Váš MCP server běží na starší revizi. Otázka není jestli, ale co přesně se rozbije.

01 · Kontext

Co se změnilo (všechno ověřené, s daty)

• Nová revize s nekompatibilními změnami. Revize 2026-07-28 je aktuální verzí protokolu: stateless redesign, handshake a protokolové session odstraněny, nová metoda server/discover, kterou server podle textu specifikace MUSÍ implementovat. Každý server postavený před 28. červencem implementuje starší revizi. Zpětná kompatibilita existuje – změna je ale architektonická, ne kosmetická.
• Specifikace sama říká, že moderní klient starší server neobslouží. Tabulka kompatibility v kapitole o verzování je v tomhle konkrétní. Kombinace moderní klient a starší server je vedená jako „Fails“ – server může požadavek odmítnout, mlčet, nebo ho zpracovat pod starší sémantikou, aniž by kdokoli poznal, že se stalo něco jiného, než klient čekal. Starší klienti navíc nemají žádný mechanismus, jak se posunout dopředu. Není to naše předpověď o tom, kdy se klienti přepnou. Je to publikovaný očekávaný výsledek. Řešení specifikace pojmenovává taky: server, který umí obě éry zároveň.
• Deprecation registr s 12měsíčními lhůtami. Spec zavedl formální životní cyklus funkcí a veřejný registr deprecated features. HTTP+SSE transport, Roots/Sampling/Logging i RFC7591 DCR jsou formálně Deprecated – s minimálně 12měsíčními lhůtami do odstranění.
• Klienti přecházejí „soon“. Anthropic oficiálně ohlásil roll-out nových Claude klientů napříč produkty – „soon“ – bez kompatibilitních závazků a bez dat. Katalogová review při každé (re)submission vyžaduje funkční nástroje proti aktuálním klientům.
• Ze serverů, které jde otestovat bez klíče, projde všemi signály připravenosti šest. Nezávislý census (RoninForge, 3. srpna 2026) prověřil všech 19 804 serverů v registru – není to naše číslo. Z 5 515, na které se šlo napojit bez přístupového klíče, projde všemi čtyřmi signály požadované konformity šest. Ekosystém měřitelně připravený není.
• Tichý risk: endpoint orphaning. Špatně provedená migrace endpointu (/sse → /mcp) umí tiše odpojit celou instalovanou bázi od vašeho katalogového listingu. Tenhle risk nečeká na žádný deadline.
• Bezpečnost MCP už není teorie. Americký katalog aktivně zneužívaných zranitelností CISA KEV eviduje od 2. září 2026 obejití autentizace v MCP endpointu brány LiteLLM (CVE-2026-59822). K 13. říjnu 2026 se MCP týkají dva záznamy v katalogu, oba u LiteLLM: vedle tohoto ještě spuštění příkazů přes endpointy pro testování MCP serverů (CVE-2026-42271, v katalogu od 8. června 2026). Projekt MCP vydává ke specifikaci vlastní dokument bezpečnostních doporučení (Security Best Practices) a nová revize mění i autorizaci.

02 · Rozsah

Migrační audit MCP: €990, 5 dní

• Oficiální konformní testy – spouštíme je z aktuální vývojové větve a jejich kompletní surový výstup dostanete v příloze reportu.
• Důkazy z reálné agentní trasy: co agent ve vašem konektoru skutečně zažije, krok po kroku, se zapečetěným záznamem.
• Inventura deprecated závislostí namapovaná na lhůty veřejného registru.
• Expozice vůči katalogové review při příští (re)submission.
• Prioritizovaný seznam, co přesně se rozbije – a fixní nabídka opravy.

100 % ceny auditu se započítá proti migraci nebo custody do 60 dnů. Platíte za jistotu, ne za závazek.

Na rovinu: oficiální konformní testy (modelcontextprotocol/conformance) jsou zdarma – jeden npx příkaz – a my je v auditu spouštíme; jejich výstup dostanete celý. Platíte za to, co žádný volný nástroj neudělá: důkaz z reálné agentní trasy, inventuru deprecated závislostí s lhůtami, expozici vůči katalogové review, prioritizaci a fixní nabídku – a někoho, kdo za to ručí.

03 · Doplněk

Volitelně: bezpečnostní kontrola MCP vrstvy.

Dozvíte se, jestli váš MCP server odmítne požadavek bez platného tokenu a jestli některá z vašich závislostí má k datu kontroly záznam v katalogu aktivně zneužívaných zranitelností CISA KEV. Procházíme devět kontrolních cílů sestavených podle dokumentu MCP Security Best Practices a katalogu CISA KEV; u každého uvedeme, jestli se vašeho serveru týká a čím jsme ho doložili. Bez vašeho písemného souhlasu nezačneme, používáme jen nedestruktivní postupy, přednostně v testovacím prostředí, a držíme se rozsahu, který spolu předem vymezíme. Nejde o penetrační test a nedáváme záruku bezpečnosti. V reportu najdete, co jsme v daném rozsahu a k datu kontroly ověřili, a u každého cíle výsledek s doložením.

Základní kontrolu, jestli server odmítne požadavek bez tokenu i s neplatným tokenem, zvládnete sami. Platíte za průchod všemi devíti kontrolními cíli, u každého s doložením nebo s důvodem, proč se vás netýká, a za porovnání závislostí s katalogem zneužívaných zranitelností i s bezpečnostními hlášeními výrobců. Kontrola je za příplatek k auditu a jeho výši stanovíme podle rozsahu; započtení ceny auditu se na ni nevztahuje.

Samotný Fit Check bezpečnostní kontrolu neobsahuje. Zájem o ni označte ve formuláři Fit Checku nebo napište na audit@strattlabs.com; rozsah a cenu pak domluvíme písemně.

Přejít na Fit Check ↓

04 · Další krok

Další krok po auditu

Navazující krok, když ho chcete: oficiální konektor postavený rovnou na aktuální revizi (stateless od prvního dne), přijetí v katalogu Claude i ChatGPT, smlouva a custody SLA – €4 900 + €490/měsíc. Custody absorbuje každou spec revizi a každou výměnu modelu; každý měsíc dodáme důkaz z reálné agentní trasy, že váš konektor pořád dělá, co má.

Přejít na Fit Check zdarma ↓