Relatório 01M7BDTJPQWQ850GWCFZFBQYE4 · checks-v2
MCP server Tabularium: verificações automatizadas
O que o HostedMCP verificou em 13 de nov. de 2026, 21:43 UTC. Cada resultado tem link para a fonte pública de onde veio, para você conferir por conta própria.
10 de 11 verificações executadas · 0 achado de alta gravidade · não é uma auditoria de segurança
- Verificado
- 13 de nov. de 2026, 21:43 UTC
- Commit
- —
- Pacote
- tabularium-mcp · 0.5.5
- Metodologia
- checks-v2
O que corrigir para uma pontuação maior
2 verificações podem render mais pontos. A próxima análise roda em até uma semana, ou logo após o repositório mudar.
- Licença de código aberto (OSI) até +5 pts
Adicione um arquivo LICENSE com uma licença aprovada pela OSI, como MIT ou Apache-2.0, e nomeie-a no package.json ou pyproject.toml.
- OpenSSF Scorecard até +15 pts
Adicione a ação do OpenSSF Scorecard (
ossf/scorecard-action) ao repositório e corrija as verificações mais fracas que ela lista, como proteção de branch, dependências fixadas e permissões de token.
Origem
25 / 30 pontos- PassouRepositório de origem vinculado e acessível10 pts
sqlazy/tabularium é público e acessível
github.com/sqlazy/tabularium ↗ - PassouO pacote indica este repositório como sua origem5 pts
tabularium-mcp indicam sqlazy/tabularium como origem
npmjs.com/package/tabularium-mcp ↗ - PassouProveniência da build (atestação Sigstore)10 pts
Atestação Sigstore para tabularium-mcp
npmjs.com/package/tabularium-mcp/v/0.5.5#provenance ↗ - Problema encontradoLicença de código aberto (OSI)5 pts
Sem licença
Como corrigir: Adicione um arquivo LICENSE com uma licença aprovada pela OSI, como MIT ou Apache-2.0, e nomeie-a no package.json ou pyproject.toml.
Práticas
5 / 5 pontos- PassouCommit ou release no último ano5 pts
Último commit ou versão em 2026-11-13
github.com/sqlazy/tabularium ↗ - Não verificadoOpenSSF Scorecard15 pts
Como corrigir: Adicione a ação do OpenSSF Scorecard (
ossf/scorecard-action) ao repositório e corrija as verificações mais fracas que ela lista, como proteção de branch, dependências fixadas e permissões de token.
Cadeia de suprimentos
25 / 25 pontos- PassouNome do pacote não é próximo a um pacote popular10 pts
Nenhum pacote popular a uma edição de distância de tabularium-mcp
- PassouNenhum aviso crítico no pacote ou em suas dependências15 pts
112 resolved dependencies verificados; nenhum aviso crítico
osv.dev ↗
Segurança das ferramentas
20 / 20 pontos- PassouSem instruções ocultas para o modelo15 pts
10 descrições de ferramenta e o README lidos; nenhuma frase de substituição, caminho de credenciais ou caractere oculto
- PassouFerramentas destrutivas estão rotuladas5 pts
Nenhuma ferramenta com nome como delete, drop ou exec
Endpoint
5 / 5 pontos- PassouO endpoint remoto responde ao handshake do MCP5 pts
initialize respondido com o protocolo 2025-06-18 em 79 ms
O que essas verificações não cobrem
- O código do servidor não é executado e sua lógica não é auditada.
- Os resultados descrevem o repositório e o pacote na data acima; uma versão posterior pode ser diferente.
- Uma aprovação não é garantia de segurança. Dê a cada servidor o token ou papel mais restrito de que ele precisa.