Informe 01M7DZPJ0KJQ9N9VTJZNJGTTSB · checks-v2

Servidor MCP Validate: comprobaciones automáticas

Lo que HostedMCP comprobó el 14 nov 2026, 21:34 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.

Superó las comprobaciones de HostedMCP

100/100

8 de 11 comprobaciones ejecutadas · 0 hallazgos altos · no es una auditoría de seguridad

Comprobado: 14 nov 2026, 21:34 UTC
Commit: —
Paquete: @machinegrade/validate · 0.1.2
Metodología: checks-v2

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts
Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.

Origen

20 / 20 puntos

Repositorio de origen vinculado y accesible10 pts
machinegrade/validate es público y accesible
github.com/machinegrade/validate ↗
Aprobado
El paquete indica este repositorio como su origen5 pts
@machinegrade/validate indican machinegrade/validate como origen
npmjs.com/package/@machinegrade/validate ↗
Aprobado
Procedencia de la compilación (atestación de Sigstore)10 pts
No se publicó atestación de compilación para esta versión
Cómo corregirlo: Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
No verificado
Licencia de código abierto (OSI)5 pts
MIT
spdx.org/licenses/MIT.html ↗
Aprobado

Buenas prácticas

5 / 5 puntos

Commit o lanzamiento en el último año5 pts
Último commit o versión 2026-07-26
github.com/machinegrade/validate ↗
Aprobado
OpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
No verificado

Cadena de suministro

25 / 25 puntos

El nombre del paquete no es similar a un paquete popular10 pts
Ningún paquete popular a una edición de distancia de @machinegrade/validate
Aprobado
No hay avisos críticos en el paquete ni en sus dependencias15 pts
103 resolved dependencies verificados; sin avisos críticos
osv.dev ↗
Aprobado

Seguridad de las herramientas

15 / 15 puntos

Sin instrucciones ocultas para el modelo15 pts
0 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
Aprobado
Las herramientas destructivas están etiquetadas5 pts
No verificado

Endpoint

5 / 5 puntos

El endpoint remoto responde al handshake de MCP5 pts
initialize respondido con el protocolo 2025-06-18 en 54 ms
Aprobado

Qué no cubren estas comprobaciones

No se ejecuta el código del servidor ni se audita su lógica.
Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.

Qué corregir para obtener una puntuación más alta

2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts

Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.

OpenSSF Scorecard hasta +15 pts

Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.