Il Model Context Protocol ha rilasciato la revisione 2026-07-28 martedì, la quinta e di gran lunga la più dirompente. Il protocollo nato come connessione bidirezionale con stato è ora un core senza stato di tipo request/response. L'handshake initialize/initialized va in pensione e l'header Mcp-Session-Id scompare.
Perché rimuovere le sessioni
Perché le sessioni vincolavano il traffico a una macchina. Ogni richiesta ora descrive da sé la propria versione del protocollo, l'identità del client e le capacità in _meta, e una nuova chiamata obbligatoria server/discover consente ai client di chiedere in anticipo cosa supporta un server. Il riassunto del blog è la formulazione più chiara dell'intento: "Any request can now land on any server instance behind a plain round-robin load balancer without needing shared storage." Il legacy transport HTTP+SSE è deprecato con un periodo di transizione di dodici mesi.
I cambiamenti nell'autorizzazione
Quattro interventi di hardening, nessuno dei quali sostituisce OAuth: convalida dell'emittente RFC 9207 prima che un codice venga riscattato, un campo application_type nella registrazione dinamica dei client che corregge i redirect localhost per app desktop e CLI, credenziali vincolate all'emittente che le ha generate e la registrazione dinamica dei client stessa deprecata a favore dei Client ID Metadata Documents.
Le estensioni crescono
Un framework versionato per le estensioni ha promosso Tasks fuori dal core sperimentale in io.modelcontextprotocol/tasks, con handle durevoli basati su polling, insieme a MCP Apps per UI interattiva inline, Skills over MCP e Enterprise-Managed Authorization. Anthropic ha pubblicato lo stesso giorno un post che porta la revisione su Claude — UI inline delle app, autenticazione gestita dalle aziende tramite Entra e Okta, una dashboard di osservabilità per i connettori pubblicati e MCP Tunnels come anteprima di ricerca — citando oltre 950 connettori nella propria directory.
La scala per cui è progettato
MCP ora segnala quasi mezzo miliardo di download al mese tra i suoi SDK di Tier 1, con i pacchetti TypeScript e Python entrambi oltre il miliardo cumulato. Ospitato presso la Agentic AI Foundation della Linux Foundation, elenca contributi da AWS, Anthropic, Cloudflare, Figma, Google Cloud, Microsoft, Netlify, Linear e Sentry.