AppLedger MCP server

Q: Wie füge ich AppLedger MCP zu Claude Code hinzu?

Führe `claude mcp add --env APPLEDGER_KEY= appledger -- uvx appledger` in deinem Terminal aus. Füge `--scope user` hinzu, damit der Server in jedem Projekt verfügbar ist.

Q: Wie füge ich AppLedger MCP zu Cursor hinzu?

Öffne `~/.cursor/mcp.json` und füge den Server unter `mcpServers` hinzu, mit der Cursor-Config aus dem Installationsabschnitt oben.

✓ VerifiziertCommit 14. Okt. 2026

contentasoftware/appledger · python · MIT

Führt Sicherheits-Scans von KI-generierten Anwendungen in natürlicher Sprache durch und erstellt Fix-Anfragen für Coding-Agents.

Auch bekannt als contentasoftware/appledger

stdio Security Developer Tools

Installieren GitHub ↗

Stars: 0
Tools: —
Downloads, 30 Tage: —
Neueste Version: 0.2.5
Letzter Commit: 14. Okt. 2026
Lizenz: MIT

Was ist AppLedger MCP?

AppLedger ist ein MCP server. Führt Sicherheits-Scans von KI-generierten Anwendungen in natürlicher Sprache durch und erstellt Fix-Anfragen für Coding-Agents.

Zusammenfassung generiert aus dem README des Projekts

Über AppLedger MCP server

AppLedger liefert Sicherheits-Feedback für Anwendungen, die mit KI-Tools wie Claude Code, Cursor und Lovable erstellt wurden. Es scannt Anwendungsordner mithilfe unabhängiger Tools, um Schwachstellen zu identifizieren und technische Befunde in einfaches Englisch zu übersetzen. Der Service hilft Entwicklern zu verstehen, was falsch ist, warum es wichtig ist und wie man es behebt. Zudem wird eine spezifische fix-prompt.md-Datei erstellt, die direkt an einen Coding-Agent zurückgegeben werden kann, um die Probleme zu lösen.

Nutzer können zwischen einem Hosted-Modus und einem lokalen Modus wählen. Im Hosted-Modus werden Dateien, die Git committen würde, als ZIP-Archiv via HTTPS an appledger.net zum Scannen gesendet, während sensible Dateien wie .env oder SSH-Keys strikt ausgeschlossen werden. Der lokale Modus behält den gesamten Code auf deinem Rechner, indem er installierte Versionen von Trivy und Opengrep nutzt. Das System verwendet Trivy, um geleakte Keys und veraltete Libraries zu finden, während Opengrep gefährliche Muster wie SQL-Injection erkennt. Für Nutzer mit einem bestehenden SonarQube-Server kann der lokale Modus optional diese Scans einbeziehen, um Codequalität und Security Hotspots zu prüfen.

Was du damit machen kannst

1KI-Fix-Anfragen generierenErstelle eine Markdown-Datei mit einem fertigen Instruktionssatz, den du einem Coding-Agent geben kannst, um Sicherheitslücken zu reparieren.
2KI-generierten Code auf Schwachstellen prüfenScanne deinen Anwendungsordner, um geleakte Passwörter, veraltete Libraries oder gefährliche Muster wie SQL-Injection zu finden.
3Regelmäßige Sicherheitsinspektionen automatisierenRichte tägliche oder wöchentliche automatisierte Scans über System-Scheduler wie cron oder den Windows Task Scheduler ein.

Geschrieben aus dem README des Projekts. Jeder Use Case wurde gegen ein Zitat daraus geprüft.

So installierst du AppLedger MCP

Formate geprüft am 10. Nov. 2026

Claude CodeCursorVS CodeClaude DesktopCodexGemini CLI

$ claude mcp add --env APPLEDGER_KEY=<YOUR_APPLEDGER_KEY> appledger -- uvx appledger

~/.cursor/mcp.json

{
  "mcpServers": {
    "appledger": {
      "command": "uvx",
      "args": [
        "appledger"
      ],
      "env": {
        "APPLEDGER_KEY": "<YOUR_APPLEDGER_KEY>"
      }
    }
  }
}

