O que é MCP (Model Context Protocol): como funciona, o que mudou na especificação 2026-07-28, configuração nos apps e segurança

MCP (Model Context Protocol) é uma especificação aberta para que apps de IA (Claude Code, ChatGPT, VS Code e outros) usem ferramentas e dados externos (GitHub, bancos de dados, sistemas internos etc.) de um mesmo jeito. Se você constrói uma ferramenta uma vez como «servidor MCP», qualquer app compatível com MCP pode usá-la. Como funciona feito um cabo que serve em qualquer aparelho, é chamado de «o USB-C da IA».

A Anthropic a publicou em 25 de novembro de 2024 e, em dezembro de 2025, a doou à Agentic AI Foundation (AAIF), sob a Linux Foundation. A versão atual da especificação é a 2026-07-28, e com ela o MCP passou a ser sem estado (stateless): não existe mais «sessão» por conexão. Este artigo explica como o MCP funciona, o que mudou na especificação atual, como registrar servidores nos principais apps, um teste prático de 10 minutos e as regras oficiais de segurança, com base na especificação do MCP e na documentação oficial de cada empresa (consultadas em 12 de novembro de 2026).

Dentro da sua própria máquina o transporte é stdio; pela rede, Streamable HTTP. A IA decide qual ferramenta usar e quando, e o host pede a aprovação do usuário antes de chamá-la.

1. O que é MCP: um acordo comum entre a IA e as ferramentas

Antes do MCP, cada app de IA se conectava às ferramentas do seu jeito. Para usar uma ferramenta de «postar no Slack» em três apps, era preciso construí-la três vezes. O MCP transformou essa camada de conexão em uma única especificação. Com M apps e N ferramentas, o que eram M×N integrações vira M+N implementações. A própria especificação diz que se inspira no Language Server Protocol (LSP), que padronizou o suporte a linguagens entre editores.

As três coisas que um servidor pode oferecer

No sentido inverso, o cliente (o app) pode oferecer aos servidores Elicitation, que permite a um servidor pedir informações adicionais ao usuário. Roots (dizer ao servidor em quais pastas ele pode trabalhar) e Sampling (o servidor pedir ao modelo do app que gere texto), presentes em versões anteriores, foram descontinuados na versão atual (seção 4).

2. O que aconteceu nos dois anos desde o lançamento

As versões da especificação do MCP levam o nome de «a última data em que foram feitas mudanças incompatíveis com versões anteriores». Estes são os principais fatos ao lado dessas versões.

• 25 de novembro de 2024A Anthropic publicou a especificação e os SDKs. A primeira versão foi a 2024-11-05.
• 26 de março de 2025A versão 2025-03-26 trouxe o Streamable HTTP para servidores remotos e a autorização baseada em OAuth, e descontinuou o antigo transporte HTTP+SSE. No mesmo dia (horário dos EUA), Sam Altman, da OpenAI, anunciou que a OpenAI daria suporte ao MCP em seus produtos (segundo o TechCrunch).
• 18 de junho de 2025A versão 2025-06-18 trouxe a saída estruturada (tipada) das ferramentas e o Elicitation.
• 25 de novembro de 2025A versão 2025-11-25 trouxe Tasks para trabalhos longos (experimental) e os Client ID Metadata Documents, com os quais um cliente se identifica por uma URL.
• 9 de dezembro de 2025A Anthropic doou o MCP à AAIF, cofundada por Anthropic, Block e OpenAI e apoiada por Google, Microsoft, AWS, Cloudflare e Bloomberg. O anúncio desse dia citava mais de 10.000 servidores MCP públicos ativos e mais de 97 milhões de downloads mensais dos SDKs de Python e TypeScript, e listava ChatGPT, Cursor, Gemini, Microsoft Copilot e VS Code entre os que o adotaram.
• 28 de julho de 2026A versão atual, 2026-07-28, eliminou o handshake inicial (initialize) e as sessões e tornou o MCP sem estado (seção 4).

O MCP se espalhou porque a especificação é uma camada fina sobre JSON-RPC 2.0 e JSON Schema, fácil de implementar; porque foi publicada cedo como especificação aberta; e porque, com a doação, deixou de pertencer a uma única empresa. Com fornecedores concorrentes na mesma especificação, quem constrói ferramentas só precisa fazê-lo uma vez.

3. Como funciona: host, cliente, servidor e dois transportes

A especificação tem três papéis. O host é o app de IA que a pessoa usa; um cliente é o conector que o host executa para cada servidor (um por servidor); e o servidor é o lado que oferece ferramentas e dados. As mensagens usam JSON-RPC 2.0: o cliente recebe a lista de ferramentas (tools/list), chama com argumentos a ferramenta que a IA escolheu (tools/call) e recebe o resultado.

