NEL VEIL MCP — comprobaciones gratuitas de seguridad de dominios para agentes de IA

Pregunta a tu agente "¿puede alguien suplantar el correo de example.com?" y obtén una respuesta real en unos diez segundos.

NEL VEIL MCP ofrece a cualquier agente compatible con MCP siete herramientas para comprobar la postura de seguridad pública de un dominio: suplantación de correo (DMARC/SPF/DKIM), debilidades TLS, cabeceras de seguridad HTTP, archivos expuestos públicamente, riesgo de subdominio secuestrado, un escaneo combinado y la recuperación de un escaneo anterior.

Gratis. Sin clave API. Sin registro.

Instalación

Claude Code — un comando:

claude mcp add nel-veil -- npx -y nel-veil-mcp

Cualquier cliente MCP — añade esto a tu archivo de configuración:

{
  "mcpServers": {
    "nel-veil": {
      "command": "npx",
      "args": ["-y", "nel-veil-mcp"]
    }
  }
}

Ejecútalo directamente para comprobar que funciona:

npx -y nel-veil-mcp

Imprime una línea de listo en stderr — algo como nel-veil-mcp 0.1.3 ready — 7 tools, free passive tier. — y luego espera JSON-RPC en stdin. Eso es correcto: es un servidor stdio, no una CLI, y stdout lleva el protocolo, por lo que nunca se escribe nada más allí.

Requiere Node 18 o superior.

Related MCP server: domain-security-mcp-server

30 segundos: ¿es tu dominio suplantable?

Después de instalar, pregunta a tu agente:

Comprueba si example.com puede ser suplantado por correo.

Llama a check_email_spoofing. Salida real para example.com en el momento de escribir esto:

Check if a domain can be email-spoofed — example.com
Score: 100/100 (done)

2 findings:
  [LOW] DMARC has no reporting address (rua/ruf), you have no visibility into spoofing
  [LOW] DKIM key may be 1024-bit (weak), 2048-bit recommended

Free check, built from public information. No port scanning and no exploit testing —
though some checks (TLS via Qualys SSL Labs, admin-panel reachability) do more than
passive reading; see nelprofessional.com/mcp. Active scanning requires verified domain
ownership and runs only at nelprofessional.com.
More: https://www.nelprofessional.com/mcp

Ese dominio está en buen estado. El hallazgo que más suele sorprender a la gente es una política DMARC de p=none: parece configurada, monitoriza todo y no bloquea nada.

Herramientas

Cada una devuelve una puntuación de 0 a 100 además de hallazgos específicos sobre los que puedes actuar.

Qué envía esto — dicho claramente

Ser preciso aquí importa más que sonar seguro, porque este es el párrafo en el que te apoyas al decidir si puedes apuntar una herramienta al dominio de otra persona.

Ninguna herramienta aquí hace escaneo de puertos ni pruebas de exploits. Esas son genuinamente intrusivas, necesitan el permiso del propietario del dominio y deliberadamente no se exponen a través de MCP en absoluto.

Pero "pasivo" no es lo mismo que "invisible", y dos herramientas hacen más que leer registros públicos:

• check_tls no es pasivo. Consulta a Qualys SSL Labs, que realiza su propia evaluación activa de TLS del objetivo desde la infraestructura de Qualys (reutilizando un resultado reciente en caché cuando Qualys lo tiene). NEL no envía ninguna sonda por sí mismo, pero ejecutar esto hace que el objetivo sea probado activamente por un tercero. Devuelve la calificación de SSL Labs y los problemas conocidos: Heartbleed, POODLE, RC4, protocolos obsoletos, forward secrecy débil, problemas de cadena de certificados. No informa sobre la caducidad del certificado, el emisor ni la validez del nombre de host.

• check_subdomain_takeover no es solo DNS. Resuelve una pequeña lista fija de nombres de subdominios comunes y hace una solicitud HTTPS a cualquiera que apunte a un host de nube conocido. Nunca reclama ni modifica nada.

• check_exposed_files solicita una pequeña lista fija de rutas conocidas (.env, .git/config y similares). Nunca hace fuerza bruta ni fuzzing — la lista no crece ni se adapta — pero son rutas que un rastreador no solicitaría, por lo que son reconocibles en los registros de un objetivo como una comprobación de seguridad.

• scan_domain ejecuta todo lo anterior y además comprueba si los paneles de administración comunes (/phpmyadmin/, /manager/html) son accesibles públicamente.

Todo lo anterior es información que el dominio publica. Nada de ello ataca nada. Pero es más que un rastreo ordinario, así que prefiere ejecutarlo contra un dominio que poseas o que estés autorizado a evaluar.

El escaneo activo — exposición de puertos, sondeo de API, comprobaciones de prueba de concepto — vive en nelprofessional.com, detrás de una prueba DNS-TXT de que controlas el dominio. Ese es el lugar adecuado para ello, porque un humano demuestra la propiedad una vez y NEL puede respaldar el resultado.

Límites de velocidad. Diez comprobaciones individuales y tres escaneos completos por minuto, por dirección IP. Si lo alcanzas, espera un minuto.

Privacidad. Este paquete no envía clave API, ni dirección de correo, ni identificador de cuenta. Cada solicitud lleva el dominio que preguntaste y un user-agent nel-veil-mcp. Ten en cuenta que, como cualquier servicio HTTP, NEL ve la IP de la que proviene la solicitud — es en lo que se basa el límite de velocidad.

Configuración

Desarrollo

Estos pasos necesitan el repositorio git, no el paquete npm publicado — el tarball incluye solo dist/, por lo que src/ y scripts/ no están en él.

git clone https://github.com/NELPROINC/nel-veil-mcp.git
cd nel-veil-mcp
npm install
npm run build
node scripts/mcp-smoke.mjs example.com

scripts/mcp-smoke.mjs lanza el servidor compilado exactamente como lo haría npx, realiza el handshake de MCP, lista las herramientas y llama a una de verdad — así detecta problemas de transporte y esquema que una prueba unitaria no detectaría.

Acerca de NEL VEIL

NEL VEIL es el escáner de seguridad detrás de NEL Professional, un mercado que conecta organizaciones con profesionales de ciberseguridad verificados. Los mismos módulos que impulsan este servidor MCP impulsan los escaneos en el sitio.

Documentación completa: nelprofessional.com/mcp

Licencia

MIT — ver LICENSE.