Serveurs de référence MCP 1.0.0 : un registre de version, pas un label de sûreté
Le digest Extensions vérifie Fetch, sept versions de paquets et un dépôt aux licences mixtes. Aucun paquet n’a été exécuté.
Sources vérifiées le 12 octobre 2026
Le digest Extensions vérifie Fetch, sept versions de paquets et un dépôt aux licences mixtes. Aucun paquet n’a été exécuté. v1.0.0
Une publication, deux systèmes de versions
La version officielle du 11 octobre liste Everything, Filesystem, Memory et Sequential Thinking en 1.0.0 sur npm. Fetch, Git et Time sont indiqués en 2026.10.10 sur PyPI. Ce sont des versions de paquets ; le tag n’est pas une nouvelle spécification du protocole. Le dépôt les appelle des implémentations de référence. Je retiens cette publication pour le changement de frontière d’accès de Fetch, pas pour son chiffre rond.
Focus : mcp-server-fetch
Fetch récupère une URL et convertit le HTML en Markdown pour un LLM. L’outil documenté prend url, max_length, start_index et raw ; max_length vaut 5 000 caractères par défaut, start_index zéro. Ce découpage limite le texte retourné, pas les destinations autorisées. Une réponse courte peut venir d’un hôte sensible. La description actuelle du paquet indique MCP Python SDK 1.x, mcp>=1.29.0,<2 et Python 3.10 ou plus récent.
Métadonnées actuelles du paquet
Installation : examiner avant de lancer
La documentation propose uvx mcp-server-fetch ou pip install mcp-server-fetch, puis python -m mcp_server_fetch. Ce sont des chemins documentés, pas des commandes exécutées par moi. Pour un déploiement contrôlé, résolvez et notez la version exacte plutôt que de supposer qu’un appel non épinglé fournit la version examinée. Vérifiez que le serveur actif se présente comme 2026.10.10. Un serveur stdio local reste du code sur votre machine, avec la portée réseau permise par cet environnement.
Maintenance et signal communautaire observé
La publication est datée du 11 octobre 2026 ; la PR du filtre réseau a été fusionnée le 5 octobre. La page du dépôt affichait 91 128 étoiles lors de la vérification du 12 octobre. C’est un signal global du dépôt, pas l’usage de Fetch ni une approbation de cette version ; la popularité ne mesure pas la qualité. Je ne revendique ni croissance, ni tendances de téléchargement, ni classement. Les preuves de maintenance sont ici une version publiée et un changement fusionné, pas l’entretien de chaque déploiement.
Licence : distinguer le composant et le dépôt
Les métadonnées de Fetch déclarent MIT. Le fichier LICENSE du dépôt décrit une transition : les nouveaux apports de code et de spécification utilisent Apache-2.0, les apports documentaires hors spécifications CC-BY-4.0, et les anciens apports sans consentement au changement restent MIT. Qualifier tout l’arbre actuel de MIT masquerait donc une distinction importante. Pour redistribuer, examinez les fichiers et notices de l’artefact exact. Ce digest rapporte les déclarations des sources, pas un avis juridique sur votre distribution.
Sécurité et confidentialité : nouveaux réglages, limites restantes
La PR #5033 et la description actuelle documentent le refus des adresses non publiques avant les requêtes, dont robots.txt et chaque redirection. --allow-private-ips désactive le filtre. Deux limites restent déclarées : le DNS peut changer entre la résolution du filtre et la connexion ; les noms que le serveur ne résout pas lui-même sont transmis, notamment ceux résolus seulement par un proxy. Je recommande des règles de sortie indépendantes du contrôle d’URL, un environnement sans secrets pour la réception, et de traiter le texte reçu comme non fiable. Le destinataire voit la requête ; ne mettez pas de données privées dans les URL.
Un petit parcours de revue
Créez un ticket avec quatre champs de preuve : version installée exacte ; arguments de démarrage et proxy ; refus observés sur un test loopback contrôlé et une redirection publique vers loopback contrôlée ; politique réseau de la connexion réelle. Distinguez les tests rapportés par le fournisseur de vos observations. Revérifiez la licence de l’artefact épinglé avant redistribution. N’activez pas le contournement simplement pour faire passer un test. C’est un plan de revue, pas un résultat d’audit ni l’affirmation que j’ai testé ces serveurs.
Chemins de lancement documentés, non exécutés ici
uvx mcp-server-fetch
# autre méthode
pip install mcp-server-fetch
python -m mcp_server_fetchRegistre des sources et réserve sur les métadonnées
Le rendu récupéré de la page du projet affichait encore 2026.8.18. Le point JSON direct de PyPI, vérifié séparément le 12 octobre, a renvoyé 2026.10.10 et la description du nouveau filtre, en accord avec la publication. J’ai utilisé ces métadonnées actuelles pour trancher, sans prétendre que le premier rendu était à jour. PyPI JSON