L'état des serveurs MCP, T4 2026 : surtout hébergés, surtout isolés

Le registre MCP est devenu un annuaire d'endpoints hébergés publiés par des éditeurs qui ne déclarent qu'un seul serveur, et la plupart de ses entrées ont changé au cours des 90 derniers jours. Nos 78 tests font ressortir un second constat que le registre ne peut pas montrer : les risques se logent dans les réglages par défaut, avec la télémétrie activée, l'accès en écriture ouvert et des dizaines d'outils chargés dans le contexte du modèle.

Il s'agit de la première édition d'une étude trimestrielle. Elle sera actualisée à cette adresse chaque trimestre avec la même méthode, pour que les chiffres puissent être comparés dans le temps.

Ce que nous avons compté

Les fiches ont été collectées dans le registre MCP officiel (via son API publique) le 22 octobre 2026. Nous avons gardé la dernière version active de chaque serveur doté d'une description et d'une adresse https, et retiré les entrées qui font doublon avec l'un de nos tests. Il en est resté 7 367 serveurs. Chaque chiffre ci-dessous provient de scripts/study-mcp.js, qui lit ces fiches et nos fichiers de tests et affiche les résultats ; l'édition du trimestre prochain exécutera le même script.

Une limite conditionne tout ce qui suit. Le registre renvoie les serveurs dans l'ordre des espaces de noms, et notre collecteur s'est arrêté après 20 000 enregistrements, aux espaces de noms commençant par com.hem. Cette édition couvre donc tous les espaces de noms de ac. à com.hem et aucun au-delà, y compris io.github.*, que les développeurs utilisent quand ils s'authentifient par un compte GitHub plutôt que par un domaine. Considérez les proportions comme décrivant cette tranche. L'édition du T1 2027 couvrira l'ensemble du registre, et l'écart sera indiqué.

Surtout hébergés, surtout des éditeurs isolés

Sur les 7 367 serveurs, 6 875 (93,3 %) indiquent un endpoint hébergé et 492 (6,7 %) sont des paquets à faire tourner vous-même. Seuls 2 865 (38,9 %) renvoient vers un dépôt de code source : pour la plupart des entrées, il n'y a donc aucun code à lire. La part des serveurs hébergés est peut-être surestimée. Les espaces de noms vérifiés par GitHub que nous avons manqués sont ceux où publient les développeurs individuels, et un développeur est plus enclin à publier un paquet qu'à faire tourner un serveur ; le décompte complet du trimestre prochain tranchera.

La publication est très dispersée. La tranche compte 5 855 éditeurs, et 5 568 d'entre eux (95,1 %) ne déclarent qu'un seul serveur ; ces entrées isolées représentent 75,6 % de toutes les fiches. Les dix plus gros éditeurs totalisent 763 serveurs, soit 10,4 %. Ce ne sont pas les entreprises que l'on pourrait attendre. Smithery, un service d'hébergement, déclare 211 serveurs dont les fiches ont été mises à jour pour la dernière fois entre septembre 2025 et janvier 2026. Les 125 serveurs de paiement et de facturation pays par pays de Wishpool ont tous été mis à jour pour la dernière fois au cours des trois mêmes jours de juillet 2026. A2AWire déclare 119 serveurs pour les paiements et la messagerie entre agents, et getvda 95 aux noms génériques comme « Auth Token MCP Service ».

Le registre évolue vite. 3 049 entrées (41,4 %) ont été mises à jour en octobre, jusqu'au 22, et 3 643 (49,5 %) dans les 30 jours précédant la collecte. 5 743 (78,0 %) ont changé en moins de 90 jours, et seules 248 (3,4 %) sont restées intactes depuis plus d'un an ; les plus anciennes datent de septembre 2025, à l'ouverture du registre. Une date de mise à jour mesure l'activité dans le registre plutôt que la maintenance. Publier une nouvelle version l'actualise, et une republication en masse actualise des centaines d'entrées d'un coup sans que personne ne corrige le moindre bug.

Catégories

Nous classons les fiches dans nos dix catégories MCP à l'aide de règles par mots-clés appliquées au nom et à la description de chaque serveur. Près de la moitié ne correspond à aucune règle, ce qui en dit autant sur le flou avec lequel les serveurs se décrivent que sur nos règles.

Catégorie	Serveurs	Part	Hébergés
Non classés	3 463	47,0 %	94,2 %
Recherche et connaissances	883	12,0 %	95,1 %
Finance et commerce	737	10,0 %	95,4 %
Développement	610	8,3 %	86,1 %
Design et médias	548	7,4 %	92,2 %
Productivité	365	5,0 %	94,2 %
Communication	271	3,7 %	95,6 %
Cloud et infrastructure	222	3,0 %	91,4 %
Navigateur et web	140	1,9 %	87,9 %
Données et bases de données	128	1,7 %	85,9 %

Que la finance et le commerce dépassent les outils de développement est la surprise. Les paiements entre agents y sont pour quelque chose : 355 fiches (4,8 %) mentionnent x402, USDC, la crypto, la blockchain, un portefeuille ou des stablecoins. Les catégories où les paquets locaux résistent, les outils de développement et les bases de données, sont celles où le serveur a besoin de vos fichiers ou de votre réseau.

