Bericht 01M7CWSKXSPSKX7FWFMFNEM6ND · checks-v2
Docket MCP server: automatisierte Checks
Was HostedMCP am 14. Nov. 2026, 11:24 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
8 von 11 Checks ausgeführt · 1 schwerwiegender Befund · kein Sicherheitsaudit
- Geprüft
- 14. Nov. 2026, 11:24 UTC
- Commit
- —
- Paket
- @pasichdev/docket · 3.1.0
- Methodik
- checks-v2
Was du für eine höhere Punktzahl verbessern kannst
2 Checks können mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- OpenSSF Scorecard bis zu +15 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen. - Package-Name ähnelt keinem populären Package bis zu +10 Pkt.
Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
Herkunft
30 / 30 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
pasichdev/docket ist öffentlich und erreichbar
github.com/pasichdev/docket ↗ - BestandenPaket nennt dieses Repository als Quelle5 Pkt.
@pasichdev/docket nennen pasichdev/docket als Quelle
npmjs.com/package/@pasichdev/docket ↗ - BestandenBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
Sigstore-Attestierung für @pasichdev/docket
npmjs.com/package/@pasichdev/docket/v/3.1.0#provenance ↗ - Bestanden
Praktiken
5 / 5 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-10-04
github.com/pasichdev/docket ↗ - Nicht geprüftOpenSSF Scorecard15 Pkt.
So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
15 / 25 Punkte- BefundPackage-Name ähnelt keinem populären Package10 Pkt.
@pasichdev/docket sieht aus wie docvet
So behebst du das: Der Paketname ist nur eine Änderung von einem beliebten Paket entfernt. Wenn es kein Fork dieses Pakets ist, wähle einen eigenständigeren Namen und erkläre im README, was das Paket ist.
- BestandenKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
128 resolved dependencies geprüft; kein kritischer Advisory
osv.dev ↗
Tool-Sicherheit
15 / 15 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
0 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- Nicht geprüftDestruktive Tools sind markiert5 Pkt.
Endpoint
nicht geprüft- Nicht geprüftRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.