que je fais

   Des handlers autonomes. L'état applicatif passe par des handles explicites, que l'outil retourne et reçoit comme argument.

2. En-têtes obligatoires

   SEP-2243

   Ce qui casse

   Mcp-Method et Mcp-Name deviennent obligatoires sur Streamable HTTP, et le serveur doit rejeter toute incohérence avec le corps. Un WAF ou un proxy qui retire les en-têtes Mcp-* casse tout, en silence.

   Ce que je fais

   Validation en-tête contre corps côté serveur, et vérification de toute la chaîne : proxy, WAF, CDN.

3. Fin du SSE long

   SEP-2260SEP-2322

   Ce qui casse

   Le serveur ne peut plus pousser vers le client hors d'une requête active. Progression et notifications sur le canal GET s'arrêtent.

   Ce que je fais

   Passage au Multi Round-Trip Request : l'outil retourne un InputRequiredResult, le client répond avec inputResponses.

4. Codes d'erreur

   SEP-2164

   Ce qui casse

   Resource-not-found passe de -32002 à -32602. Les tests et les clients maison qui vérifient le code en dur cassent sans bruit.

   Ce que je fais

   Codes mis à jour, et des tests qui les vérifient.

5. Tasks

   SEP-2663

   Ce qui casse

   Tasks sort du cœur vers une extension, avec un autre cycle de vie. tasks/list est supprimé.

   Ce que je fais

   Portage vers l'extension, ou retrait si l'usage ne le justifie pas.

6. OAuth durci

   6 SEP

   Ce qui casse

   Validation de iss selon RFC 9207, credentials liés à l'issuer, métadonnées RFC 9728 exactes, tokens liés à l'audience. Dynamic Client Registration est déprécié au profit des Client ID Metadata Documents.

   Ce que je fais

   Métadonnées et validation des tokens mises en conformité, issuer stable, support des Client ID Metadata Documents.

7. Dépréciations

   SEP-2577SEP-2596

   Ce qui casse

   Roots, Sampling et Logging sont dépréciés, comme l'ancien transport HTTP+SSE.

   Ce que je fais

   Remplacés par des paramètres d'outil et de la configuration, des appels directs aux API de modèles, stderr et OpenTelemetry.

Source : spécification MCP 2026-07-28, publiée le 28 juillet 2026.