Informe 01M7BDTJPQWQ850GWCFZFBQYE4 · checks-v2
Servidor MCP Tabularium: comprobaciones automáticas
Lo que HostedMCP comprobó el 13 nov 2026, 21:43 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.
10 de 11 comprobaciones ejecutadas · 0 hallazgos altos · no es una auditoría de seguridad
- Comprobado
- 13 nov 2026, 21:43 UTC
- Commit
- —
- Paquete
- tabularium-mcp · 0.5.5
- Metodología
- checks-v2
Qué corregir para obtener una puntuación más alta
2 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.
- Licencia de código abierto (OSI) hasta +5 pts
Añade un archivo LICENSE con una licencia aprobada por OSI, como MIT o Apache-2.0, y nómbralo en package.json o pyproject.toml.
- OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (
ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
Origen
25 / 30 puntos- AprobadoRepositorio de origen vinculado y accesible10 pts
sqlazy/tabularium es público y accesible
github.com/sqlazy/tabularium ↗ - AprobadoEl paquete indica este repositorio como su origen5 pts
tabularium-mcp indican sqlazy/tabularium como origen
npmjs.com/package/tabularium-mcp ↗ - AprobadoProcedencia de la compilación (atestación de Sigstore)10 pts
Atestación Sigstore para tabularium-mcp
npmjs.com/package/tabularium-mcp/v/0.5.5#provenance ↗ - HallazgoLicencia de código abierto (OSI)5 pts
Sin licencia
Cómo corregirlo: Añade un archivo LICENSE con una licencia aprobada por OSI, como MIT o Apache-2.0, y nómbralo en package.json o pyproject.toml.
Buenas prácticas
5 / 5 puntos- AprobadoCommit o lanzamiento en el último año5 pts
Último commit o versión 2026-11-13
github.com/sqlazy/tabularium ↗ - No verificadoOpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (
ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
Cadena de suministro
25 / 25 puntos- AprobadoEl nombre del paquete no es similar a un paquete popular10 pts
Ningún paquete popular a una edición de distancia de tabularium-mcp
- AprobadoNo hay avisos críticos en el paquete ni en sus dependencias15 pts
112 resolved dependencies verificados; sin avisos críticos
osv.dev ↗
Seguridad de las herramientas
20 / 20 puntos- AprobadoSin instrucciones ocultas para el modelo15 pts
10 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
- AprobadoLas herramientas destructivas están etiquetadas5 pts
Ninguna herramienta con nombre como delete, drop o exec
Endpoint
5 / 5 puntos- AprobadoEl endpoint remoto responde al handshake de MCP5 pts
initialize respondido con el protocolo 2025-06-18 en 79 ms
Qué no cubren estas comprobaciones
- No se ejecuta el código del servidor ni se audita su lógica.
- Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
- Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.