Qu’est-ce que Filesystem (reference server) ?
Filesystem est l'un des sept serveurs de référence encore maintenus par le comité de pilotage MCP dans le dépôt principal modelcontextprotocol/servers ; contrairement à GitHub, Postgres ou Slack, il n'a pas été déplacé vers l'archive. Il donne à un assistant IA 13 outils pour lire et écrire des fichiers, les éditer avec sortie en diff, créer et lister des répertoires, déplacer des fichiers, chercher par motif et lire les métadonnées de fichiers. La version 2.0.0, publiée le 19 octobre 2026, prend en charge à la fois le protocole 2026-07-28 et les clients de l'ère 2025, et a besoin de Node.js 24 ou plus récent.
L'accès est limité aux répertoires autorisés, passés en ligne de commande (npx -y @modelcontextprotocol/server-filesystem /path/to/dir). Les anciens clients qui prennent en charge MCP Roots peuvent encore les remplacer à l'exécution, mais Roots est déprécié dans la spec 2026-07-28. Le paquet npm a été téléchargé environ 440 000 fois dans la semaine jusqu'au 18 octobre 2026.
Installer Filesystem (reference server)
npx -y @modelcontextprotocol/server-filesystem /path/to/allowed/dirFilesystem (reference server) vaut-il le coup ?
Le serveur de référence Filesystem est vivant et maintenu dans le dépôt principal modelcontextprotocol/servers, et il a reçu une mise à jour substantielle le 19 octobre 2026. La version 2.0.0 parle à la fois le nouveau protocole 2026-07-28 et l'ancien handshake 2025, et a relevé la version minimale de Node.js à 24, ce qui cassera les configurations sur les machines plus anciennes. Environ 440 000 téléchargements npm par semaine montrent combien de configurations s'y appuient encore.
Treize outils couvrent ce qui manque à une appli de chat : read_text_file avec head et tail, read_media_file, read_multiple_files, write_file, edit_file avec un diff de style git et un aperçu dryRun, les listes et arbres de répertoires, search_files, move_file, get_file_info et list_allowed_directories. Chaque appel est vérifié contre les répertoires autorisés, et chaque outil porte des indices lecture seule, idempotent et destructeur pour qu'un client puisse demander avant d'écrire. Il n'y a pas d'outil de suppression, une omission sensée.
Le modèle d'accès a changé avec le nouveau protocole. MCP Roots, qui laissait un client échanger les dossiers autorisés à l'exécution, est déprécié dans la spec 2026-07-28, si bien que pour un client moderne les répertoires en ligne de commande sont toute la liste d'autorisation. La ligne 2.0 a aussi resserré la gestion des roots : une mise à jour sans roots valide révoque désormais l'accès plutôt que de revenir en arrière. L'histoire plaide pour rester à jour. En juillet 2025, deux avis de forte sévérité, CVE-2025-53109 et CVE-2025-53110, ont montré que les liens symboliques et les préfixes de chemin ressemblants pouvaient échapper au bac à sable ; ils ont été corrigés en 0.6.3 et 2025.7.1.
Le projet MCP dit clairement que ces serveurs sont des exemples pédagogiques, pas des produits de production. write_file écrase sur place et n'est pas atomique en cas de crash, et pointer le serveur vers un répertoire home remet au modèle chaque dotfile et clé qu'il contient. L'image Docker avec des montages en lecture seule, documentée dans le README, est le pattern plus sûr. Claude Code, Cursor et Codex livrent leurs propres meilleurs outils de fichiers, si bien que le vrai foyer du serveur est Claude Desktop et les agents personnalisés construits sur un SDK.
Là où il fait la différence
Un responsable des opérations qui utilise Claude Desktop sur un portable de travail
Laisser l'assistant lire et ranger un dossier de notes de réunion et de rapports
Ajoutez la configuration npx avec un répertoire autorisé, comme ~/Documents/ops. Le modèle peut résumer, renommer avec move_file et réécrire les fichiers ; il n'y a pas d'outil de suppression, mais write_file écrase, alors gardez le dossier dans un emplacement synchronisé ou sauvegardé.
Un développeur qui construit un agent de traitement de documents sur un SDK MCP
Donner à l'agent un accès aux fichiers en bac à sable sans écrire d'outils de fichiers
Faites tourner l'image Docker mcp/filesystem avec l'espace de travail monté sous /projects et les données de référence montées en lecture seule. Treize outils annotés évitent d'écrire et de sécuriser les vôtres ; cela ne coûte rien, mais le projet n'offre aucun support de production.
