Informe 01M7DFNVXD4R0237DCB702A3T0 · checks-v2

Servidor MCP Cozo Memory: comprobaciones automáticas

Lo que HostedMCP comprobó el 14 nov 2026, 16:54 UTC. Cada resultado enlaza a la fuente pública de la que proviene, para que puedas verificarlo tú mismo.

No verificado

79/100

8 de 11 comprobaciones ejecutadas · 1 hallazgo alto · no es una auditoría de seguridad

Comprobado: 14 nov 2026, 16:54 UTC
Commit: —
Paquete: cozo-memory · 1.0.3
Metodología: checks-v2

Qué corregir para obtener una puntuación más alta

3 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts
Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
OpenSSF Scorecard hasta +15 pts
Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
No hay avisos críticos en el paquete ni en sus dependencias hasta +15 pts
Actualiza la dependencia indicada arriba a una versión sin el aviso crítico (npm audit fix, o pip install -U y un nuevo archivo de bloqueo), y luego publica una nueva versión.

Origen

20 / 20 puntos

Repositorio de origen vinculado y accesible10 pts
tobs-code/cozo-memory es público y accesible
github.com/tobs-code/cozo-memory ↗
Aprobado
El paquete indica este repositorio como su origen5 pts
cozo-memory indican tobs-code/cozo-memory como origen
npmjs.com/package/cozo-memory ↗
Aprobado
Procedencia de la compilación (atestación de Sigstore)10 pts
No se publicó atestación de compilación para esta versión
Cómo corregirlo: Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.
No verificado
Licencia de código abierto (OSI)5 pts
Apache-2.0
spdx.org/licenses/Apache-2.0.html ↗
Aprobado

Buenas prácticas

5 / 5 puntos

Commit o lanzamiento en el último año5 pts
Último commit o versión 2026-06-08
github.com/tobs-code/cozo-memory ↗
Aprobado
OpenSSF Scorecard15 pts
Cómo corregirlo: Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.
No verificado

Cadena de suministro

10 / 25 puntos

El nombre del paquete no es similar a un paquete popular10 pts
Ningún paquete popular a una edición de distancia de cozo-memory
Aprobado
No hay avisos críticos en el paquete ni en sus dependencias15 pts
Aviso crítico: GHSA-23hp-3jrh-7fpw
osv.dev/vulnerability/GHSA-23hp-3jrh-7fpw ↗
Cómo corregirlo: Actualiza la dependencia indicada arriba a una versión sin el aviso crítico (npm audit fix, o pip install -U y un nuevo archivo de bloqueo), y luego publica una nueva versión.
Hallazgo

Seguridad de las herramientas

20 / 20 puntos

Sin instrucciones ocultas para el modelo15 pts
5 descripciones de herramientas y el README leídos; sin frases de anulación, rutas de credenciales ni caracteres ocultos
Aprobado
Las herramientas destructivas están etiquetadas5 pts
Ninguna herramienta con nombre como delete, drop o exec
Aprobado

Endpoint

no comprobado

El endpoint remoto responde al handshake de MCP5 pts
No verificado

Qué no cubren estas comprobaciones

No se ejecuta el código del servidor ni se audita su lógica.
Los resultados describen el repositorio y el paquete en la fecha indicada arriba; una versión posterior puede ser distinta.
Aprobar no garantiza la seguridad. Dale a cada servidor el token o rol más limitado que necesite.

Qué corregir para obtener una puntuación más alta

3 comprobaciones pueden sumar más puntos. El siguiente escaneo se ejecuta en menos de una semana, o justo después de que cambie el repositorio.

Procedencia de la compilación (atestación de Sigstore) hasta +10 pts

Publica con procedencia de compilación: npm publish --provenance desde GitHub Actions con id-token: write, o PyPI Trusted Publishing, que añade atestaciones.

OpenSSF Scorecard hasta +15 pts

Añade la acción de OpenSSF Scorecard (ossf/scorecard-action) al repositorio y corrige las comprobaciones más débiles que enumera, como la protección de ramas, las dependencias fijadas y los permisos del token.

No hay avisos críticos en el paquete ni en sus dependencias hasta +15 pts

Actualiza la dependencia indicada arriba a una versión sin el aviso crítico (npm audit fix, o pip install -U y un nuevo archivo de bloqueo), y luego publica una nueva versión.