Bericht 01M7DVPD08SNG22CTPNYCPJSCD · checks-v2
Database MCP server: automatisierte Checks
Was HostedMCP am 14. Nov. 2026, 20:24 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
7 von 11 Checks ausgeführt · 1 schwerwiegender Befund · kein Sicherheitsaudit
- Geprüft
- 14. Nov. 2026, 20:24 UTC
- Commit
- —
- Paket
- @cocaxcode/database-mcp · 0.1.14
- Methodik
- checks-v2
Was du für eine höhere Punktzahl verbessern kannst
3 Checks können mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- Build-Provenienz (Sigstore-Attestierung) bis zu +10 Pkt.
Veröffentliche mit Build-Provenance:
npm publish --provenanceaus GitHub Actions mitid-token: write, oder PyPI Trusted Publishing, das Attestierungen hinzufügt. - OpenSSF Scorecard bis zu +15 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen. - Package-Name ähnelt keinem populären Package bis zu +10 Pkt.
Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
Herkunft
20 / 20 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
cocaxcode/database-mcp ist öffentlich und erreichbar
github.com/cocaxcode/database-mcp ↗ - BestandenPaket nennt dieses Repository als Quelle5 Pkt.
@cocaxcode/database-mcp nennen cocaxcode/database-mcp als Quelle
npmjs.com/package/@cocaxcode/database-mcp ↗ - Nicht geprüftBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
Keine Build-Attestierung für dieses Release veröffentlicht
So behebst du das: Veröffentliche mit Build-Provenance:
npm publish --provenanceaus GitHub Actions mitid-token: write, oder PyPI Trusted Publishing, das Attestierungen hinzufügt. - Bestanden
Praktiken
5 / 5 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-08-26
github.com/cocaxcode/database-mcp ↗ - Nicht geprüftOpenSSF Scorecard15 Pkt.
So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
15 / 25 Punkte- BefundPackage-Name ähnelt keinem populären Package10 Pkt.
@cocaxcode/database-mcp sieht aus wie @cognitionai/metabase-mcp-server
So behebst du das: Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
- BestandenKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
108 resolved dependencies geprüft; kein kritischer Advisory
osv.dev ↗
Tool-Sicherheit
15 / 15 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
0 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- Nicht geprüftDestruktive Tools sind markiert5 Pkt.
Endpoint
nicht geprüft- Nicht geprüftRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.