שרתי ייחוס MCP 1.0.0: יומן מהדורה, לא תו בטיחות
תקציר Extensions של היום בודק את Fetch, שבע גרסאות חבילה ומאגר ברישוי מעורב. אף חבילה לא הורצה.
בדיקת מקורות ב-12 באוקטובר 2026
תקציר Extensions של היום בודק את Fetch, שבע גרסאות חבילה ומאגר ברישוי מעורב. אף חבילה לא הורצה. v1.0.0
מהדורה אחת, שתי שיטות גרסאות
המהדורה הרשמית מ-11 באוקטובר מונה את Everything, Filesystem, Memory ו-Sequential Thinking בגרסה 1.0.0 ב-npm. Fetch, Git ו-Time מופיעים בגרסה 2026.10.10 ב-PyPI. אלה גרסאות חבילה; התג אינו מפרט פרוטוקול חדש. המאגר מכנה אותן מימושי ייחוס. הסיבה שבחרתי במהדורה היא שינוי גבול הגישה של Fetch, לא המספר העגול.
מיקוד: mcp-server-fetch
Fetch מקבל URL וממיר HTML ל-Markdown עבור LLM. הכלי המתועד מקבל url, max_length, start_index ו-raw; ברירת המחדל של max_length היא 5,000 תווים ושל start_index אפס. הקריאה במקטעים מגבילה את הטקסט שחוזר, לא את היעדים. תשובה קצרה עדיין יכולה להגיע ממארח רגיש. תיאור החבילה הנוכחי מציין MCP Python SDK 1.x, תלות mcp>=1.29.0,<2 ו-Python 3.10 ומעלה.
הקמה: לבדוק לפני הפעלה
התיעוד מציע uvx mcp-server-fetch או pip install mcp-server-fetch ואז python -m mcp_server_fetch. אלה מסלולי הפעלה מתועדים, לא פקודות שהרצתי. בפריסה מבוקרת קבעו ורשמו גרסה מדויקת במקום להניח שהפעלה ללא הצמדת גרסה מביאה את הבנייה שנבדקה. ודאו שהשרת הפעיל מזדהה כ-2026.10.10. שרת stdio מקומי הוא עדיין קוד במכונה שלכם, עם הגישה לרשת שהסביבה מאפשרת.
תחזוקה ואות קהילתי שנצפה
רשומת המהדורה מתוארכת ל-11 באוקטובר 2026; בקשת מחסום הרשת מוזגה ב-5 באוקטובר. דף המאגר הציג 91,128 כוכבים בבדיקה ב-12 באוקטובר. זה אות של המאגר כולו, לא שימוש ב-Fetch או אישור לגרסה; פופולריות אינה איכות. איני טוען לצמיחה, למגמת הורדות או לדירוג. ראיות התחזוקה כאן הן מהדורה שפורסמה ושינוי שמוזג, לא תחזוקה של כל פריסה.
רישיון: להפריד בין הרכיב למאגר
מטא-נתוני Fetch מצהירים על MIT. קובץ LICENSE של המאגר מתאר מעבר: תרומות קוד ומפרט חדשות משתמשות ב-Apache-2.0, תרומות תיעוד שאינן מפרטים ב-CC-BY-4.0, ותרומות מוקדמות ללא הסכמה לרישוי מחדש נשארות MIT. לכן תיאור כל העץ הנוכחי כ-MIT מסתיר הבדל חשוב. בהפצה מחדש בדקו את הקבצים וההודעות של התוצר המדויק. התקציר מדווח על הצהרות המקורות, לא נותן חוות דעת משפטית על ההפצה שלכם.
אבטחה ופרטיות: ברירות מחדל חדשות, גבולות שנותרו
PR #5033 ותיאור החבילה העדכני מתעדים סירוב לכתובות לא ציבוריות לפני בקשות, כולל robots.txt וכל קפיצת הפניה. --allow-private-ips מכבה את המחסום. שני גבולות מוצהרים נשארים: DNS יכול להשתנות בין פתרון השם של המחסום לחיבור, ושמות שהשרת אינו פותר בעצמו מועברים הלאה, כולל שמות שרק פרוקסי פותר. אני ממליץ על כללי יציאה עצמאיים מבדיקת URL, סביבת קבלה ללא סודות, והתייחסות לטקסט שהוחזר כלא מהימן. היעד רואה את הבקשה; אל תכניסו מידע פרטי ל-URL.
תהליך בדיקה קטן
פתחו כרטיס עם ארבעה שדות ראיות: גרסה מותקנת מדויקת; ארגומנטים של הפעלה ופרוקסי; תוצאות סירוב של בדיקת loopback מבוקרת ושל הפניה ציבורית מבוקרת ל-loopback; מדיניות הרשת של החיבור בפועל. הפרידו בדיקות שהספק מדווח עליהן מהתצפיות שלכם. בדקו שוב את רישיון התוצר המוצמד לפני הפצה. אל תפעילו עקיפה רק כדי להעביר בדיקה שנכשלה. זו תוכנית בדיקה, לא תוצאת ביקורת ולא טענה שבדקתי את השרתים.
מסלולי הפעלה מתועדים, לא הורצו כאן
uvx mcp-server-fetch
# חלופה
pip install mcp-server-fetch
python -m mcp_server_fetchיומן מקורות והסתייגות ממטא-נתונים
תצוגת דף הפרויקט שנשלפה עדיין הציגה 2026.8.18. נקודת JSON הישירה של PyPI, שנבדקה בנפרד ב-12 באוקטובר, החזירה 2026.10.10 ותיאור של המחסום החדש, בהתאם לרשומת המהדורה. השתמשתי במטא-נתונים הישירים ליישוב הפער במקום לטעון שהתצוגה הראשונה מעודכנת. PyPI JSON