L’essentiel
- MCP 2026-07-28, cinquième version de la spécification, remplace le protocole bidirectionnel à état par un simple modèle requête/réponse.
- Les serveurs MCP peuvent désormais tourner sur du serverless et de l’edge, sans gestion de session à contourner.
- Deux extensions officielles sortent de l’expérimentation : MCP Apps (interface rendue par le serveur dans une iframe isolée) et Tasks (opérations longues asynchrones).
- L’autorisation s’aligne sur OAuth 2.0 et OIDC ; le protocole revendique 400 millions de téléchargements de SDK par mois, quatre fois plus qu’en début d’année.
Anthropic vient de publier la cinquième version de la spécification MCP, et son changement principal est une soustraction : le protocole ne retient plus rien entre deux appels. Le serveur devient trivial à déployer. La continuité d’un agent, elle, devient votre affaire.
Le protocole passe de la conversation au guichet
Jusqu’ici, MCP (Model Context Protocol, le standard ouvert qui relie un modèle à des outils et à des données) fonctionnait comme une conversation. Le client ouvrait une session bidirectionnelle avec le serveur, et les deux gardaient en mémoire l’état de l’échange. Confortable pour un serveur qui tourne en local, à côté de votre éditeur. Beaucoup moins quand le même serveur doit répondre à des milliers d’agents en parallèle.
La nouvelle spécification remplace ce dialogue par un modèle requête/réponse. Chaque appel se suffit à lui-même : il porte tout ce qu’il faut pour être traité, et le serveur peut l’oublier aussitôt. Prenez l’image d’un guichet. Dans l’ancien modèle, un employé gardait votre dossier ouvert sur son bureau et personne d’autre ne pouvait vous servir. Désormais vous présentez le dossier complet à chaque passage : n’importe quel guichet fait l’affaire, et on peut en ouvrir cent aux heures de pointe.
C’est précisément le gain revendiqué par Anthropic dans son annonce : les serveurs MCP deviennent déployables sur du serverless et de l’edge, ces infrastructures qui réveillent une fonction à la demande et n’ont, par construction, aucune mémoire entre deux requêtes. Sean Roberts, vice-président chargé de l’IA appliquée chez Netlify, résume la conséquence côté hébergeur : MCP devient un service HTTP comme un autre, « sans gestion de session à contourner ».
L’enjeu dépasse d’ailleurs largement les produits d’Anthropic : OpenAI branche des serveurs MCP distants dans son API Responses et son Agents SDK, et Google fait de même dans l’API Gemini. Un cœur sans état allège la facture d’hébergement de tout l’écosystème.
La session ne disparaît pas, elle déménage
Un agent a toujours besoin de continuité : il enchaîne des appels, garde le fil d’une tâche, reprend après une erreur. Le transport ne l’assure plus. La charge remonte donc d’un étage, vers le client et le framework d’orchestration. C’est à vous de décider où vit le fil de l’échange, ce que vous rejouez à chaque appel, ce que vous rechargez et ce que vous laissez tomber.
Un serveur plus simple ne fait pas un système plus simple. Il déplace l’endroit où la difficulté se paie.
L’observabilité suit le même chemin. Une session offrait un fil de traçage gratuit : tous les appels d’un même échange y étaient rattachés. Avec des requêtes isolées, la corrélation devient un travail explicite, à instrumenter avant la mise en production. L’annonce prend la chose par son bon côté : ce cœur sans état facilite la mesure d’usage des serveurs MCP, pour voir quels outils sont réellement appelés et lesquels font défaut aux utilisateurs.
Des interfaces en iframe, des tâches qui durent
Les extensions entrent officiellement dans la spécification : un cadre versionné permet d’ajouter des capacités sans toucher au cœur. Deux d’entre elles sortent de l’expérimentation. MCP Apps autorise un serveur à produire sa propre interface, affichée chez le client dans une iframe isolée (un cadre web cloisonné du reste de la page). Tasks couvre les opérations longues et asynchrones, celles qui ne tiennent pas dans le temps d’une requête.
Mises ensemble, ces deux briques changent la nature de l’objet. Un serveur MCP peut afficher son écran, faire cliquer l’utilisateur, lancer un travail de fond et livrer sa réponse plus tard. On quitte le registre de l’outillage pour celui d’une plateforme applicative, avec ses cycles de vie, ses règles de rendu et son bac à sable de sécurité.
L’astuce d’architecture mérite d’être soulignée : la persistance n’a pas disparu, elle a quitté le cœur pour revenir là où elle se voit et se choisit. Le socle reste minimal et sans surprise à implémenter ; ce qui coûte cher vit dans des extensions versionnées, qu’on active en connaissance de cause.
L’autorisation se branche sur l’annuaire de l’entreprise
Le chantier le moins spectaculaire est probablement le plus décisif en entreprise : l’autorisation s’aligne sur des déploiements OAuth 2.0 et OIDC (OpenID Connect, la couche d’identité posée au-dessus d’OAuth) tels qu’on les trouve en production. Un serveur MCP se branche donc sur Entra ou Okta sans contournement maison, et l’authentification gérée par l’organisation devient un scénario prévu par la spécification, plus un bricolage local.
S’y ajoute une politique de dépréciation officielle, c’est-à-dire un préavis avant le retrait d’une fonctionnalité. Après cinq versions, l’écosystème réclame des garanties sur ce qui casse et à quel rythme : chaque fonctionnalité suit désormais des phases annoncées, avec au moins douze mois entre sa mise en dépréciation et un éventuel retrait. Avec 400 millions de téléchargements mensuels de kits de développement (SDK) et des acteurs comme Figma, Intuit ou Netlify qui l’utilisent déjà en production, un changement non annoncé ne se rattrape plus. Chris Kasten, architecte en chef d’Intuit, met en avant l’échelle visée : 100 millions de particuliers et d’entreprises à servir avec des agents.
La bascule ne se fera pas d’un seul coup
Le déploiement sera progressif sur les produits Claude, ce qui ouvre une fenêtre où clients et serveurs ne parleront pas tous la même version. Elle laisse le temps de régler ce que le protocole ne règle plus :
- où stocker la continuité d’une session d’agent, maintenant que le transport ne la porte plus ;
- comment corréler les appels d’un même échange pour conserver une traçabilité exploitable ;
- quelles extensions activer réellement, car MCP Apps et Tasks élargissent la surface exposée à l’utilisateur autant que les possibilités.
Une zone d’ombre subsiste : l’annonce reste discrète sur le chemin de migration des serveurs déjà écrits en supposant une session ouverte. Pour ceux-là, mettre à jour une dépendance ne suffira pas, c’est le modèle mental qu’il faudra revoir. Anthropic a retiré de son protocole exactement ce dont les agents ont le plus besoin, en pariant que le reste de la pile saura le fournir.
Mon avis
Cette spécification vient de créer un marché : celui de la mémoire de session pour agents. En abandonnant l’état, MCP laisse un vide que quelqu’un devra combler, et ce seront les couches d’orchestration, au tarif qu’elles fixeront. D’ici la fin de l’année, je m’attends à voir des offres de MCP managé vendues presque uniquement sur la reprise de session et la traçabilité. Et beaucoup d’équipes vont découvrir que leur serveur devenu trivial à déployer a rendu leur système nettement plus dur à déboguer.
