Click on "Deploy Server".
Wait a few minutes for the server to deploy. Once ready, it will show a "Started" state.
In the chat, type @ followed by the MCP server name and your instructions, e.g., "@Sentinela run a full security audit of this project and show the risk score"
That's it! The server will respond to your query, and you can continue using it as needed.
Here is a step-by-step guide with screenshots.
Infraestrutura de Segurança e Auditoria de Código para Agentes de IA via Model Context Protocol (MCP)
O Sentinela é uma solução corporativa de auditoria estática de segurança e conformidade arquitetural projetada para ser consumida diretamente por agentes de IA (Claude, Gemini, Cursor, Antigravity, Windsurf).
Operando via protocolo padrão MCP (Model Context Protocol), ele atua como um inspetor de segurança determinístico: analisa código, configurações e dependências em milissegundos, gerando relatórios de risco, checklists de conformidade e sugestões acionáveis de remediação.
32 Ferramentas MCP: 24 analisadores especializados por categoria de vulnerabilidade + 8 ferramentas de orquestração, diff e validação de correções.
Auditoria 100% Determinística: Sem alucinações ou variações estocásticas — regras precisas com extração de arquivo, linha e snippet de evidência.
Stack-Aware: Identifica automaticamente a linguagem, framework, ORM e banco de dados do projeto auditado para adaptar diagnósticos e recomendações.
Privacidade Absoluta: Nenhuma linha de código ou metadado sai da sua infraestrutura ou máquina local.
Related MCP server: ARGUS
O Sentinela foi desenvolvido especificamente para atender requisitos corporativos e ambientes restritos:
Execução Local (On-Premise / Stdio): Todas as análises ocorrem localmente no processo do servidor MCP via stdio.
Zero Telemetria / Sem Conexões Externas: Não envia dados para nuvens de terceiros ou servidores externos.
Seguro para Código Proprietário: Totalmente compatível com projetos confidenciais e ambientes com políticas rígidas de compliance (LGPD, GDPR, SOC 2).
O Sentinela conecta-se diretamente ao seu agente ou IDE compatível com MCP através do comando sentinela.
No seu arquivo de configuração claude_desktop_config.json:
{
"mcpServers": {
"sentinela": {
"command": "sentinela"
}
}
}Adicione às configurações de MCP do seu ambiente:
{
"name": "sentinela",
"command": "sentinela"
}/)Clientes que suportam MCP Prompts (como Claude Desktop) expõem fluxos prontos que podem ser acionados diretamente no chat via /:
Comando | Descrição |
| Auditoria completa de segurança no projeto com relatório detalhado e score. |
| Análise focada em uma vulnerabilidade ou categoria específica (ex: |
| Orienta a correção de um finding e executa a validação determinística para confirmar que o problema foi eliminado. |
| Gera a matriz de conformidade com 24 verificações essenciais e status |
| Consulta as diretrizes e regras arquiteturais de segurança da base de conhecimento ( |
Ferramenta | Descrição |
| Identifica linguagem, framework, ORM, banco de dados, auth provider e hosting da aplicação. |
| Executa todos os 24 analisadores em lote e retorna o |
| Converte a auditoria em um relatório detalhado formatado em Markdown pronto para documentação e entrega. |
| Compara dois relatórios (antes vs depois) detalhando vulnerabilidades corrigidas, novos riscos e evolução de pontuação. |
| Gera checklist de 24 pontos de segurança com verificação binária de conformidade ( |
| Consulta a base de diretrizes e regras de segurança por termo, categoria ou seção. |
Ferramenta | Descrição |
| Sugere implementações seguras com exemplos práticos antes/depois ajustados à stack tecnológica do projeto. |
| Re-executa o analisador correspondente para validar de forma determinística se a correção eliminou a vulnerabilidade. |
Cada analisador pode ser invocado de forma granular pelo agente:
sentinela_analyze_secrets: Chaves de API, segredos, senhas e tokens expostos no código.
sentinela_analyze_xss: Vulnerabilidades de Cross-Site Scripting (dangerouslySetInnerHTML, innerHTML, v-html).
sentinela_analyze_deserialization: Desserialização e execução de código insegura (eval, Function, pickle, unserialize).
sentinela_analyze_logging: Vazamento de credenciais, PII ou informações sensíveis em logs.
sentinela_analyze_error_messages: Exposição de stack traces ou mensagens técnicas em respostas de API.
sentinela_analyze_timing: Comparações de segredos suscetíveis a ataques de temporização (Timing Attacks).
sentinela_analyze_identity: Parâmetros de identidade (user_id) confiados a partir de payload do cliente.
sentinela_analyze_mutations: Operações de mutação de dados sem validação de identidade do usuário.
sentinela_analyze_dependencies: Ausência de lockfiles imutáveis e configurações de monitoramento automatizado.
sentinela_analyze_headers: Ausência de cabeçalhos de segurança HTTP essenciais (CSP, HSTS, X-Frame-Options, etc.).
sentinela_analyze_cors: Configurações de CORS permissivas com credenciais ativas.
sentinela_analyze_tests: Verificação de cobertura e existência de testes de segurança.
sentinela_analyze_secrets_mgmt: Gestão segura de variáveis de ambiente e modelos de .env.example.
sentinela_analyze_request_limits: Limites de tamanho de payload HTTP e proteção contra exaustão de recursos.
sentinela_analyze_idor: Vulnerabilidades de referência direta insegura a objetos em mutações (UPDATE/DELETE).
