MCPWatch

Have I Been Pwned für MCP-Server. Open-Source-Sicherheitsscanner, der MCP-Server anhand der OWASP MCP Top 10 prüft und eine Note von A bis F vergibt.

Übersicht

MCPWatch ist ein Sicherheitswerkzeug für das MCP-Ökosystem, das:

• 10 automatisierte Prüfungen durchführt, die von den OWASP MCP Top 10 abgeleitet sind, auf jedem beliebigen MCP-Server

• Eine Note von A–F mit Ergebnissen pro Prüfung erstellt

• Eine MCP-Server-Schnittstelle bereitstellt, damit KI-Agenten MCPs bei Bedarf prüfen können

• Eine CLI für Scans vor der Installation in CI/CD-Pipelines bietet

• Ein öffentliches Leaderboard unter mcpwatch.pages.dev mit Live-SVG-Noten-Badges betreibt

Related MCP server: mcp-shield

Installation

Verwendung mit Claude Code / Cursor / Windsurf (MCP-Server)

Fügen Sie dies zu Ihrer MCP-Konfiguration hinzu:

{
  "mcpServers": {
    "mcpwatch": {
      "command": "npx",
      "args": ["-y", "mcpwatch-mcp"]
    }
  }
}

CLI (Scan vor der Installation)

npx mcpwatch-scanner /path/to/mcp-server

GitHub Action (CI/CD-Gate)

- uses: lazymac2x/mcpwatch-action@v1
  with:
    path: .
    fail-below: B

MCP-Tools

Wenn MCPWatch als MCP-Server ausgeführt wird, stellt es Ihrem KI-Agenten die folgenden Tools zur Verfügung:

Beispiel: Scan vor dem Hinzufügen eines MCP

Fragen Sie Claude: "Verwende mcpwatch, um den filesystem-mcp-Server unter ~/mcps/filesystem-mcp zu scannen, bevor ich ihn zu meiner Konfiguration hinzufüge."

Die 10 Prüfungen (OWASP MCP Top 10)

Benotung

Öffentliches Leaderboard & Badges

Jeder öffentliche MCP-Server auf Smithery, npm und dem offiziellen Register wird täglich gescannt.

Live-Badge — in jede README einfügen:

[![MCPWatch score](https://api.lazy-mac.com/mcpwatch/badge/YOUR_OWNER/YOUR_REPO.svg)](https://mcpwatch.pages.dev/servers/YOUR_OWNER/YOUR_REPO)

JSON-API:

GET https://api.lazy-mac.com/mcpwatch/scan/{owner}/{repo}

Architektur

mcpwatch/
├── packages/
│   ├── scanner/   # Core check engine (TypeScript, runs in Worker + CLI + Node)
│   └── cli/       # mcpwatch-scanner — npx runnable
├── workers/
│   └── crawler/   # CF Worker — scheduled crawl + scan (daily)
├── apps/
│   └── web/       # CF Pages — mcpwatch.pages.dev — public leaderboard
└── .github/
    └── workflows/ # mcpwatch-action CI gate

Anforderungen

• Node.js 18+

• Der zu testende MCP-Server muss lokal zugänglich sein (für scan_mcp_server / CLI)

• Kein API-Schlüssel für Abfragen des öffentlichen Leaderboards erforderlich

Lizenz

MIT — nutzen Sie es, forken Sie es, tragen Sie Prüfungen bei.

Mitwirken

Pull Requests für neue Prüfungen, Korrekturen von Fehlalarmen oder Verbesserungen am Leaderboard sind willkommen. Siehe CONTRIBUTING.md für Richtlinien.