.vscode/mcp.json

{
  "servers": {
    "appledger": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "appledger"
      ],
      "env": {
        "APPLEDGER_KEY": "<YOUR_APPLEDGER_KEY>"
      }
    }
  }
}

claude_desktop_config.json

{
  "mcpServers": {
    "appledger": {
      "command": "uvx",
      "args": [
        "appledger"
      ],
      "env": {
        "APPLEDGER_KEY": "<YOUR_APPLEDGER_KEY>"
      }
    }
  }
}

~/.codex/config.toml

[mcp_servers.appledger]
command = "uvx"
args = ["appledger"]

[mcp_servers.appledger.env]
APPLEDGER_KEY = "<YOUR_APPLEDGER_KEY>"

~/.gemini/settings.json

{
  "mcpServers": {
    "appledger": {
      "command": "uvx",
      "args": [
        "appledger"
      ],
      "env": {
        "APPLEDGER_KEY": "<YOUR_APPLEDGER_KEY>"
      }
    }
  }
}

Setze 2 Umgebungsvariablen vor dem Start des Servers (siehe unten).Setup-Anleitungen:Claude Code Cursor VS Code Claude Desktop

Konfiguration

APPLEDGER_KEYSecret
Optional dashboard connection key (al_...). Without it, nothing goes to a dashboard; a hosted check returns a link that saves its result to a free account (the summary is kept up to 24 hours).
APPLEDGER_MODE
hosted (default): files Git would commit are sent to appledger.net, scanned and deleted. local: Trivy and Opengrep run on this machine.

Name	Beschreibung	Typ
APPLEDGER_KEY	Optional dashboard connection key (al_...). Without it, nothing goes to a dashboard; a hosted check returns a link that saves its result to a free account (the summary is kept up to 24 hours).	Secret
APPLEDGER_MODE	hosted (default): files Git would commit are sent to appledger.net, scanned and deleted. local: Trivy and Opengrep run on this machine.

Automatisierte Checks

Geluften am 14. Nov. 2026Vollständiger Bericht →

100/100

Unsere automatisierten Checks bestanden. Das ist kein Security-Audit: Lies den Code und gib dem Server nur den minimal notwendigen Zugriff. Wie die Checks funktionieren

Zeige diese Bewertung in deinem README

Source Repository verknüpft und erreichbarcontentasoftware/appledger is public and reachablegithub.com/contentasoftware/appledger ↗Bestanden
Paket nennt dieses Repository als Quelleappledger names contentasoftware/appledger as sourcepypi.org/project/appledger/ ↗Bestanden
Build-Herkunft (Sigstore-Attestierung)Sigstore attestation for appledgerpypi.org/project/appledger/ ↗Bestanden
Open Source Lizenz (OSI)MITspdx.org/licenses/MIT.html ↗Bestanden
Commit oder Release im letzten JahrLast commit or release 2026-10-14github.com/contentasoftware/appledger ↗Bestanden
OpenSSF ScorecardNicht geprüft
Package-Name ähnelt keinem populären PackageNo popular package one edit away from appledgerBestanden
Kein kritischer Hinweis im Paket oder seinen Abhängigkeiten32 resolved dependencies checked; no critical advisoryosv.dev ↗Bestanden
Keine versteckten Anweisungen an das Modell0 tool descriptions and the README read; no override phrases, credential paths or hidden charactersBestanden
Destruktive Tools sind markiertNicht geprüft
Remote-Endpoint beantwortet den MCP-HandshakeNicht geprüft

README

Auf GitHub ansehen

AppLedger honest check

Honest security feedback, in plain language, for apps people build with AI tools such as Claude Code, Codex, Cursor and Lovable.

AppLedger checks your app folder with independent scanners and explains what they find in everyday words: what is wrong, why it matters, and what to do. It also writes a fix request you can hand straight to the AI tool that built the app, then checks again.

