NEL VEIL MCP — kostenlose Domain-Sicherheitsprüfungen für KI-Agenten

Fragen Sie Ihren Agenten „Kann jemand E-Mails von example.com fälschen?" und erhalten Sie in etwa zehn Sekunden eine echte Antwort.

NEL VEIL MCP bietet jedem MCP-kompatiblen Agenten sieben Werkzeuge zur Überprüfung der öffentlichen Sicherheitslage einer Domain: E-Mail-Spoofing (DMARC/SPF/DKIM), TLS-Schwächen, HTTP-Sicherheitsheader, öffentlich zugängliche Dateien, Subdomain-Übernahme-Risiko, einen kombinierten Scan und den Abruf eines früheren Scans.

Kostenlos. Kein API-Schlüssel. Keine Anmeldung.

Installation

Claude Code — ein Befehl:

claude mcp add nel-veil -- npx -y nel-veil-mcp

Beliebiger MCP-Client — fügen Sie dies zu Ihrer Konfigurationsdatei hinzu:

{
  "mcpServers": {
    "nel-veil": {
      "command": "npx",
      "args": ["-y", "nel-veil-mcp"]
    }
  }
}

Direkt ausführen, um zu prüfen, ob es funktioniert:

npx -y nel-veil-mcp

Es gibt eine Bereitschaftszeile auf stderr aus — etwa nel-veil-mcp 0.1.3 ready — 7 tools, free passive tier. — und wartet dann auf JSON-RPC auf stdin. Das ist korrekt: Es ist ein stdio-Server, kein CLI, und stdout trägt das Protokoll, daher wird dort nie etwas anderes geschrieben.

Erfordert Node 18 oder neuer.

Related MCP server: domain-security-mcp-server

30 Sekunden: Ist Ihre Domain spoofbar?

Nach der Installation fragen Sie Ihren Agenten:

Prüfen Sie, ob example.com per E-Mail gespooft werden kann.

Es ruft check_email_spoofing auf. Tatsächliche Ausgabe für example.com zum Zeitpunkt der Erstellung:

Check if a domain can be email-spoofed — example.com
Score: 100/100 (done)

2 findings:
  [LOW] DMARC has no reporting address (rua/ruf), you have no visibility into spoofing
  [LOW] DKIM key may be 1024-bit (weak), 2048-bit recommended

Free check, built from public information. No port scanning and no exploit testing —
though some checks (TLS via Qualys SSL Labs, admin-panel reachability) do more than
passive reading; see nelprofessional.com/mcp. Active scanning requires verified domain
ownership and runs only at nelprofessional.com.
More: https://www.nelprofessional.com/mcp

Diese Domain ist in gutem Zustand. Das Ergebnis, das Menschen am häufigsten überrascht, ist eine DMARC-Richtlinie von p=none — sie sieht konfiguriert aus, überwacht alles und blockiert nichts.

Werkzeuge

Jedes gibt eine Bewertung von 0–100 sowie spezifische Ergebnisse zurück, auf die Sie reagieren können.

Was dies sendet — klar ausgedrückt

Hier ist Präzision wichtiger als beruhigend zu klingen, denn dies ist der Absatz, auf den Sie sich verlassen, wenn Sie entscheiden, ob Sie ein Tool auf die Domain einer anderen Person richten dürfen.

Kein Tool hier führt Port-Scans oder Exploit-Tests durch. Diese sind wirklich invasiv, erfordern die Erlaubnis des Domain-Inhabers und sind bewusst überhaupt nicht über MCP verfügbar.

Aber „passiv" ist nicht dasselbe wie „unsichtbar", und zwei Tools tun mehr, als nur öffentliche Aufzeichnungen zu lesen:

• check_tls ist nicht passiv. Es fragt Qualys SSL Labs ab, das eine eigene aktive TLS-Bewertung des Ziels von der Infrastruktur von Qualys aus durchführt (wobei ein aktuelles zwischengespeichertes Ergebnis wiederverwendet wird, falls Qualys eines hat). NEL sendet selbst keine Sonde, aber die Ausführung führt dazu, dass das Ziel von einem Dritten aktiv getestet wird. Es gibt die SSL-Labs-Bewertung und bekannte Probleme zurück — Heartbleed, POODLE, RC4, veraltete Protokolle, schwache Forward Secrecy, Probleme mit der Zertifikatskette. Es meldet nicht den Ablauf des Zertifikats, den Aussteller oder die Gültigkeit des Hostnamens.

• check_subdomain_takeover ist nicht nur DNS. Es löst eine kleine feste Liste gebräuchlicher Subdomain-Namen auf und stellt eine HTTPS-Anfrage an alle, die auf einen bekannten Cloud-Host verweisen. Es beansprucht oder verändert nie etwas.

• check_exposed_files fordert eine kleine feste Liste bekannter Pfade an (.env, .git/config und ähnliche). Es brute-forct oder fuzzt nie — die Liste wächst oder passt sich nicht an — aber es sind Pfade, die ein Crawler nicht anfordern würde, sodass sie in den Protokollen eines Ziels als Sicherheitsprüfung erkennbar sind.

• scan_domain führt alle oben genannten Prüfungen aus und prüft zusätzlich, ob gängige Admin-Panels (/phpmyadmin/, /manager/html) öffentlich erreichbar sind.

Alles oben Genannte sind Informationen, die die Domain veröffentlicht. Nichts davon greift etwas an. Aber es ist mehr als gewöhnliches Crawling, daher sollten Sie es vorzugsweise gegen eine Domain ausführen, die Sie besitzen oder zu deren Bewertung Sie autorisiert sind.

Aktives Scannen — Port-Exposition, API-Sondierung, Proof-of-Concept-Prüfungen — findet auf nelprofessional.com statt, hinter DNS-TXT-Nachweis, dass Sie die Domain kontrollieren. Das ist der richtige Ort dafür, denn ein Mensch weist das Eigentum einmal nach und NEL kann hinter dem Ergebnis stehen.

Ratenbegrenzungen. Zehn einzelne Prüfungen und drei vollständige Scans pro Minute, pro IP-Adresse. Wenn Sie darauf stoßen, warten Sie eine Minute.

Datenschutz. Dieses Paket sendet keinen API-Schlüssel, keine E-Mail-Adresse und keine Kontokennung. Jede Anfrage enthält die angefragte Domain und einen nel-veil-mcp-User-Agent. Beachten Sie, dass NEL wie jeder HTTP-Dienst die IP-Adresse sieht, von der die Anfrage stammt — darauf basiert die Ratenbegrenzung.

Konfiguration

Entwicklung

Für diese Schritte benötigen Sie das Git-Repository, nicht das veröffentlichte npm-Paket — das Tarball enthält nur dist/, daher sind src/ und scripts/ nicht darin enthalten.

git clone https://github.com/NELPROINC/nel-veil-mcp.git
cd nel-veil-mcp
npm install
npm run build
node scripts/mcp-smoke.mjs example.com

scripts/mcp-smoke.mjs startet den gebauten Server genau wie npx es tun würde, führt den MCP-Handshake durch, listet die Tools auf und ruft eines tatsächlich auf — so erkennt es Transport- und Schema-Probleme, die ein Unit-Test nicht erkennen würde.

Über NEL VEIL

NEL VEIL ist der Sicherheitsscanner hinter NEL Professional, einem Marktplatz, der Organisationen mit verifizierten Cybersicherheitsexperten verbindet. Dieselben Module, die diesen MCP-Server antreiben, treiben auch die Scans auf der Website an.

Vollständige Dokumentation: nelprofessional.com/mcp

Lizenz

MIT — siehe LICENSE.