Un ingénieur sécurité qui approuve les serveurs MCP pour 50 postes de travail
Décider si le serveur filesystem est sûr à autoriser
Exigez 2.0.0 ou plus récent (les versions antérieures à 0.6.3 et 2025.7.1 portent les CVE d'évasion de bac à sable), n'autorisez que les dossiers de projet et jamais le répertoire home, et préférez les montages Docker en lecture seule là où les utilisateurs n'ont besoin que de lire.
Avant de vous engager
- Mise en route
- npx -y @modelcontextprotocol/server-filesystem /path/to/dir dans la configuration de Claude Desktop, des boutons d'installation en un clic pour VS Code, ou l'image Docker mcp/filesystem. A besoin de Node.js 24 ou plus récent pour npx ; les outils sont disponibles dès que le client redémarre.
- Intégrations
- 13 outils : neuf en lecture seule (read_text_file, read_media_file, read_multiple_files, list_directory, list_directory_with_sizes, directory_tree, search_files, get_file_info, list_allowed_directories) et quatre qui écrivent (create_directory, write_file, edit_file, move_file). Local uniquement ; chaque outil met openWorldHint à false.
- Données et confidentialité
- Lit et écrit tout ce qui est dans les répertoires autorisés avec vos permissions d'utilisateur ; rien ne quitte la machine sauf ce que le client envoie à son modèle. Les montages Docker ro rendent un dossier en lecture seule. Deux avis de forte sévérité d'évasion de bac à sable, CVE-2025-53109 et CVE-2025-53110, ont été corrigés en juillet 2025.
- Coût à grande échelle
- Gratuit et sous licence MIT. Le coût de fonctionnement est le contexte : 13 définitions d'outils sur chaque requête, plus les résultats de directory_tree et read_multiple_files qui peuvent remplir une fenêtre de contexte vite dans les grands dossiers.
- Limites
- Les écritures ne sont pas atomiques en cas de crash, move_file échoue si la destination existe, et il n'y a pas d'outil de suppression. Sur les clients 2026-07-28, Roots ne peut pas changer la liste d'autorisation, et un serveur démarré sans répertoires répond à chaque appel par une erreur.
Les points forts
- Vérifications de répertoire autorisé sur chaque appel
- Les indices d'outils séparent les opérations en lecture seule des destructrices
- edit_file montre un diff et prend en charge les exécutions à blanc
- Maintenu par le projet MCP ; 2.0.0 publié le 19 octobre 2026
Les points faibles
- Décrit par le projet MCP comme une référence, pas prêt pour la production
- Les écrasements ne sont pas atomiques en cas de crash
- 2.0.0 exige Node.js 24 ou plus récent
- Redondant dans les agents de codage avec des outils de fichiers intégrés
Idéal pour
Les utilisateurs de Claude Desktop ou d'agents personnalisés qui ont besoin d'un accès contrôlé à un ou deux dossiers locaux.
Alternatives à Filesystem (reference server)
Filesystem (reference server) : questions fréquentes
- Filesystem (reference server) vaut-il le coup ?
- Toujours la façon la plus propre de remettre à une appli de chat un dossier et rien de plus, pourvu que vous vous souveniez que le projet MCP lui-même l'appelle un exemple pédagogique. Nous lui donnons 4.1 sur 5.
- Combien coûte Filesystem (reference server) ?
- Gratuit et open source.
- Quels sont les inconvénients de Filesystem (reference server) ?
- Décrit par le projet MCP comme une référence, pas prêt pour la production; les écrasements ne sont pas atomiques en cas de crash; 2.0.0 exige Node.js 24 ou plus récent; redondant dans les agents de codage avec des outils de fichiers intégrés.
- À qui s’adresse Filesystem (reference server) ?
- Les utilisateurs de Claude Desktop ou d'agents personnalisés qui ont besoin d'un accès contrôlé à un ou deux dossiers locaux.
- Combien coûte Filesystem (reference server) pour une équipe ou en production ?
- Gratuit et sous licence MIT. Le coût de fonctionnement est le contexte : 13 définitions d'outils sur chaque requête, plus les résultats de directory_tree et read_multiple_files qui peuvent remplir une fenêtre de contexte vite dans les grands dossiers.
- Filesystem (reference server) est-il sûr pour les données de l’entreprise ?
- Lit et écrit tout ce qui est dans les répertoires autorisés avec vos permissions d'utilisateur ; rien ne quitte la machine sauf ce que le client envoie à son modèle. Les montages Docker ro rendent un dossier en lecture seule. Deux avis de forte sévérité d'évasion de bac à sable, CVE-2025-53109 et CVE-2025-53110, ont été corrigés en juillet 2025.
- Quelles sont les meilleures alternatives à Filesystem (reference server) ?
- Les alternatives les plus proches que nous avons testées sont Git (reference server) et Memory (reference server).
Réponses vérifiées le 22 oct. 2026.