Model Context Protocol (MCP)

TL;DR — MCP (Model Context Protocol) è un modo standard con cui app come Claude o ChatGPT si collegano a strumenti e dati esterni — i tuoi file, un database, un’API di ricerca — così un agente AI può effettivamente usarli. I suoi creatori lo definiscono «una porta USB-C per le applicazioni AI». Non è la stessa cosa di llms.txt (un file statico che elenca soltanto pagine) e non è un fattore di ranking Google.

MCP in una frase

Model Context Protocol è un protocollo aperto per collegare applicazioni AI a fonti di dati e strumenti esterni. Evidence for this claim Model Context Protocol is an open protocol for connecting AI applications to external systems. Scope: The MCP specification and official documentation; individual host and server implementations vary. Confidence: high · Verified: 2026-07-14 MCP: Introduction La sua architettura definisce host, client e server, oltre a primitive del server come risorse, prompt e strumenti. Evidence for this claim MCP defines host, client, and server roles and server primitives including resources, prompts, and tools. Scope: Current MCP architecture; negotiated capabilities determine which features a connection supports. Confidence: high · Verified: 2026-07-14 MCP: Architecture

Il Model Context Protocol è uno standard aperto che permette alle applicazioni AI di collegarsi a strumenti e fonti di dati esterni tramite un unico connettore comune, invece di una integrazione personalizzata per ogni combinazione. Anthropic — l’azienda che sviluppa Claude — lo ha creato e rilasciato come open source nel novembre 2024.

L’analogia usata da tutti (anche da Anthropic) è una porta USB-C per l’AI. Prima dell’USB-C, ogni dispositivo aveva il proprio connettore. MCP cerca di diventare l’unico connettore su cui qualsiasi app AI e qualsiasi strumento o fonte di dati possano accordarsi.

Perché conta proprio ora

Probabilmente senti parlare di «MCP» per via della crescita degli agenti AI: sistemi che non si limitano a rispondere a una domanda, ma vanno a fare qualcosa, come controllare il calendario, interrogare un database, aprire un ticket o verificare il prezzo attuale di un prodotto. Per fare tutto questo, un agente ha bisogno di un modo affidabile per raggiungere il mondo esterno. È ciò che offre MCP.

Ahrefs, nella sua guida alla SEO agentica, esprime il concetto in modo diretto:

“MCP (Model Context Protocol) is how your agent reaches the outside world. It’s > the standard plug that connects an agent to data and actions.” (Traduzione) MCP è il modo in cui il tuo agente raggiunge il mondo esterno: il connettore standard che collega un agente a dati e azioni.

e, in modo memorabile:

“Without MCPs, your agent is just a chatbot with opinions.” (Traduzione) Senza MCP, il tuo agente è solo un chatbot con delle opinioni.

L’aspetto che crea più confusione

MCP non è llms.txt. Questo sito ha un approfondimento separato su llms.txt e la versione breve è questa: llms.txt è un file statico che inserisci nel sito e che elenca pagine da leggere per un’AI — un riferimento a senso unico. MCP è un protocollo live che permette a un agente AI di chiamare funzioni, recuperare dati ed eseguire azioni in tempo reale. Uno è una mappa; l’altro è un insieme di comandi.

Configurare un server MCP non migliorerà il tuo ranking. Non ci sono prove che MCP sia un segnale di ranking nella ricerca o nelle risposte AI. Può rendere dati e strumenti utilizzabili da agenti che svolgono attività. È un caso d’uso concreto e in crescita, ma diverso dall’apparire nei risultati di ricerca o dall’essere citati in una risposta AI.

Vuoi conoscere architettura, storia, limiti di sicurezza e punti di contatto con i workflow SEO? Passa alla scheda Advanced.

TL;DR — MCP è un protocollo aperto basato su JSON-RPC (Anthropic, open source dal 25 novembre 2024) per collegare applicazioni AI a strumenti e dati esterni. Funziona secondo il modello host → client → server e i server espongono strumenti, risorse e prompt. Risolve il problema delle integrazioni N×M (lo trasforma in N+M). È un protocollo, non «function calling» e non llms.txt. OpenAI lo ha adottato nel marzo 2025; Anthropic lo ha donato alla Agentic AI Foundation della Linux Foundation nel dicembre 2025. Non esistono linee guida Google/Bing «MCP per la SEO»: esporre un server MCP serve agli agenti che svolgono attività, non alla visibilità nella ricerca, e comporta rischi reali e ancora irrisolti di prompt injection e tool poisoning.

