Relatório 01M7E1DG4YGYQSTXSG6KARAC24 · checks-v2
MCP server Kortexio Memory: verificações automatizadas
O que o HostedMCP verificou em 14 de nov. de 2026, 22:04 UTC. Cada resultado tem link para a fonte pública de onde veio, para você conferir por conta própria.
5 de 11 verificações executadas · 0 achado de alta gravidade · não é uma auditoria de segurança
- Verificado
- 14 de nov. de 2026, 22:04 UTC
- Commit
- —
- Pacote
- endpoint hospedado
- Metodologia
- checks-v2
O que corrigir para uma pontuação maior
2 verificações podem render mais pontos. A próxima análise roda em até uma semana, ou logo após o repositório mudar.
- OpenSSF Scorecard até +15 pts
Adicione a ação do OpenSSF Scorecard (
ossf/scorecard-action) ao repositório e corrija as verificações mais fracas que ela lista, como proteção de branch, dependências fixadas e permissões de token. - O endpoint remoto responde ao handshake do MCP até +5 pts
Sirva o endpoint remoto por HTTPS e garanta que ele responda a uma requisição
initializedo MCP, ou retorne 401 quando o login for necessário.
Origem
15 / 15 pontos- PassouRepositório de origem vinculado e acessível10 pts
kortexio/contextmemory é público e acessível
github.com/kortexio/contextmemory ↗ - Não verificadoO pacote indica este repositório como sua origem5 pts
- Não verificadoProveniência da build (atestação Sigstore)10 pts
- Passou
Práticas
5 / 5 pontos- PassouCommit ou release no último ano5 pts
Último commit ou versão em 2026-09-28
github.com/kortexio/contextmemory ↗ - Não verificadoOpenSSF Scorecard15 pts
Como corrigir: Adicione a ação do OpenSSF Scorecard (
ossf/scorecard-action) ao repositório e corrija as verificações mais fracas que ela lista, como proteção de branch, dependências fixadas e permissões de token.
Cadeia de suprimentos
não verificado- Não verificadoNome do pacote não é próximo a um pacote popular10 pts
- Não verificadoNenhum aviso crítico no pacote ou em suas dependências15 pts
Segurança das ferramentas
15 / 15 pontos- PassouSem instruções ocultas para o modelo15 pts
0 descrição de ferramenta e o README lidos; nenhuma frase de substituição, caminho de credenciais ou caractere oculto
- Não verificadoFerramentas destrutivas estão rotuladas5 pts
Endpoint
0 / 5 pontos- Problema encontradoO endpoint remoto responde ao handshake do MCP5 pts
O endpoint não respondeu a initialize: HTTP 400
Como corrigir: Sirva o endpoint remoto por HTTPS e garanta que ele responda a uma requisição
initializedo MCP, ou retorne 401 quando o login for necessário.
O que essas verificações não cobrem
- O código do servidor não é executado e sua lógica não é auditada.
- Os resultados descrevem o repositório e o pacote na data acima; uma versão posterior pode ser diferente.
- Uma aprovação não é garantia de segurança. Dê a cada servidor o token ou papel mais restrito de que ele precisa.