secretscan-mcp-server

Ein MCP-Server, der einen Diff, den Inhalt einer Datei oder ein eingefügtes Snippet auf versehentlich committete Geheimnisse scannt – sodass jeder MCP-kompatible Agent seine eigenen Änderungen selbst überprüfen kann, bevor er committet, einen PR eröffnet oder einen Protokollauszug irgendwo einfügt. Vollständig lokal: kein API-Schlüssel, kein Netzwerkaufruf, keine Abhängigkeit außer dem MCP SDK und Zod.

Warum

Ein geleakter Zugangsdatensatz ist eine der häufigsten realen Ursachen für Kompromittierung von Konten und Infrastruktur, und einer der einfachsten Fehler in einem großen Diff – ein Debug-console.log mit einem echten API-Schlüssel, eine versehentlich committete Konfigurationsdatei, eine in einen Chat eingefügte .env-Datei, während man um Hilfe bittet. Ein Agent, der kurz davor steht, zu committen, zu pushen oder Text zu teilen, ist gut positioniert, dies bevor es passiert zu erkennen, wenn er eine kostengünstige Prüfmöglichkeit hat.

Related MCP server: opzyai

Werkzeug

scan_for_secrets

Scannt Text anhand eines festen Satzes von Anbieterformat-Signaturen sowie einer generischen, entropiebasierten Heuristik:

Ergebnisse werden immer geschwärzt – AKIAIOSFODNN7EXAMPLE wird als AKIA************MPLE (20 Zeichen) gemeldet, niemals vollständig. Die eigene Ausgabe des Tools kann daher bedenkenlos protokolliert oder angezeigt werden, ohne das Gefundene weiterzuverbreiten.

Dies ist ein Scan mit festen Mustern und Heuristik, nicht erschöpfend. Ein sauberes Ergebnis bedeutet „kein bekanntes Muster verglichen", nicht „definitiv sicher" – die Ausgabe der Anwendung sagt dies ausdrücklich.

Installieren und konfigurieren

git clone https://github.com/wedo911/secretscan-mcp-server.git
cd secretscan-mcp-server
npm install
npm run build

Fügen Sie es zur Konfiguration Ihres MCP-Clients hinzu (z. B. claude_desktop_config.json oder die .mcp.json eines Projekts für Claude Code):

{
  "mcpServers": {
    "secretscan": {
      "command": "node",
      "args": ["/absolute/path/to/secretscan-mcp-server/dist/index.js"]
    }
  }
}

Tests ausführen

npm run build
node --test tests/entropy.test.mjs tests/detectors.test.mjs

24 Tests, einschließlich eines für jeden benannten Detektor, das Platzhalter- und Niedrigentropie-Filterverhalten des generischen Detektors und eine explizite Prüfung, dass geschwärzte Ausgaben niemals den vollständigen Geheimniswert enthalten.

Ohne Client ausprobieren

npx @modelcontextprotocol/inspector --cli node dist/index.js \
  --method tools/call --tool-name scan_for_secrets \
  --tool-arg text='aws_access_key_id = AKIAIOSFODNN7EXAMPLE'

(Das ist AWS' eigener öffentlich dokumentierter Beispielschlüssel – keine echten Zugangsdaten.)

Lizenz

MIT – siehe LICENSE.