Bericht 01M7DV42R3MN482MPJMSXKWNDQ · checks-v2
Codeix MCP server: automatisierte Checks
Was HostedMCP am 14. Nov. 2026, 20:14 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
9 von 11 Checks ausgeführt · 1 schwerwiegender Befund · kein Sicherheitsaudit
- Geprüft
- 14. Nov. 2026, 20:14 UTC
- Commit
- —
- Paket
- codeix · 0.5.0
- Methodik
- checks-v2
Was du für eine höhere Punktzahl verbessern kannst
2 Checks können mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- OpenSSF Scorecard bis zu +15 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen. - Package-Name ähnelt keinem populären Package bis zu +10 Pkt.
Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
Herkunft
30 / 30 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
montanetech/codeix ist öffentlich und erreichbar
github.com/montanetech/codeix ↗ - BestandenPaket nennt dieses Repository als Quelle5 Pkt.
codeix, codeix nennen montanetech/codeix als Quelle
npmjs.com/package/codeix ↗ - BestandenBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
Sigstore-Attestierung für codeix, codeix
npmjs.com/package/codeix/v/0.5.0#provenance ↗ - Bestanden
Praktiken
5 / 5 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-02-21
github.com/montanetech/codeix ↗ - Nicht geprüftOpenSSF Scorecard15 Pkt.
So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
15 / 25 Punkte- BefundPackage-Name ähnelt keinem populären Package10 Pkt.
codeix sieht aus wie @claude-flow/codex
So behebst du das: Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
- BestandenKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
1 resolved dependencies geprüft; kein kritischer Advisory
osv.dev ↗
Tool-Sicherheit
20 / 20 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
7 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- BestandenDestruktive Tools sind markiert5 Pkt.
Kein Tool mit Namen wie delete, drop oder exec
Endpoint
nicht geprüft- Nicht geprüftRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.