4. O que mudou na especificação atual, 2026-07-28

Segundo a página de versões da especificação, a versão atual (Current) é a 2026-07-28. Em relação à anterior, 2025-11-25, a forma de conexão mudou bastante. As principais diferenças, segundo o registro de mudanças:

Pela política de ciclo de vida de recursos da especificação, o que é descontinuado permanece pelo menos doze meses antes de poder ser removido (ou no mínimo 90 dias se houver um risco de segurança ativo, como uma vulnerabilidade publicada ou exploração real que não possa ser contida no próprio protocolo). A especificação também descreve como se conectar, com compatibilidade retroativa, a quem ainda usa o handshake da 2025-11-25 e anteriores.

O que muda para quem usa e para quem constrói

• Usuários

  Se o seu app já tem suporte, não há nada a fazer

  O Claude Code suporta a 2026-07-28 com seu «v2 runtime», baseado no MCP TypeScript SDK 2.0. Ele pergunta a cada servidor se suporta a versão nova e, se sim, a usa; se não, conecta-se com o handshake anterior. O v2 runtime é o padrão a partir da v2.1.232 nas sessões que buscam feature flags e a partir da v2.1.274 nas que não buscam. Para ficar no protocolo anterior, defina a variável de ambiente MCP_PROTOCOL_NEGOTIATION=legacy (documentação de MCP do Claude Code).

• Desenvolvedores

  Migre para os SDKs 2.x e não adote recursos descontinuados

  O SDK de Python está na série 2.x (mcp 2.3.0 no PyPI, lançado em 2 de outubro de 2026), e a série 2.x do TypeScript SDK suporta a 2026-07-28. Na 2.x, os pacotes de TypeScript foram divididos em @modelcontextprotocol/server e @modelcontextprotocol/client (2.4.0 no npm), enquanto o antigo @modelcontextprotocol/sdk continua na 1.x (1.32.2). Em servidores novos, passe pastas por argumentos da ferramenta ou por configuração em vez de Roots, e registre logs na saída de erro padrão ou no OpenTelemetry em vez de Logging. Para estado que atravessa várias chamadas, emita IDs impossíveis de adivinhar e vincule-os ao usuário (seção 9).

• Extensões

  Agora há «extensões» opcionais fora do núcleo

  A página geral da especificação destaca Tasks para trabalhos longos, MCP Apps para exibir interfaces como gráficos e formulários dentro da conversa e Skills over MCP para distribuir instruções para agentes via MCP (em discussão em um grupo de trabalho). Uma extensão só é usada quando cliente e servidor a suportam.

5. Como registrar servidores nos principais apps e onde fica a configuração

O mesmo servidor MCP é registrado de modo diferente, e guardado em um arquivo diferente, em cada app. Veja o que diz a documentação oficial de cada empresa (consultada em 12 de novembro de 2026).

Fontes: a documentação de MCP do Claude Code, do Codex, do Gemini CLI e do VS Code. Os conectores (servidores MCP remotos) que você adiciona no claude.ai também aparecem no /mcp do Claude Code, mas não são carregados quando você entra com uma chave de API (o que fazer quando os conectores estão desativados).

6. Servidores para usar hoje e onde encontrar mais

Para encontrar servidores, comece pelo MCP Registry, a lista de servidores públicos, e pelo Anthropic Directory de conectores revisados pela Anthropic. O repositório oficial mantém agora sete servidores de referência (Everything, Fetch, Filesystem, Git, Memory, Sequential Thinking, Time); o README os apresenta como exemplos didáticos para quem constrói os próprios servidores e pede que você avalie seus próprios requisitos de segurança. Os servidores de GitHub, PostgreSQL, Slack e outros que ficavam ali foram para o servers-archived (o do GitHub passou para o servidor do próprio GitHub, e o do Slack é mantido pela Zencoder). Não siga tutoriais antigos ao pé da letra.

7. Teste em 10 minutos: deixe o Claude Code ler uma pasta

Com o servidor oficial filesystem, você deixa o Claude Code ler só uma pasta escolhida. Supõe-se que o Node.js (npx) esteja instalado.