Il problema che MCP risolve

MCP standardizza un confine di comunicazione tra un host AI e capacità esterne; non rende affidabili i dati collegati né autorizza automaticamente ogni azione. Evidence for this claim Model Context Protocol is an open protocol for connecting AI applications to external systems. Scope: The MCP specification and official documentation; individual host and server implementations vary. Confidence: high · Verified: 2026-07-14 MCP: Introduction La specifica assegna ruoli distinti a host, client e server e documenta la negoziazione delle capacità. Evidence for this claim MCP defines host, client, and server roles and server primitives including resources, prompts, and tools. Scope: Current MCP architecture; negotiated capabilities determine which features a connection supports. Confidence: high · Verified: 2026-07-14 MCP: Architecture

Prima di MCP, collegare un’applicazione AI a una fonte di dati significava creare un’integrazione su misura per quella specifica coppia. Collegare N app AI a M strumenti richiedeva circa N×M integrazioni personalizzate: la combinatoria diventava rapidamente ingestibile. MCP standardizza l’interfaccia, così ogni app implementa MCP una volta e ogni strumento implementa MCP una volta, riducendo il problema a N+M. È la stessa ragione per cui vale la pena avere protocolli come HTTP o Language Server Protocol.

Al lancio, il CTO di Block ha descritto il «perché» in questo modo:

“Open technologies like the Model Context Protocol are the bridges that connect > AI to real-world applications, ensuring innovation is accessible, transparent, > and rooted in collaboration.” (Traduzione) Le tecnologie aperte come Model Context Protocol sono i ponti che collegano l’AI alle applicazioni del mondo reale, rendendo l’innovazione accessibile, trasparente e basata sulla collaborazione.

L’architettura: host, client, server

MCP funziona secondo un modello host–client–server. I ruoli sono tre:

• Host — l’applicazione AI vera e propria (Claude Desktop, Claude Code, un agente di coding integrato in un IDE, un’app di chat con connettori).
• Client — l’host avvia un client MCP per ogni server a cui si collega. Il client gestisce quella singola connessione.
• Server — un programma che espone una capacità o dei dati. Un server può avvolgere il tuo file system, un altro il tuo database e un altro ancora un’API di ricerca web.

L’host può collegarsi contemporaneamente a molti server, ciascuno tramite il proprio client. I server locali comunicano in genere via STDIO (standard input/output, un client); i server remoti usano di norma Streamable HTTP (molti client), con OAuth disponibile per i deployment che richiedono autorizzazione delegata. Sotto il cofano c’è JSON-RPC 2.0. Il core 2026-07-28 corrente è stateless: la versione del protocollo, i metadati del client, il metodo e il nome applicabile di strumento/risorsa/prompt viaggiano con ogni richiesta, mentre server/discover espone versioni moderne e capacità supportate dal server. I risultati di discovery e degli elenchi che possono essere messi in cache possono pubblicare gli hint ttlMs e cacheScope. I client più vecchi dell’era 2025 usano ancora l’handshake di inizializzazione e possono usare sessioni Streamable HTTP, quindi i server di produzione hanno spesso bisogno di supportare entrambe le epoche durante la transizione. Le note della release MCP 2026-07-28 e la guida di migrazione dell’SDK TypeScript delimitano queste caratteristiche e il percorso di compatibilità della revisione nominata.

Le tre primitive del server

Ogni server MCP espone le proprie capacità attraverso tre elementi fondamentali:

• Strumenti — funzioni eseguibili che l’agente può chiamare per fare qualcosa (eseguire una query, inviare un messaggio, recuperare un prezzo attuale).
• Risorse — dati contestuali che l’agente può leggere (un file, un record del database, una risposta API).
• Prompt — template di interazione riutilizzabili che raggruppano un workflow comune.

Ogni tipo di primitiva ha semantiche proprie di discovery, lettura ed esecuzione e non sono intercambiabili: un client elenca ciò che è disponibile con una chiamata */list (tools/list, resources/list, prompts/list), poi legge o invoca un elemento specifico per nome (tools/call per eseguire uno strumento; una chiamata nello stile get/read per una risorsa o un prompt). Trattare ogni capacità del server come «uno strumento» nasconde il fatto che una risorsa è pensata per essere letta, non eseguita, e che un prompt è un template da inserire, non un’azione da eseguire.

