MCPWatch

"Have I Been Pwned" para servidores MCP. Escáner de seguridad de código abierto que audita servidores MCP frente al OWASP MCP Top 10 y genera una calificación de la A a la F.

Descripción general

MCPWatch es una herramienta de seguridad para el ecosistema MCP que:

• Ejecuta 10 comprobaciones automatizadas derivadas del OWASP MCP Top 10 en cualquier servidor MCP

• Genera una calificación de la A a la F con hallazgos por comprobación

• Expone una interfaz de servidor MCP para que los agentes de IA puedan auditar MCPs bajo demanda

• Proporciona una CLI para escaneos previos a la instalación en tuberías de CI/CD

• Impulsa una tabla de clasificación pública en mcpwatch.pages.dev con insignias de calificación SVG en tiempo real

Related MCP server: mcp-shield

Instalación

Uso con Claude Code / Cursor / Windsurf (servidor MCP)

Añadir a su configuración de MCP:

{
  "mcpServers": {
    "mcpwatch": {
      "command": "npx",
      "args": ["-y", "mcpwatch-mcp"]
    }
  }
}

CLI (escanear antes de instalar)

npx mcpwatch-scanner /path/to/mcp-server

GitHub Action (puerta de CI/CD)

- uses: lazymac2x/mcpwatch-action@v1
  with:
    path: .
    fail-below: B

Herramientas MCP

Al ejecutarse como un servidor MCP, MCPWatch expone las siguientes herramientas a su agente de IA:

Ejemplo: escanear antes de añadir un MCP

Pregunte a Claude: "Usa mcpwatch para escanear el servidor filesystem-mcp en ~/mcps/filesystem-mcp antes de añadirlo a mi configuración."

Las 10 comprobaciones (OWASP MCP Top 10)

Calificación

Tabla de clasificación pública e insignias

Cada servidor MCP público en Smithery, npm y el registro oficial se escanea diariamente.

Insignia en tiempo real — añádala a cualquier README:

[![MCPWatch score](https://api.lazy-mac.com/mcpwatch/badge/YOUR_OWNER/YOUR_REPO.svg)](https://mcpwatch.pages.dev/servers/YOUR_OWNER/YOUR_REPO)

API JSON:

GET https://api.lazy-mac.com/mcpwatch/scan/{owner}/{repo}

Arquitectura

mcpwatch/
├── packages/
│   ├── scanner/   # Core check engine (TypeScript, runs in Worker + CLI + Node)
│   └── cli/       # mcpwatch-scanner — npx runnable
├── workers/
│   └── crawler/   # CF Worker — scheduled crawl + scan (daily)
├── apps/
│   └── web/       # CF Pages — mcpwatch.pages.dev — public leaderboard
└── .github/
    └── workflows/ # mcpwatch-action CI gate

Requisitos

• Node.js 18+

• El servidor MCP bajo prueba debe ser accesible localmente (para scan_mcp_server / CLI)

• No se requiere clave de API para consultas de la tabla de clasificación pública

Licencia

MIT — úselo, haga un fork, contribuya con comprobaciones.

Contribución

Las solicitudes de extracción (pull requests) para nuevas comprobaciones, correcciones de falsos positivos o mejoras en la tabla de clasificación son bienvenidas. Consulte CONTRIBUTING.md para ver las directrices.