1. Crie uma pasta de teste. Crie uma pasta vazia, sem nada importante (por exemplo ~/mcp-test), e coloque nela um README.md curto. O servidor só poderá mexer nesta pasta.
2. Registre o servidor. No macOS e no Linux, rode o seguinte. Tudo depois de -- é passado como está como comando de inicialização do servidor.

   claude mcp add --transport stdio files -- npx -y @modelcontextprotocol/server-filesystem ~/mcp-test

   No Windows nativo (sem WSL) o registro é igual, escrevendo a pasta como C:\mcp-test. Se o npx não iniciar, envolva-o com cmd /c, como mostra o README do servidor de referência para Windows.

   claude mcp add --transport stdio files -- cmd /c npx -y @modelcontextprotocol/server-filesystem C:\mcp-test

   Ajuste o caminho da pasta ao seu ambiente.
3. Confira a conexão. Abra o Claude Code, entre em /mcp e veja se files aparece como connected. Se aparecer failed, veja como resolver erros de conexão de servidores MCP.
4. Use. Peça «Resuma o README de mcp-test». O Claude Code pede permissão antes de usar a ferramenta; olhe o nome da ferramenta e os argumentos antes de permitir.
5. Limpe. Quando terminar, remova com claude mcp remove files.

Servidores remotos são registrados por URL (por exemplo claude mcp add --transport http notion https://mcp.notion.com/mcp); depois de registrar, conclua a autenticação pelo /mcp. Há três escopos: o padrão local vale só para você naquele projeto, --scope project grava em .mcp.json na raiz do projeto para compartilhar com a equipe e --scope user deixa disponível em todos os seus projetos. Deixe em local os servidores com credenciais que você não quer no controle de versão.

8. Crie seu próprio servidor MCP: um exemplo mínimo

Usar servidores já ajuda, mas o MCP mostra seu valor quando você abre para a IA as suas próprias ferramentas internas. Com o SDK de Python (2.x), cerca de uma dúzia de linhas basta. O exemplo é um servidor que «retorna o estoque atual».

Instale o SDK com uv add "mcp[cli]" (ou pip install "mcp[cli]"). O extra [cli] adiciona os comandos mcp dev e mcp run usados abaixo.

from mcp.server import MCPServer

mcp = MCPServer("inventory-server")

@mcp.tool()
def get_stock(sku: str) -> int:
    """Retorna o estoque atual de um SKU"""
    # Aqui vai a consulta ao seu banco de estoque
    return query_internal_db(sku)

if __name__ == "__main__":
    mcp.run(transport="stdio")

• Testar

  uv run mcp dev server.py, do README do SDK, abre a interface oficial de testes (MCP Inspector) para conferir a lista de ferramentas e os resultados das chamadas sem uma IA no meio.

• Registrar

  No Claude Code: claude mcp add --transport stdio inventory -- python server.py. A docstring da função vira a descrição da ferramenta que a IA vê, então diga com precisão o que ela retorna.

• Compartilhar

  Para compartilhar na empresa, uv run mcp run server.py --transport streamable-http o transforma em um servidor HTTP. Nesse caso, siga as regras de autorização e de tokens da seção 9.

Os SDKs oficiais são TypeScript, Python, C#, Go, Rust e Ruby (Tier 1), Java (Tier 2) e Swift, PHP e Kotlin (Tier 3). O Tier indica o quanto os recursos estão completos e o compromisso de manutenção, e cada SDK adota as novas versões da especificação no próprio ritmo.

9. Segurança: o essencial das Security Best Practices oficiais

A especificação trata as ferramentas como «execução de código arbitrário» e determina que o host deve obter o consentimento explícito do usuário antes de chamar qualquer ferramenta. Descrições e anotações (annotations) das ferramentas são consideradas não confiáveis, a menos que venham de um servidor confiável. Além disso, as Security Best Practices oficiais listam ataques próprios do MCP e suas contramedidas.

Cinco verificações antes de instalar um servidor

Se um texto devolvido por um servidor disser «ignore as instruções anteriores e…», a IA pode ser sequestrada. Trate a saída dos servidores como dados e faça uma pessoa confirmar, toda vez, ações irreversíveis como enviar, apagar ou pagar. Explicamos o raciocínio em cuidados com o que você passa para a IA. Se você constrói agentes, o lado do projeto (como dar ferramentas, minimizar permissões, separar operações perigosas) é explicado passo a passo no capítulo MCP e conexão de ferramentas do nosso curso de desenvolvimento de agentes de IA.

10. MCP, API, Skills ou A2A: quando usar cada um

Os quatro não se excluem. Por exemplo: buscar dados atualizados via MCP, organizá-los com o procedimento de uma Skill e entregá-los ao agente de outro departamento via A2A. Servidores MCP também podem ser incluídos em plugins do Claude Code e distribuídos à equipe junto com skills e hooks.

11. Não instale nem construa demais

• Contexto

  Os resultados das ferramentas consomem contexto

  O Claude Code usa tool search por padrão: no início da sessão carrega só os nomes das ferramentas e as instruções dos servidores, e carrega as definições quando são necessárias. Mesmo assim, os resultados consomem contexto: ele avisa quando uma saída passa de 10.000 tokens e a limita a 25.000 tokens por padrão (ajustável com MAX_MCP_OUTPUT_TOKENS).

