MCPWatch

«Have I Been Pwned» для MCP-серверов. Сканер безопасности с открытым исходным кодом, который проверяет MCP-серверы на соответствие OWASP MCP Top 10 и выставляет оценку от A до F.

Обзор

MCPWatch — это инструмент безопасности для экосистемы MCP, который:

• Выполняет 10 автоматизированных проверок, основанных на OWASP MCP Top 10, для любого MCP-сервера

• Выставляет оценку от A до F с результатами по каждой проверке

• Предоставляет интерфейс MCP-сервера, чтобы AI-агенты могли проводить аудит MCP по запросу

• Предоставляет CLI для сканирования перед установкой в CI/CD-конвейерах

• Поддерживает публичную таблицу лидеров на mcpwatch.pages.dev с актуальными SVG-бейджами оценок

Related MCP server: mcp-shield

Установка

Использование с Claude Code / Cursor / Windsurf (MCP-сервер)

Добавьте в свою конфигурацию MCP:

{
  "mcpServers": {
    "mcpwatch": {
      "command": "npx",
      "args": ["-y", "mcpwatch-mcp"]
    }
  }
}

CLI (сканирование перед установкой)

npx mcpwatch-scanner /path/to/mcp-server

GitHub Action (шлюз CI/CD)

- uses: lazymac2x/mcpwatch-action@v1
  with:
    path: .
    fail-below: B

Инструменты MCP

При работе в качестве MCP-сервера MCPWatch предоставляет вашему AI-агенту следующие инструменты:

Пример: сканирование перед добавлением MCP

Спросите Claude: "Используй mcpwatch для сканирования сервера filesystem-mcp по пути ~/mcps/filesystem-mcp, прежде чем я добавлю его в свою конфигурацию."

10 проверок (OWASP MCP Top 10)

Оценивание

Публичная таблица лидеров и бейджи

Каждый публичный MCP-сервер на Smithery, npm и в официальном реестре сканируется ежедневно.

Актуальный бейдж — добавьте в любой README:

[![MCPWatch score](https://api.lazy-mac.com/mcpwatch/badge/YOUR_OWNER/YOUR_REPO.svg)](https://mcpwatch.pages.dev/servers/YOUR_OWNER/YOUR_REPO)

JSON API:

GET https://api.lazy-mac.com/mcpwatch/scan/{owner}/{repo}

Архитектура

mcpwatch/
├── packages/
│   ├── scanner/   # Core check engine (TypeScript, runs in Worker + CLI + Node)
│   └── cli/       # mcpwatch-scanner — npx runnable
├── workers/
│   └── crawler/   # CF Worker — scheduled crawl + scan (daily)
├── apps/
│   └── web/       # CF Pages — mcpwatch.pages.dev — public leaderboard
└── .github/
    └── workflows/ # mcpwatch-action CI gate

Требования

• Node.js 18+

• Тестируемый MCP-сервер должен быть доступен локально (для scan_mcp_server / CLI)

• Для поиска по публичной таблице лидеров API-ключ не требуется

Лицензия

MIT — используйте, делайте форки, предлагайте новые проверки.

Участие в разработке

Приветствуются pull-реквесты с новыми проверками, исправлениями ложных срабатываний или улучшениями таблицы лидеров. См. CONTRIBUTING.md для ознакомления с правилами.