Model Context Protocol (MCP), 2026-07-28 sürümünde temelinin, etkileşim modelinin ve ilgili SDK paketlerinin yeniden yazılmasının ardından tamamen durum bilgisi olmayan bir protokol hâline geldi. Cloudflare, bu değişikliğin MCP sunucularının oturumları korumak için özel protokol altyapısına ihtiyaç duyulmadan sıradan bir Worker içinde çalıştırılmasını sağladığını; ek bileşenlerden kaynaklanan operasyonel karmaşıklığı ve maliyeti azalttığını belirtiyor.
Yeni spesifikasyon geçen hafta TypeScript, Python, Go ve C# dilleri için SDK paketlerinin güncellenmiş sürümleriyle birlikte yayımlandı. Cloudflare'a göre sunucular artık isteği alabilir, bir araç, istem veya kaynak çalıştırabilir ve istekler arasında protokol oturumu depolamadan sonucu döndürebilir.
Zorunlu oturumlardan vazgeçiş
Önceki sürümler, bir oturum oluşturmak için initialize ve initialized mesajlarının karşılıklı gönderilmesiyle başlıyor, ayrıca Mcp-Session-Id başlığı aracılığıyla bir tanımlayıcı atanmasına olanak tanıyordu. Sonraki her isteğin bu oturumla ilişkili duruma erişmesi gerekiyordu. Bu durum, otomatik ölçeklendirmeye dayanan ortamlar için zorluklar yaratıyor, ayrıca dağıtımların etkin oturumları boşaltmasını veya taşımasını gerektiriyordu. Sunucunun etkin bir örneğinin kaybedilmesi, istemcinin yeniden bağlanmasına veya oturumun bozulmasına yol açabiliyordu.
Yeni sürüm, zorunlu el sıkışmayı, Mcp-Session-Id başlığını ve oturumları temel istek akışından kaldırıyor. Her istek, gerekli protokol sürümünü, istemci kimliğini ve yeteneklerini taşıyor. Başka bir isteği yürütmeden önce sunucuyu incelemek için kullanılan server/discover çağrısı da artık isteğe bağlı.
Bu, durum bilgisi olan uygulamalara artık ihtiyaç duyulmadığı anlamına gelmiyor; Cloudflare, uygulamanın kendisinin koordine edilmiş duruma ihtiyaç duyduğu durumlarda Durable Objects'in hâlâ uygun olduğunu belirtiyor. Ancak MCP artık protokolle iletişim kurmak için Durable Objects gerektirmiyor ve istekle ilişkili işlemeye ihtiyaç duyan sunucular Workers üzerinde ölçeklenebiliyor.
Açık uçlu akış yerine çok turlu etkileşimler
Sürüm, sunucunun isteği tamamlamadan önce ek bilgiye ihtiyaç duyduğu durumu ifade eden elicitation mekanizmasını yeniden tasarlıyor. Buna üretime bir sürüm yayımlama onayı veya para iadesi tutarının doğrulanması örnek verilebilir. Sunucunun başlattığı istekler daha önce açık uçlu akışa dayanıyordu.
Multi Round-Trip Requests mekanizmasıyla sunucu, gerekli verileri açıklayan input_required adlı bir sonuç döndürebiliyor. İstemci yanıtı topluyor ve işlemi bu verilerle yeniden deniyor; tarafların hiçbiri iki istek arasında bir aktarım oturumu tutmuyor. Cloudflare bu değişikliği önceki yöntemle uyumluluğu bozan, ancak operasyonel açıdan daha basit bir değişiklik olarak nitelendiriyor.
MCP isteklerini HTTP altyapısı için anlaşılır hâle getirme
Yeni spesifikasyon, Streamable HTTP isteklerinde Mcp-Method ve Mcp-Name başlıklarının bulunmasını zorunlu kılıyor. Böylece ağ geçidi, istek hızı sınırlayıcısı veya web uygulaması güvenlik duvarı, JSON-RPC içeriğinin tamamını ayrıştırmadan isteğin bir aracı mı çağırdığını yoksa bir kaynağı mı okuduğunu anlayabiliyor.