Ce que montrent les 78 serveurs testés

Nos tests ne sont pas un échantillon aléatoire. Nous avons choisi des serveurs largement utilisés ou qui font quelque chose de distinctif : ils penchent donc vers les éditeurs établis. 57 sont conçus par des éditeurs (73,1 %), 14 viennent de la communauté et 7 sont les serveurs de référence encore maintenus dans le dépôt du projet MCP lui-même. Ils sont aussi plus souvent locaux que ceux de la tranche du registre : 41 proposent à la fois un transport local et un transport hébergé, 23 sont uniquement hébergés et 14 ne tournent que sur votre machine.

Authentification	Serveurs testés
OAuth proposé	40 (51,3 %)
Aucune nécessaire pour un usage de base	25 (32,1 %)
Clé d'API, jeton ou identifiants uniquement	13 (16,7 %)

OAuth est devenu la norme pour les serveurs hébergés. Les 23 serveurs uniquement hébergés le proposent tous, de même que 38 des 57 serveurs d'éditeurs. Les 25 qui ne demandent aucune authentification peuvent tous tourner sur votre propre machine, et ils incluent les sept serveurs de référence, comme Filesystem et Git.

Les avis de sécurité se concentrent dans les modes HTTP locaux et dans les garde-fous

Onze tests citent des avis de sécurité publiés. Les pires ne concernent pas les serveurs hébergés. Todoist présentait une faille critique de DNS rebinding dans son serveur HTTP local facultatif, si bien qu'un site malveillant pouvait créer et supprimer des tâches par son intermédiaire. n8n-mcp recense 15 avis depuis mai 2026, dont un critique, la plupart dans son mode HTTP multi-locataire, et Serena en a eu trois en 2026 qui aboutissaient chacun à une exécution de code. Deux ont cassé le dispositif de sécurité lui-même : le mode lecture seule de DBHub pouvait être contourné sur MySQL et MariaDB, et le dépôt awslabs à l'origine des anciens serveurs d'AWS a publié en septembre 2026 un contournement critique du mode lecture seule dans son serveur Postgres.

La télémétrie est souvent active tant que vous ne la coupez pas

Dix tests ont trouvé de la télémétrie ou des remontées d'usage activées par défaut, notamment chez Azure, MongoDB, Chrome DevTools et Grafana. Deux vont plus loin que de simples compteurs d'usage. Les versions publiées de Shopify envoient des événements d'usage qui peuvent inclure les entrées des outils, et n8n-mcp collecte des structures de workflows nettoyées pour entraîner des modèles de génération de workflows. Le README de Blender MCP présente la télémétrie comme facultative, mais un enregistrement d'usage anonyme est envoyé par défaut.

Les modes lecture seule existent, sous conditions

Quatorze tests documentent un interrupteur de lecture seule, et cinq indiquent que le serveur n'en a pas : Asana, Cloudflare, Heroku, PayPal et Redis, dont le README renvoie plutôt vers un utilisateur de base de données en lecture seule. Les interrupteurs qui existent s'accompagnent souvent de conditions. Le mode lecture seule d'AWS ne fonctionne que via son proxy SigV4, pas via OAuth. L'option de monday.com n'est documentée que pour le serveur local et ne peut pas être combinée avec ses outils dynamiques. Linear et Supabase font les choses correctement, avec respectivement un endpoint dédié en lecture seule et un utilisateur Postgres en lecture seule.

Le nombre d'outils ne cesse d'augmenter

Sur les 26 tests qui indiquent un nombre d'outils, 14 le situent à 40 ou plus. Vercel documente 248 outils, Grafana 129, Neon 119 sans filtre et GitHub 93. Chaque description d'outil coûte du contexte à chaque requête, et les éditeurs le savent : GitHub charge cinq ensembles d'outils par défaut, et le code mode de Cloudflare remplace environ 2 500 outils par quatre.

Les serveurs locaux sont archivés au profit des serveurs hébergés

Le projet MCP a déplacé ses serveurs de référence GitHub, Postgres et Slack vers une archive, n'en laissant que sept dans le dépôt principal ; le serveur officiel de GitHub a remplacé le premier. Les éditeurs font de même. ElevenLabs a archivé son serveur local en août 2026 au profit du serveur hébergé, et Browserbase a archivé son dépôt en juillet 2026, tandis que son serveur hébergé reste documenté. Les guides qui vous disent d'installer les anciens paquets sont désormais dépassés.

Ce que les fiches ne peuvent pas vous dire

Une entrée du registre prouve que quelqu'un contrôle un espace de noms et a rempli un formulaire. Elle ne montre pas si le serveur fonctionne, qui l'utilise, combien d'outils il déclare, ce qu'il collecte ni si son endpoint hébergé répond. Il n'y a pas de nombre d'installations. Le registre n'enregistre pas du tout l'authentification : c'est pourquoi les constats ci-dessus sur l'authentification, la télémétrie et la lecture seule proviennent uniquement des 78 serveurs que nous avons testés à partir de leur documentation, de leur code source et de leurs avis de sécurité. Aucun de ces chiffres ne provient de l'exécution des serveurs.

Pour choisir un serveur, les fiches sont un point de départ et les tests sont l'endroit où se trouvent les compromis. Notre guide des serveurs MCP qui valent la peine d'être installés présente ceux par lesquels nous commencerions.