Le estensioni offrono ora il percorso formale per le capacità che esulano dal core. MCP Apps può allegare UI renderizzata dal server al risultato di uno strumento, mentre Tasks è passato dalla forma sperimentale nel core a un’estensione per lavori duraturi e di lunga esecuzione. La revisione 2026-07-28 depreca inoltre roots, sampling e logging nel core. Strumenti, risorse e prompt restano le primitive lato server da conoscere per prime; il supporto a una primitiva o a un’estensione non implica il supporto a tutte le altre. Le note della release MCP 2026-07-28 descrivono i cambiamenti alle estensioni e alle deprecazioni.

MCP, llms.txt, function calling e WebMCP

Questi quattro elementi vengono continuamente confusi. Tenerli separati è gran parte del valore di questa pagina:

Due distinzioni meritano di essere esplicitate:

• MCP non è «function calling». Il function calling è una funzione a livello di modello: al modello viene detto quali funzioni esistono e il modello ne sceglie una da chiamare. MCP è il protocollo cross-vendor che standardizza il modo in cui strumenti e dati vengono scoperti, descritti e invocati tra molte app e molti server, indipendentemente da un singolo modello. I server MCP spesso implementano gli strumenti con definizioni nello stile del function calling, ma MCP è il livello di interoperabilità superiore, non un sinonimo.
• WebMCP non è MCP. WebMCP è una proposta separata, nativa del browser, che usa concetti simili a MCP per esporre le funzionalità di uno specifico sito — aggiunta al carrello, checkout, invio di moduli — a un agente già presente nel browser. MCP è il protocollo più ampio e più vecchio per collegare in generale applicazioni AI a strumenti e dati esterni. Per il lato identità/discovery dello stesso scenario, consulta l’articolo su llms.txt, oltre a entity SEO e schema markup per l’AI.

Una breve cronologia

• 25 novembre 2024 — Anthropic rende MCP open source, con partner iniziali e server già pronti (Google Drive, Slack, GitHub, Git, Postgres e altri).
• 26 marzo 2025 — OpenAI annuncia l’adozione di MCP, dicendo che il supporto sarebbe arrivato nell’Agents SDK, seguito dall’app desktop ChatGPT e dalla Responses API. Anche Google DeepMind passa a supportarlo. È il momento in cui MCP smette di essere una cosa di Anthropic e diventa uno standard industriale de facto.
• 9 dicembre 2025 — Anthropic dona MCP alla nuova Agentic AI Foundation (AAIF), un fondo diretto della Linux Foundation cofondato con Block e OpenAI, con altri grandi vendor come membri sostenitori: l’obiettivo esplicito è mantenere il protocollo aperto e neutrale rispetto ai vendor invece di lasciarlo sotto il controllo di una sola azienda.
• 28 luglio 2026 — viene rilasciata la più grande revisione del protocollo dal lancio: core stateless, estensioni di prima classe, metadati di routing e cache, rafforzamento dell’autorizzazione e una politica formale di deprecazione. Note della release

MCP è un fattore di ranking Google o Bing?

No, ed è importante dirlo chiaramente. Google non ha pubblicato linee guida formali di Search Central su MCP. Non esiste un documento «MCP per la SEO» di Google Search Central, né un episodio di Search Off the Record o una pagina Search Essentials che lo affronti. Esiste un generico approfondimento di Google Cloud rivolto agli sviluppatori, ma è una panoramica del vendor, non un documento sui segnali di ranking.

Sul versante Microsoft il quadro è simile: Microsoft ha adottato ampiamente MCP come vendor di piattaforma — lo documenta su Windows, mantiene un catalogo di server MCP e ha collaborato con Anthropic all’SDK C# ufficiale. Ma questo è supporto infrastrutturale, non una linea guida di Bing Webmaster che dica che MCP incide sul ranking. Non lo dice.