Spesifikasyon ayrıca tools/list, prompts/list, resources/list ve resources/read sonuçlarına ttlMs ve cacheScope ipuçlarını ekliyor. Araç dizinleri için belirleyici bir sıralama da sağlıyor; bu sayede bunlar yeniden kullanılabiliyor ve yeniden bağlantı sırasında istem önbelleğinin kararlılığı korunabiliyor.
Yetkilendirme ve özelliklerin yaşam döngüsündeki değişiklikler
Yeni spesifikasyon, istemci ve sunucu arasında mevcut bir ilişki olduğunda önceden kaydedilmiş istemcileri tercih ediyor; ardından dinamik kayıt için CIMD istemci meta veri belgelerini kullanıyor. Dynamic Client Registration veya DCR ise yedek seçenek hâline geliyor. Yeni uygulamalar için DCR'nin kullanım dışı bırakıldığı duyuruldu; kaldırılmasının 2027 yazından sonra planlandığı belirtildi.
Spesifikasyon ayrıca veren tarafın tanımlanması için RFC 9207 mekanizmasını benimsiyor ve yetkilendirme ile belirteç isteklerinde temel sunucu adresinin RFC 8707 uyarınca kaynak olarak kullanılmasını şart koşuyor. Cloudflare, Workers OAuth Provider'ın Workers üzerindeki MCP sunucuları için bu gereksinimleri uyguladığını belirtiyor.
Spesifikasyon artık özellikleri etkin, kullanımdan kaldırılmış veya kaldırılmış olarak sınıflandıran resmî bir yaşam döngüsüne sahip. Kullanımdan kaldırılan bir özellik, kaldırılmadan önce en az 12 ay boyunca kullanılabilir durumda kalmalı. Bu sürümde kullanımdan kaldırıldığı duyurulan özellikler arasında Roots, Sampling, Logging, DCR ve eski HTTP+SSE yöntemi bulunuyor. MCP Apps ve Enterprise-Managed Authorization ise uzantı hâline geldi; Tasks da uzun süren ve güvenilir işler için bir yol sağlamak üzere uzantılar çerçevesine taşındı.
Geçiş yolu ve kullanılabilirlik
createMcpHandler arayüzü deneysel durumdan resmî MCP TypeScript SDK paketine çıkıyor; Cloudflare ise Agents SDK içinde Workers'a yönelik bir arayüz sağlamaya devam ediyor. Şirket ayrıca TypeScript SDK'sının Node.js'den Web Standards'a taşınmasına yardımcı olarak Bun, Deno ve Cloudflare Workers ile uyumluluğu iyileştirdi.
İstemciler, daha eski spesifikasyonlarla uyumluluğu koruyarak geçiş yapabiliyor. /mcp uç noktası, 2025 sürümünü kullanan Streamable HTTP istemcilerinden gelen yeni protokolü ve durum bilgisi olmayan istekleri kabul ediyor; bu da çoğu istemcinin yapılandırmada değişiklik yapmadan yeniden bağlanmasına olanak tanıyor. Eski oturumlara, sunucudan istemciye isteklere veya bağımsız akışlara dayanan sunucuların ise etkin oturumlar tükenene kadar eski yolun yanında durum bilgisiz bir yol çalıştırmak gibi daha dikkatli bir geçiş yoluna ihtiyacı var.
Cloudflare, yeni spesifikasyonun platformundaki istemciler ve sunucular için kullanılabilir olduğunu; durum bilgisi olmayan bir MCP sunucusunun bir Worker üzerinde çalıştırılabileceğini ve Workers OAuth Provider ile güvence altına alınabileceğini belirtiyor. Şirkete göre Cloudflare API'sine yönelik Code Mode MCP Server hizmeti bu yaklaşımı kullandı ve saniyede binlerce isteğe ve milyarlarca araç çağrısına ulaştı.