MCP переписали: 28 июля выходит крупнейшая ревизия протокола — без сессий, без handshake и с новой авторизацией. Твоим серверам две недели на миграцию

Если у тебя в проде крутится хоть один MCP-сервер — у тебя дедлайн. 28 июля выходит финальная спецификация MCP 2026-07-28, которую сами мейнтейнеры называют «крупнейшей ревизией протокола с момента запуска»: из протокола выпиливают сессии, убирают initialize-handshake, депрекейтят три core-фичи и переписывают авторизацию. Release candidate опубликован ещё 21 мая, окно на валидацию закрывается через две недели.

TL;DR: MCP 2026-07-28 делает протокол stateless: сессии и handshake initialize/initialized удалены, три core-фичи депрекейтнуты, авторизация переписана, появился фреймворк расширений. Для инфраструктуры это подарок (любой инстанс обрабатывает любой запрос, автоскейлинг без sticky sessions), для существующих серверов — обязательная миграция. Финал — 28 июля. Параллельно Google, Microsoft и GitHub опубликовали ARD — спеку о том, как агенты находят инструменты в вебе.

Что меняется в MCP 2026-07-28?

Главное изменение: протокол становится stateless — MCP больше не управляет сессиями на уровне протокола. Шесть Specification Enhancement Proposals в сумме убирают сессионную модель, на которой была построена спека 2025-11-25: исчезает Mcp-Session-Id, исчезает рукопожатие initialize/initialized, роутинг переезжает в заголовки Mcp-Method и Mcp-Name.

Для тех, кто держит MCP-серверы в проде, это меняет архитектуру в лучшую сторону. Раньше: sticky sessions на балансировщике, общий session store как единая точка отказа, инспекция тел запросов для роутинга. Теперь: любой инстанс обрабатывает любой запрос, round-robin вместо липких сессий, автоскейлинг без оглядки. Разбор WorkOS с диаграммами «до/после» — лучшее из прочитанного на эту тему; первоисточник — пост мейнтейнеров о release candidate.

Вторая часть — авторизация: её переписали под агентные сценарии, и вместе с депрекацией трёх core-фич это та часть, где старые серверы ломаются, а не «продолжают работать по-старому». Десятинедельное окно между RC (21 мая) и финалом (28 июля) мейнтейнеры прямо назвали временем миграции для SDK и серверов. Осталось две недели.

Зачем убрали сессии — и что сломается?

Сессии убрали потому, что они мешали MCP масштабироваться как обычному HTTP-сервису. Протокол, рождённый как локальный stdio-коннектор для Claude Desktop, за полтора года стал инфраструктурным стандартом (в декабре его передали под крыло Linux Foundation вместе с OpenAI, Anthropic и Block в управлении), и сессионная модель оказалась главным тормозом: она требовала от каждого продакшен-деплоя решать проблемы, которые веб решил двадцать лет назад.

Что сломается при бездумном апгрейде: код, полагающийся на состояние между вызовами внутри сессии (его теперь нужно держать на стороне сервера явно или в токенах), кастомные реализации handshake, и всё, что завязано на три депрекейтнутые фичи. SDK обновятся сами — но твой серверный код поверх них обновится только твоими руками.

Причём тут ARD от Google и Microsoft?

ARD решает соседнюю проблему: MCP определяет, как агент разговаривает с инструментом, а ARD — как агент вообще находит инструменты в интернете. Agentic Resource Discovery опубликовали 11 компаний — Google, Microsoft, GitHub, Hugging Face, Cisco, NVIDIA, Databricks и другие — как открытую спеку под Apache 2.0.

Механика простая и очень «вебовская»: организация публикует ai-catalog.json по well-known-пути на своём домене — список своих MCP-серверов, инструментов, скиллов и агентов. Реестры краулят каталоги, индексируют и отвечают на discovery-запросы агентов на естественном языке. Владение доменом служит верификацией издателя, для продакшена — криптографическая trust-метадата. GitHub в день анонса включил agent finder в Copilot, Hugging Face выкатил Discover Tool.

Вместе эти две спеки описывают будущее, где агент не приходит с пришитым списком из семи MCP-серверов, а находит нужный инструмент в рантайме — как браузер находит сайты. До этого будущего далеко (ARD — драфт v0.9, реестры в зачатке), но направление стека протоколов теперь видно целиком: MCP для инструментов, A2A для общения агентов, ARD для discovery.

Подводные камни

• Это breaking changes, а не косметика. Удаление сессий и handshake плюс переписанная авторизация означают: сервер на спеке 2025-11-25 без миграции со временем перестанет работать с обновлёнными клиентами. «Подождать, пока устаканится» — не стратегия, когда финал через две недели.
• Депрекация трёх core-фич затрагивает существующий код. Проверь, используют ли твои серверы депрекейтнутое — миграционный гайд в драфте спеки перечисляет замены.
• Stateless переносит бремя состояния на тебя. Протокол больше не хранит сессию — если твоему инструменту нужен контекст между вызовами, теперь это твоя явная задача (и твой потенциальный баг).
• ARD пока обещание, а не инфраструктура. Спека v0.9, экосистема реестров сырая, поддержка в Google Agent Registry «в ближайшие месяцы». Публиковать ai-catalog.json уже можно, ждать от этого трафика агентов — рано.

Альтернативы

• Остаться на 2025-11-25 — можно, серверы не выключатся 29 июля: клиенты какое-то время поддержат обе версии. Но это заём времени под процент: чем позже миграция, тем больше нового кода вокруг успеет предположить stateless-мир.
• OpenAI Apps SDK / функции провайдеров — вендорские механизмы инструментов живы, но после передачи MCP в Linux Foundation и с ARD от Google/Microsoft ставка на не-MCP выглядит ставкой против консенсуса всей индустрии.

Вердикт

Если поддерживаешь MCP-серверы — эти две недели и есть твоё окно: прочитай RC-пост, прогони серверы против драфт-спеки, спланируй миграцию авторизации, не жди финала. Если только пользуешься MCP из Claude Code или Cursor — выдыхай: клиенты и официальные SDK переедут за тебя, максимум обновишь пакеты. А ai-catalog.json на своём домене стоит опубликовать любому, кто раздаёт инструменты наружу: это полчаса работы и бесплатный билет в discovery-слой, который Google, Microsoft и GitHub только что легитимизировали.

Как подготовиться

1. Прочитай анонс release candidate — там полный список SEP с обоснованиями.
2. Проверь свои серверы по чеклисту: используешь Mcp-Session-Id? кастомный handshake? депрекейтнутые фичи? Каждое «да» — пункт миграции.
3. Обнови SDK до версии с поддержкой RC и прогони интеграционные тесты против нового транспорта — большинство сюрпризов всплывает на авторизации.
4. Если публикуешь инструменты наружу — набросай ai-catalog.json по спеке ARD и положи на well-known-путь своего домена.
5. Поставь в календарь 28 июля: день финальной спеки — правильный момент перевести стейджинг и посмотреть, что закричит.