MCP 仕様 2026-07-28 が正式版に — プロトコルがステートレスになり、initialize ハンドシェイクとセッションが消えた
Model Context Protocol の新仕様 2026-07-28 が正式版として公開された。ローンチ以来最大の改訂で、中核は `initialize`/`initialized` ハンドシェイクと `Mcp-Session-Id` ヘッダの完全撤廃。各リクエストが自分でプロトコルバージョン・クライアント識別・ケーパビリティを `_meta` に載せて運ぶ自己完結型になり、リモート MCP サーバは共有セッションストアもスティッキールーティングも無しで、素のラウンドロビン LB の後ろで水平スケールできる。あわせて MCP Apps・Tasks・Enterprise-Managed Authorization が正式な「拡張」の枠組みに整理され、認可の穴埋めと12か月の廃止猶予ポリシーが入った。
キーポイント
- `initialize`/`initialized` ハンドシェイクと `Mcp-Session-Id` ヘッダを撤廃。「どのリクエストも、共有ストレージ無しに、素のラウンドロビン LB の後ろのどのインスタンスにも着地できる」
- アプリ側の状態まで捨てる必要はない。状態を持ち越したいサーバはツールから明示的なハンドル(`basket_id` 等)を発行し、以降の呼び出しでただの引数としてモデルに渡し返させる
- MRTR(Multi Round-Trip Requests)がストリーム開きっぱなしの server-initiated request を置き換え。途中でユーザー入力が要るときは `resultType: "input_required"` を返し、クライアントが `inputResponses` を付けて元の呼び出しをリトライする
- 新しい `Mcp-Method` / `Mcp-Name` ヘッダで、ゲートウェイ・レートリミッタ・WAF が JSON ボディを解析せずにルーティングと計測をできる
- 認可の強化: RFC 9207 の issuer 検証で認可サーバすり替え攻撃を防ぐ/動的クライアント登録 (DCR) を正式に非推奨化し Client ID Metadata Documents (CIMD) へ
- Roots / Sampling / Logging を非推奨化、最低12か月のサポート期間を義務づけ。旧 HTTP+SSE トランスポートも同じく1年の猶予
- Tier 1 SDK(TS・Python・Go・C#)の月間ダウンロードが合計5億件近く、TypeScript と Python は累計10億ダウンロードをそれぞれ突破