Bericht 01M7GGC1HV8SP8MSNMFVKVPF9R · checks-v2
Testlookup MCP server: automatisierte Checks
Was HostedMCP am 15. Nov. 2026, 21:03 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
5 von 11 Checks ausgeführt · 0 schwerwiegende Befunde · kein Sicherheitsaudit
Was du für eine höhere Punktzahl verbessern kannst
Ein Check kann mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- OpenSSF Scorecard bis zu +6 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Herkunft
15 / 15 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
test-intelligence/testlookup ist öffentlich und erreichbar
github.com/test-intelligence/testlookup ↗ - Nicht geprüftPaket nennt dieses Repository als Quelle5 Pkt.
- Nicht geprüftBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
- Bestanden
Praktiken
14 / 20 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-11-14
github.com/test-intelligence/testlookup ↗ - TeilweiseOpenSSF Scorecard9 / 15 Pkt.
OpenSSF Scorecard 5.9 / 10; am schwächsten: Code-Review 0, Maintained 0, CII-Best-Practices 0
scorecard.dev/viewer/?uri=github.com/test-intelligence/testlookup ↗So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
nicht geprüft- Nicht geprüftPackage-Name ähnelt keinem populären Package10 Pkt.
- Nicht geprüftKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
Tool-Sicherheit
15 / 15 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
0 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- Nicht geprüftDestruktive Tools sind markiert5 Pkt.
Endpoint
nicht geprüft- Nicht geprüftRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.