La cosa più vicina a un segnale Google ufficiale in un ambito vicino alla SEO è WebMCP (di nuovo: non MCP). Commentando una discussione su llms.txt, John Mueller di Google ha detto di preferire l’approccio WebMCP perché ha obiettivi concreti e ben delimitati:

“I like the WebMCP approach, as well as the commerce integrations – they have > clear goals & processes: ‘Given the agent is already on your site, how can it > properly do task X?’ (for example, determine the final price of a product, > including all fees & potential discounts).” (Traduzione) Mi piace l’approccio WebMCP e anche le integrazioni commerciali: hanno obiettivi e processi chiari — dato che l’agente è già sul sito, come può svolgere correttamente l’attività X? Per esempio, determinare il prezzo finale di un prodotto, comprese tutte le tariffe e gli eventuali sconti.

Quindi la risposta onesta alla domanda «MCP aiuta la mia SEO?» è che esporre un server MCP può rendere dati e azioni utilizzabili da agenti che svolgono attività: una proposta di valore genuinamente diversa dalla visibilità nella ricerca o nelle risposte AI. Non inserirlo tra i fattori di ranking.

Come MCP entra nei workflow SEO e di marketing

Oggi MCP tocca il nostro mondo soprattutto dal lato del professionista: permette agli agenti AI di interrogare gli strumenti che già usiamo:

• Ahrefs ha un connettore MCP, che permette a un agente AI di recuperare direttamente i dati di Ahrefs invece di esportarli e incollarli. La guida di Ahrefs alla SEO agentica lo illustra (l’articolo è di Mateusz Makosiewicz, con revisione di Ryan Law — non mia).
• Nell’ecosistema esistono server MCP per Google Search Console, così un agente può leggere i dati sul rendimento di GSC durante un workflow.
• Un server MCP di Bing Search espone ricerca web/news/immagini di Bing come strumenti che un agente può chiamare.

Il modello mentale è questo: MCP è la domanda «dovremmo costruire un’API?» nell’era degli agenti. Esporre i tuoi dati tramite un server MCP significa renderli azionabili dagli agenti, non migliorare il ranking. Se il tuo pubblico lavora sempre più tramite agenti, questa usabilità può contare, ma considerala una decisione di distribuzione/integrazione, non una decisione SEO. È la scommessa «capacità/azione», mentre llms.txt è la scommessa «identità/discovery».

Sicurezza: rischi reali e ancora irrisolti

Non dare per scontato che MCP sia sicuro solo perché è uno standard aperto di un’azienda rispettabile. Nel momento in cui dai a un agente AI strumenti con cui può agire e lo esponi a input non attendibili, apri una superficie d’attacco. Simon Willison — una delle voci indipendenti più credibili su strumenti LLM e sicurezza — lo ha spiegato così:

“Any time you mix together tools that can perform actions on the user’s behalf > with exposure to potentially untrusted input you’re effectively allowing > attackers to make those tools do whatever they want.” (Traduzione) Ogni volta che mescoli strumenti capaci di agire per conto dell’utente con l’esposizione a input potenzialmente non attendibili, permetti di fatto agli aggressori di far fare a quegli strumenti qualsiasi cosa vogliano.

Precisa però che non si tratta di un difetto esclusivo di MCP:

“These vulnerabilities are not inherent to the MCP protocol itself—they’re > present any time we provide tools to an LLM that can potentially be exposed to > untrusted inputs.” (Traduzione) Queste vulnerabilità non sono intrinseche al protocollo MCP: sono presenti ogni volta che forniamo strumenti a un LLM che può essere esposto a input non attendibili.

I rischi documentati nel contesto MCP includono prompt injection, tool poisoning (istruzioni dannose nascoste nella descrizione di uno strumento) e i «rug pull» (uno strumento che cambia comportamento dopo l’installazione). Al momento sono problemi concreti, non risolti: se stai implementando o collegando server MCP, trattali come qualsiasi altra integrazione non attendibile: minimo privilegio, approvazione umana per le azioni importanti e attenzione ai server di cui ti fidi.

La guida alla sicurezza della specifica MCP indica categorie di attacco concrete che chi costruisce server e client deve difendere; vale la pena conoscerle anche se stai solo valutando un server di terze parti. Il punto sul dirottamento della sessione qui sotto riguarda il modello di sessione legacy; il core 2026 rimuove le sessioni Streamable HTTP a livello di protocollo, mentre restano gli altri rischi di fiducia e autorizzazione. Le note della release 2026 delimitano il cambiamento nella revisione corrente:

