MCP(Model Context Protocol)이 2026-07-28 스펙 업데이트로 스테이트리스 아키텍처를 공식 채택했다. 기존의 핸드셰이크와 Mcp-Session-Id 기반 세션 모델을 버리고 각 요청이 필요한 정보를 자체 포함하도록 설계를 바꿨다. Cloudflare Workers처럼 요청 단위로 실행되는 인프라에서도 세션 상태 없이 MCP 서버를 운영할 수 있게 됐다.
핵심 포인트- 스테이트리스 전환: Mcp-Session-Id 헤더 및 핸드셰이크 제거, 각 요청이 프로토콜 버전·클라이언트 ID·캐퍼빌리티를 직접 포함
- MRTR(Multi-Round-Trip Requests): 서버가 추가 정보 필요 시 input_required를 반환하고 클라이언트가 채워 재요청 — 스트림 유지 없이 elicitation 구현
- HTTP 헤더 통합: Mcp-Method, Mcp-Name 헤더로 JSON 파싱 없이 게이트웨이가 MCP 트래픽을 인식해 도구별 rate limit·모니터링 가능
- 인증 강화: pre-registered client 우선, CIMD 지원, DCR은 2027년 여름 이후 제거 예정. RFC 9207으로 다중 issuer 혼동 공격 차단
- Feature Lifecycle: Active/Deprecated/Removed 분류 도입, Deprecated 기능은 최소 12개월 유지 후 제거로 예측 가능한 마이그레이션 창 제공
- Cloudflare의 createMcpHandler가 공식 TypeScript SDK에 편입, Code Mode가 stateless 모델로 초당 수천 req 처리 중
상세 정리- 배경: 기존 MCP는 핸드셰이크 + Mcp-Session-Id로 상태 유지가 필요해 Workers처럼 요청 단위 인프라에서 Durable Objects 없이 운영이 어려웠다.
- 핵심 변경: 세션 개념 제거. 각 HTTP 요청이 protocol version + client identity + capabilities를 직접 포함해 서버가 요청마다 독립적으로 처리한다.
- MRTR 구현: elicitation을 위해 기존엔 오픈 스트림 유지가 필요했는데, 이제 서버가 input_required 결과를 반환하면 클라이언트가 정보를 수집해 동일 요청을 재전송하는 방식으로 세션 없이 처리한다.
- HTTP 헤더 활용: Mcp-Method, Mcp-Name이 신규 필수 헤더로 지정됐다. JSON body 파싱 없이 게이트웨이와 레이트 리미터가 도구별 정책을 표준 HTTP 인프라로 적용할 수 있다.
- 인증 우선순위: pre-registered client를 최우선, 그다음 CIMD(Client ID Metadata Documents). DCR은 deprecated, 2027년 여름 이후 제거 예정.
- RFC 9207 적용: 여러 OAuth 서버가 혼용되는 환경에서 authorization response를 올바른 issuer와 매칭해 응답 혼동 공격을 차단한다.
- SDK 재작성: TypeScript, Python, Go, C# SDK 전체를 새 스펙으로 재작성. Cloudflare의 createMcpHandler가 공식 TypeScript SDK에 편입됐다.
- 하위 호환 유지: /mcp 엔드포인트가 신규 stateless 요청과 기존 2025 Streamable HTTP 클라이언트를 모두 처리. active session은 deprecated 기간 중 자연 drain 가능.
- 코드 예제: McpServer에 도구를 등록하고 createMcpHandler로 Workers fetch export에 연결하는 최소 구현 패턴 제공. Workers OAuth Provider 추가 시 Durable Objects 불필요.
- 생태계 확장: MCP Apps, Enterprise-Managed Authorization, Tasks 같은 확장 기능은 extensions 프레임워크로 분리해 코어 스펙이 비대해지지 않게 설계.
왜 읽나MCP 서버를 운영하거나 AI 에이전트 인프라를 구축하는 개발자에게 스테이트리스 전환의 구체적인 구현 변경 포인트와 마이그레이션 경로를 실전 코드와 함께 설명하는 레퍼런스.
Cloudflare Blog·
당근 테크블로그·