• Projeto

  Não transforme tudo em MCP

  Quanto mais ferramentas uma requisição chama, mais tempo e dinheiro ela custa. Se a IA não precisa escolher, um programa comum ou uma chamada de API é mais rápido e confiável.

• Especificação

  Construa contando que a especificação vai mudar

  Algumas versões, como a 2026-07-28, mudam a forma de conexão. O que é descontinuado fica, em regra, pelo menos doze meses (no mínimo 90 dias diante de um risco de segurança ativo), mas revise seus servidores quando os SDKs forem atualizados.

• Receita

  Dá para ganhar dinheiro com seu servidor?

  O MCP não tem mecanismo de cobrança próprio. Comparamos canais de venda e taxas em dá para monetizar servidores MCP?.

Resumo

• MCP é uma especificação aberta que conecta apps de IA a ferramentas e dados externos. A Anthropic a publicou em novembro de 2024 e a doou à AAIF, sob a Linux Foundation, em dezembro de 2025.
• Os papéis são host, cliente e servidor. Os servidores oferecem Tools, Resources e Prompts, por stdio ou Streamable HTTP.
• A versão atual é a 2026-07-28. Ela eliminou o handshake e as sessões para ser sem estado e descontinuou Roots, Sampling e Logging.
• Claude Code, Codex e Gemini CLI registram servidores com um comando mcp add; o Claude Desktop, com um arquivo de configuração; e o VS Code, pela paleta de comandos.
• Comece testando o servidor de referência filesystem em uma pasta vazia e confirme a conexão com /mcp.
• Um servidor próprio leva cerca de uma dúzia de linhas com o SDK de Python. Teste no MCP Inspector antes de registrar.
• As Security Best Practices oficiais pedem mostrar o comando de inicialização inteiro e obter aprovação, recusar tokens não emitidos para o servidor, usar IDs impossíveis de adivinhar e permissões mínimas.

Perguntas frequentes

P1. Preciso de treinamento especial para usar MCP?

Para usar, não. No Claude Code basta uma linha de claude mcp add, e no Claude Desktop, algumas linhas em um arquivo de configuração. Mesmo para criar o seu, o SDK cuida dos detalhes do JSON-RPC, então dá para começar escrevendo uma função e adicionando um decorador.

P2. Dá para usar MCP no ChatGPT?

Sim. Segundo a ajuda da OpenAI consultada em 12 de novembro de 2026, conectar seus próprios servidores MCP ao ChatGPT (suporte completo ao MCP, incluindo ações de escrita) está disponível no ChatGPT Business, Enterprise e Edu, na web. Em Plugins, com «Add custom MCP server», você adiciona o endpoint HTTPS público do servidor (ou um Secure MCP Tunnel) e confirma o aviso de risco; não é preciso ativar antes o modo de desenvolvedor. No Business só administradores e proprietários podem conectar servidores; no Enterprise e no Edu, os administradores também podem dar essa permissão a membros escolhidos por controle de acesso baseado em funções (RBAC). Só administradores e proprietários podem publicar no workspace, e não dá para conectar pelo celular. Detalhes na ajuda da OpenAI.

P3. Servidores antigos vão parar de funcionar com a versão 2026-07-28?

Não de imediato. A especificação inclui um procedimento compatível para se conectar a quem usa o handshake da 2025-11-25 e anteriores, e o Claude Code se conecta com o protocolo anterior aos servidores que não suportam a versão nova. O que é descontinuado também fica na especificação, em regra, por pelo menos doze meses (no mínimo 90 dias só diante de um risco de segurança ativo). Nos seus próprios servidores, verifique se dependem de Roots, Sampling ou Logging ao migrar para o SDK 2.x.

P4. É seguro abrir um banco de dados interno à IA via MCP?

Depende de como você projeta as permissões. Se usar uma conexão só de leitura e oferecer como ferramentas apenas consultas fixas com argumentos validados com rigor, é muito mais seguro do que deixar a IA escrever SQL livre. Uma ferramenta que «roda qualquer SQL» é perigosa. Se compartilhar por HTTP, aceite só tokens emitidos para o seu servidor, mantenha as permissões mínimas e guarde registros, como na seção 9.

P5. MCP e function calling (chamada de ferramentas) são a mesma coisa?

Estão em camadas diferentes. Function calling é o formato, dentro da API de um modelo, para dizer «quero chamar esta função com estes argumentos», enquanto o MCP é o acordo de comunicação entre um app e servidores externos. Um app compatível com MCP passa ao modelo, no formato de chamada de ferramentas dele, a lista que recebeu dos servidores e envia ao servidor, via MCP, a chamada que o modelo escolheu.