• Confused deputy — un server MCP proxy che usa un unico OAuth client ID statico può essere indotto a saltare il consenso per-utente verso un’API di terze parti che espone.
• Token passthrough — un server che accetta il token del client e lo inoltra senza controlli a un’API downstream rompe tracciabilità e controlli di sicurezza; la specifica dice che i server non devono farlo.
• Server-side request forgery (SSRF) — un server dannoso può indirizzare la discovery OAuth verso IP interni o endpoint di metadati cloud, inducendo un client a recuperarli.
• Dirottamento di sessione legacy — in un deployment più vecchio che usa sessioni, un ID prevedibile o non casuale può permettere a un aggressore di impersonare un client. Gli ID di sessione sono handle di stato, mai sostituti dell’autenticazione. La guida alla sicurezza del protocollo fissa esplicitamente questo confine per il modello di sessione legacy.
• Compromissione del server locale — un server MCP installato localmente opera con i privilegi dell’utente, quindi uno dannoso o compromesso può leggere file, esfiltrare credenziali o eseguire comandi arbitrari; le mitigazioni sono sandbox, avvio con minimo privilegio e verifica di ciò che esegue davvero un «installazione con un clic» prima di approvarla.

Niente di tutto questo viene risolto dal fatto che «è uno standard aperto» o dall’attivazione di OAuth. La conformità al protocollo, l’uso di un SDK ufficiale, l’abilitazione dell’autorizzazione o il sandboxing di un server chiudono ciascuno percorsi d’attacco specifici; nessuno di questi, da solo o insieme agli altri, garantisce che un’integrazione sia sicura, che un modello usi correttamente uno strumento o che un server venga adottato ampiamente. Anche il supporto all’autorizzazione è opzionale e vincolato alla versione nella specifica, non una garanzia di sicurezza generale.

Miti comuni

1. «MCP e llms.txt sono la stessa cosa / competono.» No: llms.txt è un file statico e a senso unico; MCP è un protocollo live e bidirezionale. Risolvono problemi diversi.
2. «MCP è solo function calling con un altro nome.» No: function calling è una capacità del modello; MCP è un protocollo cross-vendor costruito sopra quell’idea.
3. «MCP è uno standard Google o OpenAI.» No: lo ha creato Anthropic (novembre 2024). OpenAI e Google DeepMind lo hanno adottato in seguito; ora è governato dalla Agentic AI Foundation, neutrale rispetto ai vendor.
4. «Configurare un server MCP migliora il ranking.» Non ci sono prove a sostegno. Serve agli agenti che svolgono attività, non alla visibilità nella ricerca.
5. «MCP sostituisce le API.» No: i server MCP sono di solito wrapper sottili che espongono API e dati esistenti in modo standard per il consumo da parte dell’AI.
6. «Viene da Anthropic, quindi è sicuro per impostazione predefinita.» No: esistono rischi reali di prompt injection e tool poisoning che non sono stati completamente risolti.

Dove si colloca nel quadro della ricerca AI

MCP è il livello delle azioni nello stack agentico. Attorno a esso, i livelli di discovery e identità — llms.txt, entity SEO, schema markup per l’AI e il modo in cui la ricerca agentica pianifica ed esegue davvero le attività — completano la mappa. Mantieni distinti i livelli e diventa molto più facile ragionare senza farsi guidare dall’hype.

Riepilogo AI

Una sintesi della versione Advanced:

• MCP = un protocollo aperto (Anthropic, open source dal 25 novembre 2024) per collegare applicazioni AI a strumenti e dati esterni. «Una porta USB-C per le applicazioni AI.»
• Architettura: host → client → server. L’host esegue un client per server; i server espongono strumenti (azioni), risorse (dati) e prompt (template). È basato su JSON-RPC 2.0; il core corrente è stateless per richiesta, mentre i client più vecchi appartengono all’era dell’inizializzazione/sessione.
• Revisione 2026: server/discover, metadati per richiesta, header di routing e hint di cache sostituiscono il modello obbligatorio di handshake/sessione. MCP Apps e Tasks appartengono alle estensioni; roots, sampling e logging non fanno più parte del core.
• Il problema che risolve: trasforma il caos delle integrazioni personalizzate N×M in N+M.
• Non è llms.txt (un file statico e a senso unico che elenca pagine) e non è function calling (una capacità del modello). MCP è il protocollo di interoperabilità cross-vendor. WebMCP è una proposta separata, limitata al browser, per esporre a un agente le azioni in pagina proprie di un sito.
• Cronologia: lancio novembre 2024 → adozione di OpenAI il 26 marzo 2025 → donazione di Anthropic alla Agentic AI Foundation della Linux Foundation il 9 dicembre 2025.
• Non è un fattore di ranking: Google non ha pubblicato alcuna guida di Search Central su MCP; Bing/Microsoft lo supportano come piattaforma, non come indicazione SEO. Esporre un server MCP serve agli agenti che svolgono attività, non alla visibilità nella ricerca.
• Sicurezza: rischi reali e irrisolti di prompt injection, tool poisoning e rug pull; non è «sicuro per impostazione predefinita». La specifica stessa cita confused deputy, token passthrough, SSRF, dirottamento di sessioni legacy e compromissione del server locale come categorie di attacco; OAuth/autorizzazione è opzionale e vincolata alla versione, non una garanzia generale.

