Informe 01M7D1YDDP365N8QDW4Q4XH888 · checks-v2

Servidor MCP GitHub Tools: comprobaciones automáticas

Lo que HostedMCP comprobó el 14 nov 2026, 12:54 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.

Superó las comprobaciones de HostedMCP

94/100

9 de 11 comprobaciones ejecutadas · 0 hallazgos altos · no es una auditoría de seguridad

Comprobado: 14 nov 2026, 12:54 UTC
Commit: —
Paquete: @craftsamo/github-tools · 0.15.0
Metodología: checks-v2

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Licencia de código abierto (OSI) hasta +5 pts
Añade un archivo LICENSE con una licencia aprobada por OSI, como MIT o Apache-2.0, y nómbralo en package.json o pyproject.toml.
OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.

Origen

25 / 30 puntos

Repositorio de origen vinculado y accesible10 pts
craft-agent/github-tools es público y accesible
github.com/craft-agent/github-tools ↗
Aprobado
El paquete indica este repositorio como su origen5 pts
@craftsamo/github-tools indican craft-agent/github-tools como origen
npmjs.com/package/@craftsamo/github-tools ↗
Aprobado
Procedencia de la compilación (atestación de Sigstore)10 pts
Atestación Sigstore para @craftsamo/github-tools
npmjs.com/package/@craftsamo/github-tools/v/0.15.0#provenance ↗
Aprobado
Licencia de código abierto (OSI)5 pts
Sin licencia
Cómo corregirlo: Añade un archivo LICENSE con una licencia aprobada por OSI, como MIT o Apache-2.0, y nómbralo en package.json o pyproject.toml.
Hallazgo

Buenas prácticas

5 / 5 puntos

Commit o lanzamiento en el último año5 pts
Último commit o versión 2026-11-13
github.com/craft-agent/github-tools ↗
Aprobado
OpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
No verificado

Cadena de suministro

25 / 25 puntos

El nombre del paquete no es similar a un paquete popular10 pts
Ningún paquete popular a una edición de distancia de @craftsamo/github-tools
Aprobado
No hay avisos críticos en el paquete ni en sus dependencias15 pts
the package verificados; sin avisos críticos
osv.dev ↗
Aprobado

Seguridad de las herramientas

20 / 20 puntos

Sin instrucciones ocultas para el modelo15 pts
59 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
Aprobado
Las herramientas destructivas están etiquetadas5 pts
Ninguna herramienta con nombre como delete, drop o exec
Aprobado

Endpoint

no comprobado

El endpoint remoto responde al handshake de MCP5 pts
No verificado

Qué no cubren estas comprobaciones

No se ejecuta el código del servidor ni se audita su lógica.
Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Licencia de código abierto (OSI) hasta +5 pts

Añade un archivo LICENSE con una licencia aprobada por OSI, como MIT o Apache-2.0, y nómbralo en package.json o pyproject.toml.

OpenSSF Scorecard hasta +15 pts

Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.