MCP para sites e quando expor ferramentas a agentes

O que um servidor MCP expõe de um site?

Um servidor MCP expõe três tipos de coisa a um cliente de IA: ferramentas que o modelo pode chamar, recursos que ele pode ler e prompts prontos. Os métodos da especificação deixam isso explícito, com tools/list, resources/list e prompts/list para descobrir o que existe, e tools/call e resources/read para usar. Aplicado a um site, uma ferramenta pode ser "buscar serviço por cidade" ou "consultar disponibilidade", e um recurso pode ser a ficha de fatos da empresa.

O protocolo foi aberto pela Anthropic em 25 de novembro de 2024, criado por David Soria Parra e Justin Spahr-Summers. O site oficial hoje é mantido sob a LF Projects, LLC, e o blog do projeto informa quase meio bilhão de downloads por mês nos SDKs de primeira linha. A página da agência sobre MCP traz a definição curta; aqui o foco é o que muda para quem vai implementar.

O protocolo foi aberto pela Anthropic em 25 de novembro de 2024, criado por David Soria Parra e Justin Spahr-Summers.

Lucas Ferraz, especialista em SEO

Especificação 2026-07-28 e o transporte Streamable HTTP

A revisão 2026-07-28 da especificação MCP transformou o protocolo em request e resposta sem estado. Saíram o handshake initialize e o cabeçalho Mcp-Session-Id. Cada requisição carrega versão do protocolo, identidade e capacidades do cliente no próprio corpo, e o método e o nome da ferramenta vão também em cabeçalhos HTTP, para gateway, WAF e limitador de taxa decidirem sem ler o JSON.

A especificação mantém dois transportes padrão. O stdio serve para servidor local iniciado pelo cliente. O Streamable HTTP é o que interessa a um site: um único endpoint, como /mcp, que aceita POST e responde com um objeto JSON ou com um fluxo SSE restrito àquela requisição. Uma chamada de ferramenta fica assim:

POST /mcp HTTP/1.1
Content-Type: application/json
Accept: application/json, text/event-stream
MCP-Protocol-Version: 2026-07-28
Mcp-Method: tools/call
Mcp-Name: buscar_servico

{"jsonrpc":"2.0","id":7,"method":"tools/call",
 "params":{"name":"buscar_servico","arguments":{"cidade":"Belo Horizonte"},
 "_meta":{"io.modelcontextprotocol/protocolVersion":"2026-07-28",
  "io.modelcontextprotocol/clientCapabilities":{}}}}

Se o cabeçalho e o corpo divergirem, o servidor responde 400 com o erro HeaderMismatch. Respostas de listagem passaram a trazer dica de cache, o que permite ao cliente guardar o catálogo de ferramentas sem pedir de novo a cada conversa.

MCP remoto WebMCP e llms.txt lado a lado

MCP remoto, WebMCP e llms.txt resolvem problemas diferentes de legibilidade para agentes, e confundir os três leva a implementar o mais caro sem necessidade.

No site da agência e neste, a camada de leitura para agentes começa em arquivos estáticos: llms.txt curado, versão em Markdown de cada página por /md/ e por Accept: text/markdown, e JSON-LD com um grafo por página. O post sobre Markdown para agentes de IA e a análise do llms.txt com dados de 2026 cobrem essas duas peças. Conteúdo editorial não precisa de ferramenta para ser lido.

Riscos que a especificação documenta

A especificação do Streamable HTTP exige que o servidor valide o cabeçalho Origin em toda conexão, com resposta 403 quando ele for inválido, para impedir DNS rebinding. Servidor local deve escutar só em 127.0.0.1 e todo servidor deve autenticar as conexões. O guia de segurança do protocolo acrescenta cinco pontos que valem para um endpoint público:

• Token passthrough é proibido: o servidor não pode aceitar token que não foi emitido para ele;
• SSRF na descoberta de OAuth: a recomendação é que clientes bloqueiem faixas privadas e o endereço de metadados de nuvem 169.254.169.254;
• Identificador de estado não autentica: handles de carrinho ou de fluxo precisam estar ligados ao usuário verificado;
• Escopo mínimo: publicar todos os escopos de uma vez aumenta o estrago de um token vazado;
• Validação de issuer: a revisão de julho passou a exigir a checagem do parâmetro iss para fechar ataques de mix-up.

Há um risco que a especificação não resolve por desenho: descrições e resultados de ferramentas entram no contexto do modelo. Trato todo texto que sai do servidor como entrada para outro sistema, sem instrução embutida e sem dado que não possa ser citado.

Quando faz sentido publicar um endpoint MCP?

Um endpoint MCP faz sentido quando o site tem dado que muda ou ação que o agente pode executar: estoque, preço atualizado, agenda, cotação, status de pedido, busca em base própria. Nesses casos, a ferramenta devolve o dado estruturado que o HTML esconderia atrás de filtros e JavaScript, e um agente de IA conectado usa isso sem raspar a página.

Para site de conteúdo, o critério que uso é custo contra consumo. Um endpoint exige autenticação, monitoramento, versão de protocolo e revisão de segurança a cada mudança da especificação, que agora tem política de descontinuação com janela mínima de doze meses. Se nenhum cliente MCP conhecido vai se conectar, a mesma informação servida em Markdown e JSON-LD chega a mais robôs com uma fração da manutenção.