Documentazione ufficiale

Documentazione primaria su MCP.

Anthropic / progetto MCP

• Presentazione di Model Context Protocol — l’annuncio originale di novembre 2024: problema N×M, partner del lancio e analogia USB-C.
• Donazione di Model Context Protocol e creazione della Agentic AI Foundation — il passaggio di governance alla Linux Foundation nel dicembre 2025.
• Che cos’è Model Context Protocol (MCP)? — introduzione ufficiale per iniziare.
• Panoramica dell’architettura — host/client/server, primitive, livelli dati e trasporto, meccanismi JSON-RPC.
• Panoramica della release MCP 2026-07-28 — core stateless, estensioni, rafforzamento dell’autorizzazione, caching e politica di deprecazione.
• Discovery (server/discover) — discovery moderna di capacità/versioni e contratto per le risposte memorizzabili in cache.
• Trasporto Streamable HTTP — protocollo per richiesta, header di routing e requisiti di sicurezza del trasporto.
• Specifiche MCP (2025-11-25) — la precedente specifica dell’era handshake/sessione, ancora rilevante per la compatibilità.

Google

• Che cos’è Model Context Protocol (MCP)? Una guida — panoramica generale per sviluppatori di Google Cloud, non un documento sul ranking nella ricerca.

Microsoft / Bing

• Panoramica di Model Context Protocol (MCP) su Windows — il Windows On-Device Agent Registry.
• microsoft/mcp — catalogo Microsoft delle implementazioni di server MCP.
• Microsoft collabora con Anthropic per creare l’SDK C# ufficiale — l’SDK C# ufficiale.

Citazioni dalla fonte

Dichiarazioni registrate. I link profondi portano al passaggio citato in cui la pagina fonte lo documenta.

Anthropic / partner del lancio — perché MCP

• “Open technologies like the Model Context Protocol are the bridges that connect AI to real-world applications, ensuring innovation is accessible, transparent, and rooted in collaboration.” (Traduzione) Le tecnologie aperte come Model Context Protocol sono i ponti che collegano l’AI alle applicazioni del mondo reale, rendendo l’innovazione accessibile, trasparente e fondata sulla collaborazione. Vai alla citazione

OpenAI — adozione dello standard di un concorrente

• Il 26 marzo 2025 Sam Altman di OpenAI ha annunciato che OpenAI avrebbe aggiunto il supporto MCP ai propri prodotti, iniziando dall’Agents SDK e proseguendo con ChatGPT desktop e Responses API. Copertura TechCrunch (Parafrasato dal post pubblico di Altman come riportato da TechCrunch: qui non ne cito testualmente le parole.)

Google — WebMCP (non MCP in sé)

• “I like the WebMCP approach, as well as the commerce integrations – they have clear goals & processes: ‘Given the agent is already on your site, how can it properly do task X?’ (for example, determine the final price of a product, including all fees & potential discounts).” (Traduzione) Mi piace l’approccio WebMCP e anche le integrazioni commerciali: hanno obiettivi e processi chiari — dato che l’agente è già sul tuo sito, come può svolgere correttamente l’attività X? Per esempio, determinare il prezzo finale di un prodotto, comprese tutte le tariffe e gli eventuali sconti. Vai alla citazione Riferito tramite l’articolo di Roger Montti su Search Engine Journal; WebMCP è una proposta limitata al browser, distinta da MCP.