sentinela_analyze_mass_assignment: Injeção de propriedades não autorizadas via espalhamento de payload (...req.body).
sentinela_analyze_error_handling: Rotas assíncronas desprotegidas e ausência de manipuladores globais de exceção.
sentinela_analyze_uploads: Upload de arquivos sem validação rigorosa de tipo MIME, extensão ou tamanho.
sentinela_analyze_ssrf: Requisições de rede originadas no servidor com destinos controlados pelo usuário.
sentinela_analyze_redirects: Redirecionamentos abertos baseados em entradas não validadas (Open Redirect).
sentinela_analyze_rate_limiting: Ausência de limitação de taxa em endpoints sensíveis (autenticação, recuperação).
sentinela_analyze_auth: Algoritmos fracos de hash, tokens JWT sem expiração ou cookies sem flags de segurança.
sentinela_analyze_webhooks: Endpoints de webhook sem conferência de assinatura criptográfica (HMAC) e idempotência.
sentinela_analyze_input_validation: Endpoints de API sem esquemas rigorosos de validação de entrada (Zod, Yup, Joi).
Para clonar e testar o projeto localmente:
# 1. Clonar o repositório
git clone https://github.com/alissonandrade1/sentinela-mcp.git
cd sentinela-mcp
# 2. Instalar dependências
npm install
# 3. Rodar a suíte de testes
npm test
# 4. Executar em modo watch (desenvolvimento)
npm run dev
# 5. Compilar o bundle de produção
npm run buildPara diretrizes de contribuição, padrões de código e convenções de commit, consulte o arquivo CONTRIBUTING.md.
Distribuído sob a licença MIT. Veja o arquivo LICENSE para mais detalhes.
Audita o domínio "auth" (Seção 8). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "cors" (Seção 19). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "dependencies" (Seção 21). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "deserialization" (Seção 28). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "error-handling" (Seção 31). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "error-messages" (Seção 4). Retorna findings estruturados.
Inputs: project_path (required).
Executa auditoria completa de segurança no projeto. Retorna AuditReport com todos os findings, score e checklist.
Inputs: project_path (required).
Audita o domínio "headers" (Seção 11). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "identity" (Seção 2). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "idor" (Seção 6). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "input-validation" (Seção 3). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "logging" (Seção 22). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "mass-assignment" (Seção 20). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "mutations" (Seção 2). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "rate-limiting" (Seção 5). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "redirects" (Seção 24). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "request-limits" (Seção 32). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "secrets" (Seção 13). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "secrets-mgmt" (Seção 26). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "ssrf" (Seção 23). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "tests" (Seção 14). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "timing" (Seção 29). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "uploads" (Seção 10). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "webhooks" (Seção 27). Retorna findings estruturados.
Inputs: project_path (required).
Audita o domínio "xss" (Seção 18). Retorna findings estruturados.
Inputs: project_path (required).
Compara dois AuditReports (antes vs depois). Mostra findings novos, resolvidos e evolução do score.
Inputs: report_after (required), report_before (required).
Detecta a stack de um projeto: linguagem, framework, ORM, banco de dados, auth provider, hosting.
Inputs: project_path (required).
Gera relatório de segurança em Markdown a partir de uma auditoria completa.
Inputs: project_path (required).
Retorna checklist de segurança com status pass/fail baseado nos findings do último audit.
Inputs: project_path (required).
Consulta regras de segurança por categoria ou termo. Retorna seções relevantes do knowledge base.
Inputs: query (required), include_content.
Dado um finding (JSON), sugere código corrigido com exemplo prático para a stack do projeto.
Inputs: finding (required), project_path (required).
Re-executa o analyzer de um finding específico para verificar se a correção foi aplicada com sucesso.
Inputs: category (required), finding_id (required), project_path (required).
Recent tool additions, removals, and schema changes observed during successful MCP inspections.
Loading tool schema changelog…
Scored across 32 tools
The 24 domain audit tools each name a distinct security area, but several pairs have genuinely overlapping scopes: audit_secrets vs audit_secrets_mgmt, audit_error_messages vs audit_error_handling, and audit_identity vs audit_auth are easily confused. Worse, audit_identity and audit_mutations both claim '(Seção 2)', which signals an unclear boundary even within the server's own metadata. The audit_full vs individual audits split is reasonable, but the close pairs create real misselection risk.
Every tool uses the same sentinela_ prefix with a consistent snake_case verb_noun pattern (audit_*, get_*, generate_*, compare_*, suggest_*, validate_*, detect_*). The audit domain tools uniformly follow audit_<domain>, making the whole surface predictable. No mixed conventions or casing deviations.
32 tools is heavy and sits above the comfortable range. Most of the bulk comes from 24 near-mechanical per-domain audit tools that could arguably be a single parameterized audit call, though a security domain does have many legitimate areas. It is defensible but on the bloated side.
The lifecycle is well covered: stack detection, granular and full audits, rules lookup, checklist status, report generation, before/after comparison, fix suggestion, and fix validation. This is a coherent end-to-end workflow with no obvious dead ends. Only minor domain coverage questions remain (e.g. which sections are omitted), so it falls just short of perfect.
Zero-config MCP security scanner for AI-generated apps. 25K+ vulnerability patterns.
Security scanner for AI-written code: SAST, secrets, dependencies, IaC, containers and DAST.
Zero-install security baseline for AI coding agents — OWASP/CWE-cited rules over MCP.
Compliance frameworks (SOC 2, ISO 27001, CMMC, NIST, more) delivered to AI agents as MCP tools.