Bericht 01M7F1ZX488E2YQDM31Y1K15KT · checks-v2
Timely MCP server: automatisierte Checks
Was HostedMCP am 15. Nov. 2026, 07:33 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
5 von 11 Checks ausgeführt · 0 schwerwiegende Befunde · kein Sicherheitsaudit
- Geprüft
- 15. Nov. 2026, 07:33 UTC
- Commit
- —
- Paket
- gehosteter Endpoint
- Methodik
- checks-v2
Was du für eine höhere Punktzahl verbessern kannst
2 Checks können mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- Open Source Lizenz (OSI) bis zu +5 Pkt.
Füge eine LICENSE-Datei mit einer OSI-konformen Lizenz wie MIT oder Apache-2.0 hinzu und nenne sie in package.json oder pyproject.toml.
- OpenSSF Scorecard bis zu +15 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Herkunft
10 / 15 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
publifye/mcp ist öffentlich und erreichbar
github.com/publifye/mcp ↗ - Nicht geprüftPaket nennt dieses Repository als Quelle5 Pkt.
- Nicht geprüftBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
- BefundOpen Source Lizenz (OSI)5 Pkt.
CC-BY-4.0 ist nicht OSI-anerkannt
spdx.org/licenses/CC-BY-4.0.html ↗So behebst du das: Füge eine LICENSE-Datei mit einer OSI-konformen Lizenz wie MIT oder Apache-2.0 hinzu und nenne sie in package.json oder pyproject.toml.
Praktiken
5 / 5 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-10-11
github.com/publifye/mcp ↗ - Nicht geprüftOpenSSF Scorecard15 Pkt.
So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
nicht geprüft- Nicht geprüftPackage-Name ähnelt keinem populären Package10 Pkt.
- Nicht geprüftKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
Tool-Sicherheit
15 / 15 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
0 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- Nicht geprüftDestruktive Tools sind markiert5 Pkt.
Endpoint
5 / 5 Punkte- BestandenRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
HTTPS-Endpoint antwortete 401 (Anmeldung erforderlich)
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.