Sicurezza — una voce indipendente

• “Any time you mix together tools that can perform actions on the user’s behalf with exposure to potentially untrusted input you’re effectively allowing attackers to make those tools do whatever they want.” (Traduzione) and “These vulnerabilities are not inherent to the MCP protocol itself—they’re present any time we provide tools to an LLM that can potentially be exposed to untrusted inputs.” (Traduzione) Quando mescoli strumenti capaci di agire per conto dell’utente con input potenzialmente non attendibili, permetti di fatto agli aggressori di far fare a quegli strumenti qualsiasi cosa vogliano. Queste vulnerabilità non sono intrinseche a MCP: esistono ogni volta che forniamo strumenti a un LLM potenzialmente esposto a input non attendibili. Vai alla citazione

Per un pubblico SEO

• “MCP (Model Context Protocol) is how your agent reaches the outside world. It’s the standard plug that connects an agent to data and actions.” (Traduzione) MCP descrive come l’agente raggiunge il mondo esterno e collega dati e azioni. and “Without MCPs, your agent is just a chatbot with opinions.” (Traduzione) Senza MCP, l’agente è solo un chatbot con opinioni. — Ahrefs Blog, “What Is Agentic SEO?” (Mateusz Makosiewicz, rev. Ryan Law). Leggi l’articolo

Checklist per la revisione di un server MCP

• Definisci l’attività dell’utente e perché MCP sia preferibile a una pagina statica, a una chiamata API o a un’integrazione di funzioni incorporata.
• Pubblica le versioni del protocollo supportate e testa server/discover moderno oltre a ogni percorso di inizializzazione legacy che decidi di mantenere.
• Valida gli header di routing di protocollo/metodo/nome Streamable HTTP rispetto al body JSON-RPC prima del dispatch.
• Classifica correttamente ogni capacità come strumento, risorsa o prompt.
• Dai a ogni capacità una descrizione stretta e fattuale con input e output espliciti.
• Applica il minimo privilegio a credenziali, accesso al file system, accesso di rete e operazioni di scrittura.
• Richiedi conferma prima di azioni distruttive, finanziarie, di pubblicazione o di messaggistica esterna.
• Considera descrizioni fornite dal server e contenuti recuperati come input non attendibili; testa i percorsi di prompt injection e tool poisoning.
• Valida gli argomenti lato server invece di fidarti dei parametri generati dal modello.
• Registra selezione dello strumento, input sanificati, risultati ed errori senza memorizzare segreti o dati personali non necessari.
• Testa comportamento in caso di errore, timeout, annullamento e risultati parziali.
• Documenta responsabilità, versioning, revoca e un percorso per disabilitare il servizio durante un incidente.

MCP a colpo d’occhio — cheat sheet

I quattro elementi che vengono confusi

L’architettura in tre parole: host → client → server. Un client per server; un host può gestirne molti.

Le tre primitive del server

• Strumenti — azioni eseguibili (fanno qualcosa).
• Risorse — dati contestuali (leggono qualcosa).
• Prompt — template di interazione riutilizzabili.

Fatti rapidi

• Creato da Anthropic, open source dal 25 novembre 2024.
• Basato su JSON-RPC 2.0; stateless per richiesta in 2026-07-28, con server/discover per la discovery moderna di capacità/versioni.
• Server locali: STDIO. Server remoti: Streamable HTTP (+ OAuth).
• I client legacy del 2025 usano ancora l’inizializzazione; i server di produzione possono dover supportare entrambe le epoche.
• MCP Apps e Tasks sono estensioni; roots, sampling e logging sono deprecati nel core.
• OpenAI lo ha adottato il 26 marzo 2025; anche Google DeepMind.
• Governato dalla Agentic AI Foundation (Linux Foundation) dal 9 dicembre 2025.
• Non esistono linee guida Google/Bing «MCP per la SEO».
• Rischi reali e irrisolti di prompt injection/tool poisoning: non è sicuro per impostazione predefinita.

I modelli mentali

1. Mappa vs. comandi. llms.txt è una mappa: un elenco statico di pagine che indica a un’AI cosa leggere. MCP è un insieme di comandi: un’interfaccia live che un agente usa per chiamare funzioni ed eseguire azioni. Se ricordi una sola cosa, ricorda quale dei due è quale.

2. Capacità vs. protocollo. Il function calling è una capacità incorporata in un modello. MCP è un protocollo che standardizza il modo in cui quella capacità raggiunge molti strumenti attraverso molte app. I server MCP usano spesso internamente definizioni nello stile del function calling, ma il protocollo è il livello di interoperabilità superiore: non devi trattarli come sinonimi.