What it checks

Scanner	Finds
Trivy	Leaked passwords and keys, outdated libraries with known security problems, risky container setup
Opengrep	Dangerous code patterns: SQL injection, command injection, unsafe data loading, debug mode left on
SonarQube (optional, local mode)	Code quality and more security hotspots, if you already run a SonarQube server

Each run produces, in <your-app>/.appledger/:

report.html: a score, who may use the app right now (only you, your team, the whole company), and every problem in plain words
fix-prompt.md: a ready-made fix request for your coding agent
findings.json: the same findings for tools and dashboards

Two ways to run

Mode	What you install	Where your code goes
Hosted (default)	Only this package	Source files Git would commit are zipped, sent over HTTPS to `appledger.net`, scanned and deleted right after. Secret files are never sent. You confirm before the first upload of each folder
Local (`--local` or `APPLEDGER_MODE=local`)	Also Trivy, Opengrep and the Opengrep rules	Stays on your computer. With a connection key, only a summary goes to your dashboard (see below); `--no-dashboard` skips even that

What gets uploaded in hosted mode

Sent: files Git would commit (git ls-files, including new files that aren't ignored). Outside a Git repository, .gitignore is still honoured.
Never sent: .env and .env.* (except .env.example, .env.sample, .env.template), *.pem, *.key, *.p12, *.pfx, SSH keys, .npmrc, .pypirc, .netrc, *credentials*.json, service-account*.json, secrets.*, the folders cert, certs, secrets, .ssh and .aws, .claude/settings.local.json, Terraform state, password files, Ansible Vault files, Kubernetes/Helm secret manifests, certificates and similar (full list in src/appledger/uploadpolicy.py). The server drops such files again as a second safety net.
Skipped: dependencies, build output, media, documents and data files (CSV, spreadsheets, slides, SQL, logs, data dumps) and files over 1 MB.

If a secret file is committed to Git or not ignored, the check reports it as a problem by file name. Its content is never read or sent.

See exactly what would be sent, and what is left out and why, without uploading anything:

python -m appledger path/to/your-app --list-files

The first hosted check of a folder asks you to confirm. In scripts and scheduled runs, pass --yes. If the code belongs to your employer or a client, make sure you're allowed to upload it, or use local mode.

Install

Claude Code plugin (recommended: adds the guided check-my-app skill):

claude plugin marketplace add contentasoftware/appledger
claude plugin install appledger@appledger

In the Claude Code desktop app, add the marketplace contentasoftware/appledger in the plugin settings instead. Start a new session, then ask: "Is my app safe to share?" or "Add this app to AppLedger".

MCP server only (needs uv):

claude mcp add appledger -- uvx --from appledger appledger-mcp

Command line:

pip install appledger
python -m appledger path/to/your-app

Step-by-step guide with troubleshooting: https://appledger.net/docs/

Version 0.2.0 (upload preview, consent, secret-file exclusion, scheduling) is being released to PyPI; until then pip install appledger gets 0.1.x.

Company dashboard

Create a free account at appledger.net to keep every app your people check in one ledger: owner, grade, score trend, who may use it and which AI tool built it. Create a connection key under "Connect a computer", then save it on each computer:

python -m appledger --connect al_your_key

Or tell Claude: "Connect AppLedger with this key: al_…". The key is saved in ~/.appledger/key; APPLEDGER_KEY overrides it and --disconnect removes it.

From then on each check also saves a summary to your dashboard: the app's name, score, grade, problem counts, the list of problems found (level and short title, up to 60; never code or file paths), and the scanners used. Never the code.

Not connected yet? From 0.2.3, a hosted check from a computer without a key ends with a save link, also shown in report.html:

Save this result to a free AppLedger ledger (link works for 24 hours): https://appledger.net/app/claim.php?t=...

Open it, create a free account or log in, and the check is in your ledger; the page then offers a key for that computer. Until the link is used, the service keeps only the check's summary (app name, score, the problems' levels and titles; never code), for up to 24 hours. A link works once; --no-dashboard turns it off.

You can also add an app in the web app with Add app: register it without code, or upload a zip to check it in the browser (the zip is scanned and deleted the same way).

Scheduled checks

python -m appledger path/to/your-app --schedule weekly --yes   # or daily
python -m appledger --schedules                                 # list
python -m appledger path/to/your-app --schedule off             # stop

Uses Windows Task Scheduler on Windows and cron on macOS and Linux. Hosted scheduled checks need the one-time --yes consent; add --local to schedule local checks instead. --quiet prints one line per check.

