Rapport 01M7BECX5MXJSY8BV18PRKW20X · checks-v2

Serveur MCP GitHub CI/CD MCP Server : vérifications automatisées

Ce que HostedMCP a vérifié le 13 nov. 2026, 21:53 UTC. Chaque résultat renvoie à la source publique dont il provient, pour que vous puissiez le vérifier vous-même.

Non vérifié

77/100

7 vérifications sur 11 exécutées · 1 constat élevé · pas un audit de sécurité

Vérifié le: 13 nov. 2026, 21:53 UTC
Commit: —
Package: @kinus/github-cicd-mcp · 1.2.2
Méthodologie: checks-v2

Ce qu'il faut corriger pour un meilleur score

3 vérifications peuvent rapporter plus de points. Le prochain scan s'exécute sous une semaine, ou juste après une modification du dépôt.

Provenance du build (attestation Sigstore) jusqu'à +10 pts
Publiez avec une provenance de build : npm publish --provenance depuis GitHub Actions avec id-token: write, ou PyPI Trusted Publishing, qui ajoute des attestations.
OpenSSF Scorecard jusqu'à +15 pts
Ajoutez l'action OpenSSF Scorecard (ossf/scorecard-action) au dépôt et corrigez les vérifications les plus faibles qu'elle liste, comme la protection de branche, les dépendances épinglées et les permissions de jeton.
Aucun avis critique dans le package ou ses dépendances jusqu'à +15 pts
Mettez à jour la dépendance nommée ci-dessus vers une version sans l'avis critique (npm audit fix, ou pip install -U et un nouveau fichier de verrouillage), puis publiez une nouvelle version.

Origine

20 / 20 points

Dépôt source lié et accessible10 pts
devstephenke-sys/github-free-mcps est public et accessible
github.com/devstephenke-sys/github-free-mcps ↗
Réussi
Le nom du package correspond au dépôt source5 pts
@kinus/github-cicd-mcp désignent devstephenke-sys/github-free-mcps comme source
npmjs.com/package/@kinus/github-cicd-mcp ↗
Réussi
Provenance du build (attestation Sigstore)10 pts
Aucune attestation de build publiée pour cette version
Comment corriger: Publiez avec une provenance de build : npm publish --provenance depuis GitHub Actions avec id-token: write, ou PyPI Trusted Publishing, qui ajoute des attestations.
Non vérifié
Licence open source (OSI)5 pts
MIT
spdx.org/licenses/MIT.html ↗
Réussi

Pratiques

5 / 5 points

Commit ou version publiée au cours de l'année écoulée5 pts
Dernier commit ou dernière version 2026-10-22
github.com/devstephenke-sys/github-free-mcps ↗
Réussi
OpenSSF Scorecard15 pts
Comment corriger: Ajoutez l'action OpenSSF Scorecard (ossf/scorecard-action) au dépôt et corrigez les vérifications les plus faibles qu'elle liste, comme la protection de branche, les dépendances épinglées et les permissions de jeton.
Non vérifié

Chaîne d'approvisionnement

10 / 25 points

Nom du package non proche d'un package populaire10 pts
Aucun paquet populaire à une modification de @kinus/github-cicd-mcp
Réussi
Aucun avis critique dans le package ou ses dépendances15 pts
Avis critique : GHSA-x6jw-m9v5-85vh, GHSA-v5rq-49vh-5v5c
osv.dev/vulnerability/GHSA-x6jw-m9v5-85vh ↗
Comment corriger: Mettez à jour la dépendance nommée ci-dessus vers une version sans l'avis critique (npm audit fix, ou pip install -U et un nouveau fichier de verrouillage), puis publiez une nouvelle version.
Faille

Sécurité des outils

15 / 15 points

Aucune instruction cachée destinée au modèle15 pts
0 description d'outil et le README lus ; aucune phrase de contournement, aucun chemin d'identifiants ni caractère masqué
Réussi
Les outils destructifs sont étiquetés5 pts
Non vérifié

Point de terminaison

non vérifié

Le point de terminaison distant répond à la poignée de main MCP5 pts
Non vérifié

Ce que ces vérifications ne couvrent pas

Le code du serveur n'est pas exécuté et sa logique n'est pas auditée.
Les résultats décrivent le dépôt et le paquet à la date ci-dessus ; une version ultérieure peut différer.
Une réussite n'est pas une garantie de sécurité. Accordez à chaque serveur le jeton ou le rôle le plus restreint dont il a besoin.

Ce qu'il faut corriger pour un meilleur score

3 vérifications peuvent rapporter plus de points. Le prochain scan s'exécute sous une semaine, ou juste après une modification du dépôt.

Provenance du build (attestation Sigstore) jusqu'à +10 pts

Publiez avec une provenance de build : npm publish --provenance depuis GitHub Actions avec id-token: write, ou PyPI Trusted Publishing, qui ajoute des attestations.

OpenSSF Scorecard jusqu'à +15 pts

Ajoutez l'action OpenSSF Scorecard (ossf/scorecard-action) au dépôt et corrigez les vérifications les plus faibles qu'elle liste, comme la protection de branche, les dépendances épinglées et les permissions de jeton.

Aucun avis critique dans le package ou ses dépendances jusqu'à +15 pts

Mettez à jour la dépendance nommée ci-dessus vers une version sans l'avis critique (npm audit fix, ou pip install -U et un nouveau fichier de verrouillage), puis publiez une nouvelle version.

Ce que ces vérifications ne couvrent pas

Le code du serveur n'est pas exécuté et sa logique n'est pas auditée.

Les résultats décrivent le dépôt et le paquet à la date ci-dessus ; une version ultérieure peut différer.

Une réussite n'est pas une garantie de sécurité. Accordez à chaque serveur le jeton ou le rôle le plus restreint dont il a besoin.