secretscan-mcp-server

diff、ファイルの内容、または貼り付けられたスニペットをスキャンして、誤ってコミットされたシークレットを検出する MCP サーバーです。これにより、MCP互換のエージェントは、コミット、PRの開始、またはログの抜粋をどこかに貼り付ける前に、自身の変更を自己チェックできます。完全にローカルで動作し、APIキーもネットワーク呼び出しも不要で、MCP SDKとZod以外の依存関係はありません。

なぜ

漏えいした認証情報は、アカウントやインフラの侵害の最も一般的な原因の1つであり、大きなdiffの中で犯しやすいミスの1つです。実際のAPIキーを含むデバッグ用のconsole.log、誤ってコミットされた設定ファイル、助けを求めるためにチャットに貼り付けられた.envなどです。コミット、プッシュ、またはテキスト共有をしようとしているエージェントは、手軽にチェックする方法があれば、その前にこれを検出するのに適した位置にあります。

Related MCP server: opzyai

ツール

scan_for_secrets

固定されたプロバイダー形式のシグネチャに加えて、一般的なエントロピーでゲートされたヒューリスティックを使用してテキストをスキャンします：

検出結果は常にマスクされます -- AKIAIOSFODNN7EXAMPLE は AKIA************MPLE (20 chars) として報告され、完全な形では決して報告されません。したがって、ツール自体の出力は、見つかったものをさらに拡散することなく、ログや表示に安全に使用できます。

これは固定パターン+ヒューリスティックスキャンであり、網羅的ではありません。クリーンな結果は「既知のパターンに一致しなかった」という意味であり、「絶対に安全」という意味ではありません。アプリ内の出力にはその旨が明示されています。

インストールと設定

git clone https://github.com/wedo911/secretscan-mcp-server.git
cd secretscan-mcp-server
npm install
npm run build

MCPクライアントの設定に追加します（例：claude_desktop_config.json、またはClaude Codeのプロジェクトの.mcp.json）：

{
  "mcpServers": {
    "secretscan": {
      "command": "node",
      "args": ["/absolute/path/to/secretscan-mcp-server/dist/index.js"]
    }
  }
}

テストを実行する

npm run build
node --test tests/entropy.test.mjs tests/detectors.test.mjs

24のテストがあり、名前付きの各検出器、汎用検出器のプレースホルダーおよび低エントロピーフィルタリング動作、そしてマスクされた出力に完全なシークレット値が含まれないことを明示的にチェックするテストが含まれています。

クライアントなしで試す

npx @modelcontextprotocol/inspector --cli node dist/index.js \
  --method tools/call --tool-name scan_for_secrets \
  --tool-arg text='aws_access_key_id = AKIAIOSFODNN7EXAMPLE'

（これはAWSの公式公開ドキュメントに記載されている例のキーであり、実際の認証情報ではありません。）

ライセンス

MIT — LICENSEを参照してください。