Local mode setup

Trivy: winget install AquaSecurity.Trivy (Windows) or brew install trivy (Mac)
Opengrep: download from the releases page and put it on your PATH
Rules: git clone --depth 1 https://github.com/opengrep/opengrep-rules.git ~/.appledger/opengrep-rules
Check: python -m appledger --doctor

Repository layout

Path	What
`src/appledger/scanner.py`	Scanners, plain-language translation, report and fix request
`src/appledger/client.py`	Picks the files to send (honouring `.gitignore`) and sends them to the hosted service
`src/appledger/uploadpolicy.py`	The full list of secret files that are never uploaded, used by client and server
`src/appledger/service.py`	Server side: unpacks an upload safely and scans it
`src/appledger/server.py`	Local MCP server used by the plugin
`plugin/`	Claude Code / Codex plugin with the `check-my-app` skill
`tests/mcp_smoke.py`	Calls every MCP tool like an agent would

License

MIT. The Opengrep community rules used by the scanner have their own license (Commons Clause); check it before using them in a paid service.

Vollständiges README lesen

AppLedger MCP Fragen

Wie füge ich AppLedger MCP zu Claude Code hinzu?

Führe claude mcp add --env APPLEDGER_KEY=<YOUR_APPLEDGER_KEY> appledger -- uvx appledger in deinem Terminal aus. Füge --scope user hinzu, damit der Server in jedem Projekt verfügbar ist.

Wie füge ich AppLedger MCP zu Cursor hinzu?

Öffne ~/.cursor/mcp.json und füge den Server unter mcpServers hinzu, mit der Cursor-Config aus dem Installationsabschnitt oben.

Wie kann ich die Ergebnisse nutzen, um meinen Code zu reparieren?

Das Tool generiert eine fix-prompt.md-Datei. Das ist eine fertige Fix-Anfrage, die du direkt an deinen KI-Coding-Agent übergeben kannst.

Fakten

14. Nov. 2026

Stars: 0
Downloads, 30 Tage: —
Neueste Version: 0.2.5
Letzter Commit: 14. Okt. 2026
Lizenz: MIT
Transport: stdio
Paket: appledger

contentasoftware ↗

Community Publisher

Veröffentlicht von einem unabhängigen Maintainer.

Mehr von contentasoftware →

Repository verlinkt
Open-Source-Lizenz
Aktiv in den letzten 365 Tagen

Alternativen

Funktioniert mit

Claude Code Cursor VS Code Claude Desktop Codex Gemini CLI Windsurf Devin

Badge für dein README

Zeige deine HostedMCP-Prüfbewertung. Das Badge führt zu den Installationsanleitungen für jeden Client.

[![HostedMCP checks](https://api.hostedmcp.org/v1/badge/server/contentasoftware/appledger.svg)](https://hostedmcp.org/servers/contentasoftware/appledger/checks)

Maintainer?

Übernimm diesen Eintrag, um ihn zu bearbeiten und das HostedMCP-Badge zu deinem README hinzuzufügen.

Eintrag übernehmen

Vor der Installation

Server laufen mit den Berechtigungen, die du ihnen gibst. Nutze den am engsten gefassten Token oder die Datenbank-Role, die für die Aufgabe nötig ist.

Über AppLedger MCP server

Was du damit machen kannst

1KI-Fix-Anfragen generierenErstelle eine Markdown-Datei mit einem fertigen Instruktionssatz, den du einem Coding-Agent geben kannst, um Sicherheitslücken zu reparieren.
2KI-generierten Code auf Schwachstellen prüfenScanne deinen Anwendungsordner, um geleakte Passwörter, veraltete Libraries oder gefährliche Muster wie SQL-Injection zu finden.
3Regelmäßige Sicherheitsinspektionen automatisierenRichte tägliche oder wöchentliche automatisierte Scans über System-Scheduler wie cron oder den Windows Task Scheduler ein.

Geschrieben aus dem README des Projekts. Jeder Use Case wurde gegen ein Zitat daraus geprüft.

{ "servers": { "appledger": { "type": "stdio", "command": "uvx", "args": [ "appledger" ], "env": { "APPLEDGER_KEY": "<YOUR_APPLEDGER_KEY>" } } } }

Konfiguration

APPLEDGER_KEYSecret

Optional dashboard connection key (al_...). Without it, nothing goes to a dashboard; a hosted check returns a link that saves its result to a free account (the summary is kept up to 24 hours).

