Отчёт 01M7EP0NMYMVJWXCCEH0MYAWKX · checks-v2

MCP server Devflow: автоматические проверки

Что HostedMCP проверил 15 нояб. 2026 г., 04:04 UTC. Каждый результат ссылается на публичный источник, из которого он получен, чтобы вы могли проверить его сами.

Пройдены проверки HostedMCP

100/100

8 из 11 проверок выполнено · 0 серьёзных находок · это не аудит безопасности

Проверено: 15 нояб. 2026 г., 04:04 UTC
Коммит: —
Пакет: @cocaxcode/devflow-mcp · 0.1.8
Методология: checks-v2

Что исправить для более высокого балла

2 проверки могут принести больше баллов. Следующее сканирование пройдёт в течение недели или сразу после изменения репозитория.

Происхождение сборки (аттестация Sigstore) до +10 баллов
Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.
OpenSSF Scorecard до +15 баллов
Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.

Происхождение

20 / 20 баллов

Связанный и доступный исходный репозиторий10 баллов
cocaxcode/devflow-mcp публичен и доступен
github.com/cocaxcode/devflow-mcp ↗
Пройдено
Пакет указывает этот репозиторий как источник5 баллов
@cocaxcode/devflow-mcp указывают cocaxcode/devflow-mcp как источник
npmjs.com/package/@cocaxcode/devflow-mcp ↗
Пройдено
Происхождение сборки (аттестация Sigstore)10 баллов
Для этого релиза не опубликовано подтверждение сборки
Как исправить: Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.
Не проверялось
Open source лицензия (OSI)5 баллов
MIT
spdx.org/licenses/MIT.html ↗
Пройдено

Практики

5 / 5 баллов

Коммит или релиз за последний год5 баллов
Последний коммит или релиз 2026-03-29
github.com/cocaxcode/devflow-mcp ↗
Пройдено
OpenSSF Scorecard15 баллов
Как исправить: Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.
Не проверялось

Цепочка поставок

25 / 25 баллов

Имя пакета не похоже на популярный пакет10 баллов
Нет популярного пакета на расстоянии одной правки от @cocaxcode/devflow-mcp
Пройдено
Нет критических предупреждений в пакете или его зависимостях15 баллов
Проверено 100 resolved dependencies; критических уведомлений нет
osv.dev ↗
Пройдено

Безопасность инструментов

20 / 20 баллов

Нет скрытых инструкций для модели15 баллов
Прочитано 32 описания инструментов и README; фраз-переопределений, путей к учётным данным и скрытых символов нет
Пройдено
Деструктивные инструменты помечены5 баллов
Нет инструмента с именем вроде delete, drop или exec
Пройдено

Конечная точка

не проверено

Удалённая конечная точка отвечает на рукопожатие MCP5 баллов
Не проверялось

Что эти проверки не охватывают

Код сервера не запускается, его логика не проверяется.
Результаты описывают репозиторий и пакет на указанную выше дату; более поздний релиз может отличаться.
Пройденная проверка не гарантирует безопасность. Выдавайте каждому серверу минимально необходимый токен или роль.

Покажите этот результат в вашем README

[![HostedMCP checks](https://api.hostedmcp.org/v1/badge/server/cocaxcode/devflow-mcp.svg)](https://hostedmcp.org/servers/cocaxcode/devflow-mcp/checks)

По всему каталогу

Как каждый просканированный MCP server и skill проходит одни и те же проверки, подсчёт ежедневно.

Отчёт о безопасности MCP

История баллов

15 нояб.

Хранятся последние 10 отчётов, каждый со своим ID.

Как считаются баллы

Балл = баллы пройденных проверок ÷ баллы выполненных проверок, при условии не менее 60 проверенных баллов. Для статуса Verified нужно 80 баллов или больше, отсутствие серьёзных находок, не менее 60 проверенных баллов и публичный репозиторий, прошедший проверку.

Полная методология →

← Назад к Devflow

Что исправить для более высокого балла

Происхождение сборки (аттестация Sigstore) до +10 баллов

Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.

OpenSSF Scorecard до +15 баллов

Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.

Что эти проверки не охватывают

Код сервера не запускается, его логика не проверяется.

Результаты описывают репозиторий и пакет на указанную выше дату; более поздний релиз может отличаться.

Пройденная проверка не гарантирует безопасность. Выдавайте каждому серверу минимально необходимый токен или роль.

Как считаются баллы

Полная методология →