Informe 01M7CTGC7ZQSJK9AKVY4A7KX6E · checks-v2

Servidor MCP SAMP-MCP: comprobaciones automáticas

Lo que HostedMCP comprobó el 14 nov 2026, 10:44 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.

No verificado

92/100

7 de 11 comprobaciones ejecutadas · 0 hallazgos altos · no es una auditoría de seguridad

Comprobado: 14 nov 2026, 10:44 UTC
Commit: —
Paquete: samp-mcp · más reciente
Metodología: checks-v2

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts
Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.

Origen

20 / 20 puntos

Repositorio de origen vinculado y accesible10 pts
konggithubdev/samp-mcp es público y accesible
github.com/konggithubdev/samp-mcp ↗
Aprobado
El paquete indica este repositorio como su origen5 pts
samp-mcp indican konggithubdev/samp-mcp como origen
npmjs.com/package/samp-mcp ↗
Aprobado
Procedencia de la compilación (atestación de Sigstore)10 pts
No se publicó atestación de compilación para esta versión
Cómo corregirlo: Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
No verificado
Licencia de código abierto (OSI)5 pts
MIT
spdx.org/licenses/MIT.html ↗
Aprobado

Buenas prácticas

5 / 5 puntos

Commit o lanzamiento en el último año5 pts
Último commit o versión 2026-09-26
github.com/konggithubdev/samp-mcp ↗
Aprobado
OpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
No verificado

Cadena de suministro

10 / 10 puntos

El nombre del paquete no es similar a un paquete popular10 pts
Ningún paquete popular a una edición de distancia de samp-mcp
Aprobado
No hay avisos críticos en el paquete ni en sus dependencias15 pts
No verificado

Seguridad de las herramientas

20 / 20 puntos

Sin instrucciones ocultas para el modelo15 pts
19 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
Aprobado
Las herramientas destructivas están etiquetadas5 pts
Ninguna herramienta con nombre como delete, drop o exec
Aprobado

Endpoint

no comprobado

El endpoint remoto responde al handshake de MCP5 pts
No verificado

Qué no cubren estas comprobaciones

No se ejecuta el código del servidor ni se audita su lógica.
Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts

Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.

OpenSSF Scorecard hasta +15 pts

Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.