APPLEDGER_MODE

hosted (default): files Git would commit are sent to appledger.net, scanned and deleted. local: Trivy and Opengrep run on this machine.

Name	Beschreibung	Typ
APPLEDGER_KEY	Optional dashboard connection key (al_...). Without it, nothing goes to a dashboard; a hosted check returns a link that saves its result to a free account (the summary is kept up to 24 hours).	Secret
APPLEDGER_MODE	hosted (default): files Git would commit are sent to appledger.net, scanned and deleted. local: Trivy and Opengrep run on this machine.

Scanner

Finds

Trivy

Leaked passwords and keys, outdated libraries with known security problems, risky container setup

Opengrep

Dangerous code patterns: SQL injection, command injection, unsafe data loading, debug mode left on

SonarQube (optional, local mode)

Code quality and more security hotspots, if you already run a SonarQube server

Mode

What you install

Where your code goes

Hosted (default)

Only this package

Source files Git would commit are zipped, sent over HTTPS to appledger.net, scanned and deleted right after. Secret files are never sent. You confirm before the first upload of each folder

Local (--local or APPLEDGER_MODE=local)

Also Trivy, Opengrep and the Opengrep rules

Stays on your computer. With a connection key, only a summary goes to your dashboard (see below); --no-dashboard skips even that

python -m appledger path/to/your-app --schedule weekly --yes # or daily python -m appledger --schedules # list python -m appledger path/to/your-app --schedule off # stop

Path

What

src/appledger/scanner.py

Scanners, plain-language translation, report and fix request

src/appledger/client.py

Picks the files to send (honouring .gitignore) and sends them to the hosted service

src/appledger/uploadpolicy.py

The full list of secret files that are never uploaded, used by client and server

src/appledger/service.py

Server side: unpacks an upload safely and scans it

src/appledger/server.py

Local MCP server used by the plugin

plugin/

Claude Code / Codex plugin with the check-my-app skill

tests/mcp_smoke.py

Calls every MCP tool like an agent would

AppLedger MCP Fragen

Wie füge ich AppLedger MCP zu Claude Code hinzu?

Führe claude mcp add --env APPLEDGER_KEY=<YOUR_APPLEDGER_KEY> appledger -- uvx appledger in deinem Terminal aus. Füge --scope user hinzu, damit der Server in jedem Projekt verfügbar ist.

Wie füge ich AppLedger MCP zu Cursor hinzu?

Öffne ~/.cursor/mcp.json und füge den Server unter mcpServers hinzu, mit der Cursor-Config aus dem Installationsabschnitt oben.

Wie kann ich die Ergebnisse nutzen, um meinen Code zu reparieren?

Das Tool generiert eine fix-prompt.md-Datei. Das ist eine fertige Fix-Anfrage, die du direkt an deinen KI-Coding-Agent übergeben kannst.

AppLedger MCP server

Was ist AppLedger MCP?

Über AppLedger MCP server

Was du damit machen kannst

So installierst du AppLedger MCP

AppLedger MCP in Claude Code installieren

AppLedger MCP in Cursor installieren

AppLedger MCP in VS Code installieren

AppLedger MCP in Claude Desktop installieren

AppLedger MCP in Codex installieren

AppLedger MCP in Gemini CLI installieren

Konfiguration

Automatisierte Checks

README

AppLedger honest check

What it checks

Two ways to run

What gets uploaded in hosted mode

Install

Company dashboard

Scheduled checks

Local mode setup

Repository layout

License

AppLedger MCP Fragen

AppLedger MCP server

Was ist AppLedger MCP?

Über AppLedger MCP server

Was du damit machen kannst

So installierst du AppLedger MCP

AppLedger MCP in Claude Code installieren

AppLedger MCP in Cursor installieren

AppLedger MCP in VS Code installieren

AppLedger MCP in Claude Desktop installieren

AppLedger MCP in Codex installieren

AppLedger MCP in Gemini CLI installieren

Konfiguration

Automatisierte Checks

README

AppLedger honest check

What it checks

Two ways to run

What gets uploaded in hosted mode

Install

Company dashboard

Scheduled checks

Local mode setup

Repository layout

License

AppLedger MCP Fragen