3. N×M → N+M. Ogni integrazione AI-strumento punto a punto equivale a una di N×M. Implementa MCP una volta su ciascun lato e ottieni N+M. Questa riduzione è il motivo stesso per cui esiste lo standard.

4. Capacità dell’agente ≠ visibilità nella ricerca. Esporre un server MCP rende i tuoi dati utilizzabili da agenti che svolgono attività. È una decisione di distribuzione/integrazione, non di ranking. Inserire MCP tra le «tattiche SEO che migliorano il ranking» è un errore di categoria.

5. Strumenti + input non attendibili = superficie d’attacco. Nel momento in cui un agente può sia agire sia leggere input non attendibili, il prompt injection diventa possibile. Tratta ogni server MCP collegato come un’integrazione non attendibile: minimo privilegio, approvazione umana per le azioni importanti e controllo dei server di cui ti fidi.

Errori MCP da evitare

Chiamare MCP un fattore di ranking

MCP rende dati e azioni disponibili in fase di runtime agli agenti compatibili. Non fa del server un segnale di ranking Google o Bing.

Dare a un server credenziali ampie per impostazione predefinita

Un agente non ha bisogno di accesso senza restrizioni per completare un’attività limitata. Limita token, risorse, host e permessi di scrittura al minimo necessario.

Considerare sicure le descrizioni degli strumenti

Descrizioni e contenuti recuperati possono essere avvelenati o contenere prompt injection. Fissa i server attendibili, rivedi le modifiche alle capacità e mantieni l’applicazione delle policy fuori dal testo del modello.

Nascondere scritture importanti dietro nomi vaghi degli strumenti

Nomi come «manage» o «process» nascondono l’impatto. Dichiara se uno strumento legge, crea, aggiorna, pubblica, addebita o invia e richiedi conferma quando serve.

Esporre un server MCP quando basterebbe un documento

Le informazioni statiche pubbliche non richiedono automaticamente un’integrazione eseguibile. Usa MCP quando discovery, recupero o azione a runtime creano valore reale per l’utente.

Risorse che meritano il tuo tempo

I miei articoli correlati

• La guida per principianti alla SEO tecnica — dove gli argomenti della ricerca AI entrano nei fondamentali.
• Arrivano i nuovi crawler web: i bot AI si avvicinano ai bot dei motori di ricerca — il passaggio più ampio verso sistemi AI che recuperano e usano il web, di cui MCP è un tassello.

I miei interventi

• Come funziona la ricerca (SlideShare) — la mia panoramica su crawling, rendering, indicizzazione e ranking, per capire come il lato ricerca convive con il lato agentico. (Vale il mio disclaimer abituale: «Questa è la mia comprensione dei sistemi… non sarà completa o accurata al 100%.»)

Dal settore

• Presentazione di Model Context Protocol (Anthropic) — annuncio originale e schema N×M.
• Model Context Protocol — documentazione ufficiale e panoramica dell’architettura — riferimento tecnico canonico.
• Panoramica della release MCP 2026-07-28 — core stateless e modifiche di migrazione incompatibili.
• OpenAI adotta lo standard rivale di Anthropic per collegare modelli AI ai dati (TechCrunch) — il momento dell’adozione nel marzo 2025.
• Come Model Context Protocol sta plasmando il futuro dell’AI e del search marketing (Search Engine Land, Constance Chen) — il principale articolo MCP del settore SEO, precedente ai commenti su WebMCP e alla donazione ad AAIF.
• Che cos’è la SEO agentica? (Ahrefs, Mateusz Makosiewicz, revisione di Ryan Law) — MCP come ingrediente della SEO agentica e connettore MCP di Ahrefs.
• Model Context Protocol ha problemi di sicurezza legati al prompt injection (Simon Willison) — limiti di sicurezza da una voce indipendente credibile.
• 11 rischi emergenti per la sicurezza dell’AI con MCP (Checkmarx Zero) — catalogo più ampio della superficie di rischio.
• Model Context Protocol (Wikipedia) — panoramica neutrale con cronologia e donazione ad AAIF.

Mettiti alla prova: Model Context Protocol (MCP)

Cinque domande rapide su ciò che MCP è e non è. Scegli una risposta per ciascuna e poi controlla.

Cronologia modifiche