Informe 01M7DVPD08SNG22CTPNYCPJSCD · checks-v2
Servidor MCP Database: comprobaciones automáticas
Lo que HostedMCP comprobó el 14 nov 2026, 20:24 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.
7 de 11 comprobaciones ejecutadas · 1 hallazgo alto · no es una auditoría de seguridad
- Comprobado
- 14 nov 2026, 20:24 UTC
- Commit
- —
- Paquete
- @cocaxcode/database-mcp · 0.1.14
- Metodología
- checks-v2
Qué corregir para obtener una puntuación más alta
3 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.
- Procedencia de la compilación (atestación de Sigstore) hasta +10 pts
Publica con procedencia de compilación:
npm publish --provenancedesde GitHub Actions conid-token: write, o PyPI Trusted Publishing, que añade atestaciones. - OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (
ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token. - El nombre del paquete no es similar a un paquete popular hasta +10 pts
El nombre del paquete está a una edición de distancia de un paquete popular. Si no es un fork de ese paquete, elige un nombre más distintivo y explica en el README qué es el paquete.
Origen
20 / 20 puntos- AprobadoRepositorio de origen vinculado y accesible10 pts
cocaxcode/database-mcp es público y accesible
github.com/cocaxcode/database-mcp ↗ - AprobadoEl paquete indica este repositorio como su origen5 pts
@cocaxcode/database-mcp indican cocaxcode/database-mcp como origen
npmjs.com/package/@cocaxcode/database-mcp ↗ - No verificadoProcedencia de la compilación (atestación de Sigstore)10 pts
No se publicó atestación de compilación para esta versión
Cómo corregirlo: Publica con procedencia de compilación:
npm publish --provenancedesde GitHub Actions conid-token: write, o PyPI Trusted Publishing, que añade atestaciones. - Aprobado
Buenas prácticas
5 / 5 puntos- AprobadoCommit o lanzamiento en el último año5 pts
Último commit o versión 2026-08-26
github.com/cocaxcode/database-mcp ↗ - No verificadoOpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (
ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
Cadena de suministro
15 / 25 puntos- HallazgoEl nombre del paquete no es similar a un paquete popular10 pts
@cocaxcode/database-mcp se parece a @cognitionai/metabase-mcp-server
Cómo corregirlo: El nombre del paquete está a una edición de distancia de un paquete popular. Si no es un fork de ese paquete, elige un nombre más distintivo y explica en el README qué es el paquete.
- AprobadoNo hay avisos críticos en el paquete ni en sus dependencias15 pts
108 resolved dependencies verificados; sin avisos críticos
osv.dev ↗
Seguridad de las herramientas
15 / 15 puntos- AprobadoSin instrucciones ocultas para el modelo15 pts
0 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
- No verificadoLas herramientas destructivas están etiquetadas5 pts
Endpoint
no comprobado- No verificadoEl endpoint remoto responde al handshake de MCP5 pts
Qué no cubren estas comprobaciones
- No se ejecuta el código del servidor ni se audita su lógica.
- Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
- Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.