FastMCP 4.1.0 : finir le travail avant de changer son propriétaire
Une maintenance change les frontières d’identité et de session. La version du 8 octobre demande des tests de migration, pas seulement une installation.
Une maintenance change les frontières d’identité et de session. La version du 8 octobre demande des tests de migration, pas seulement une installation.
FastMCP 4.1.0 : finir le travail avant de changer son propriétaire
Une maintenance change les frontières d’identité et de session. La version du 8 octobre demande des tests de migration, pas seulement une installation.
Version vérifiée
FastMCP construit serveurs et clients MCP autour de fonctions Python. Les pages officielles datent 4.1.0 du 8 octobre 2026 : c’est la version pertinente pour cette lecture du 9 octobre, plutôt que le correctif 4.0.11 du 4. Le dépôt et LICENSE indiquent Apache 2.0 pour le code. Le dépôt affichait 27 453 étoiles et 2 285 forks à la lecture du 9 octobre. Ce sont des signes d’intérêt, pas une preuve de sécurité ou de migration réussie. J’ai lu les documents sans installer la bibliothèque ni reproduire une exploitation.
Migration d’identité
L’avertissement opérationnel majeur concerne la propriété. MultiAuth qualifie désormais les identifiants clients par leur source. Selon le changelog, sessions et tâches existantes commencent de nouveaux périmètres de propriété : terminer les tâches en attente avant mise à niveau. Mon interprétation : deux fournisseurs peuvent utiliser le même texte d’identifiant sans désigner la même personne. La migration doit vérifier propriété et accès après redémarrage, pas considérer qu’une chaîne familière conserve son propriétaire. C’est une analyse du changement documenté, pas un incident établi indépendamment.
Frontières de compatibilité
Plusieurs entrées se resserrent. Les fichiers de compétences doivent se résoudre dans les répertoires configurés. Les paramètres de chemin OpenAPI rejettent les segments point et double point. La recherche regex emploie Pydantic sans lookarounds ni backreferences. Les sessions HTTP expirent après les 30 minutes d’inactivité par défaut du SDK MCP au lieu de durer indéfiniment. CodeMode exige Monty 1.1, qui renomme max_duration_secs en max_feed_duration_secs. Python 3.15 est à nouveau pris en charge. Ce sont des frontières précises, pas une promesse que toutes les anciennes entrées survivent.
Installation traçable
Le guide donne uv add fastmcp ou pip install fastmcp, le supplément tasks séparément, puis fastmcp version pour vérifier l’environnement. Notez les versions résolues et verrouillez les dépendances avant de changer le serveur. La version d’exemple ne prouve rien sur votre machine. Le guide avertit que Cyclopts v4 inclut docutils avec une licence complexe, et propose Cyclopts v5 alpha. C’est une préversion à examiner, pas une recommandation automatique ; Apache ne règle pas chaque dépendance.
Mon test proposé
Mon test proposé emploie des données synthétiques et deux fournisseurs avec le même identifiant local. Avant migration, noter l’accès autorisé et finir les tâches. Après, vérifier qu’un fournisseur ne peut lire ni annuler celles de l’autre, et que l’accès légitime fonctionne. En environnement jetable, tester chemin ordinaire et point, compétence interne et lien sortant, regex pris en charge et lookaround, reconnexion après expiration. C’est une matrice suggérée, pas un résultat. MCP peut exposer arguments, fichiers et sorties privés : limiter les droits et éviter les données brutes de production dans les journaux. Les notes des mainteneurs ne sont pas un certificat de sécurité.