Отчёт 01M7BECX5MXJSY8BV18PRKW20X · checks-v2

MCP server GitHub CI/CD MCP Server: автоматические проверки

Что HostedMCP проверил 13 нояб. 2026 г., 21:53 UTC. Каждый результат ссылается на публичный источник, из которого он получен, чтобы вы могли проверить его сами.

Не подтверждено

77/100

7 из 11 проверок выполнено · 1 серьёзная находка · это не аудит безопасности

Проверено: 13 нояб. 2026 г., 21:53 UTC
Коммит: —
Пакет: @kinus/github-cicd-mcp · 1.2.2
Методология: checks-v2

Что исправить для более высокого балла

3 проверки могут принести больше баллов. Следующее сканирование пройдёт в течение недели или сразу после изменения репозитория.

Происхождение сборки (аттестация Sigstore) до +10 баллов
Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.
OpenSSF Scorecard до +15 баллов
Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.
Нет критических предупреждений в пакете или его зависимостях до +15 баллов
Обновите указанную выше зависимость до релиза без критической уязвимости (npm audit fix или pip install -U и новый файл блокировки), затем опубликуйте новую версию.

Происхождение

20 / 20 баллов

Связанный и доступный исходный репозиторий10 баллов
devstephenke-sys/github-free-mcps публичен и доступен
github.com/devstephenke-sys/github-free-mcps ↗
Пройдено
Пакет указывает этот репозиторий как источник5 баллов
@kinus/github-cicd-mcp указывают devstephenke-sys/github-free-mcps как источник
npmjs.com/package/@kinus/github-cicd-mcp ↗
Пройдено
Происхождение сборки (аттестация Sigstore)10 баллов
Для этого релиза не опубликовано подтверждение сборки
Как исправить: Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.
Не проверялось
Open source лицензия (OSI)5 баллов
MIT
spdx.org/licenses/MIT.html ↗
Пройдено

Практики

5 / 5 баллов

Коммит или релиз за последний год5 баллов
Последний коммит или релиз 2026-10-22
github.com/devstephenke-sys/github-free-mcps ↗
Пройдено
OpenSSF Scorecard15 баллов
Как исправить: Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.
Не проверялось

Цепочка поставок

10 / 25 баллов

Имя пакета не похоже на популярный пакет10 баллов
Нет популярного пакета на расстоянии одной правки от @kinus/github-cicd-mcp
Пройдено
Нет критических предупреждений в пакете или его зависимостях15 баллов
Критическое уведомление: GHSA-x6jw-m9v5-85vh, GHSA-v5rq-49vh-5v5c
osv.dev/vulnerability/GHSA-x6jw-m9v5-85vh ↗
Как исправить: Обновите указанную выше зависимость до релиза без критической уязвимости (npm audit fix или pip install -U и новый файл блокировки), затем опубликуйте новую версию.
Проблема

Безопасность инструментов

15 / 15 баллов

Нет скрытых инструкций для модели15 баллов
Прочитано 0 описаний инструментов и README; фраз-переопределений, путей к учётным данным и скрытых символов нет
Пройдено
Деструктивные инструменты помечены5 баллов
Не проверялось

Конечная точка

не проверено

Удалённая конечная точка отвечает на рукопожатие MCP5 баллов
Не проверялось

Что эти проверки не охватывают

Код сервера не запускается, его логика не проверяется.
Результаты описывают репозиторий и пакет на указанную выше дату; более поздний релиз может отличаться.
Пройденная проверка не гарантирует безопасность. Выдавайте каждому серверу минимально необходимый токен или роль.

Покажите этот результат в вашем README

[![HostedMCP checks](https://api.hostedmcp.org/v1/badge/server/devstephenke-sys/github-free-mcps.svg)](https://hostedmcp.org/servers/devstephenke-sys/github-free-mcps/checks)

По всему каталогу

Как каждый просканированный MCP server и skill проходит одни и те же проверки, подсчёт ежедневно.

Отчёт о безопасности MCP

История баллов

13 нояб.

Хранятся последние 10 отчётов, каждый со своим ID.

Как считаются баллы

Балл = баллы пройденных проверок ÷ баллы выполненных проверок, при условии не менее 60 проверенных баллов. Для статуса Verified нужно 80 баллов или больше, отсутствие серьёзных находок, не менее 60 проверенных баллов и публичный репозиторий, прошедший проверку.

Полная методология →

← Назад к GitHub CI/CD MCP Server

Что исправить для более высокого балла

Происхождение сборки (аттестация Sigstore) до +10 баллов

Публикуйте с подтверждением сборки: npm publish --provenance из GitHub Actions с id-token: write или через PyPI Trusted Publishing, который добавляет аттестации.

OpenSSF Scorecard до +15 баллов

Добавьте действие OpenSSF Scorecard (ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.

Нет критических предупреждений в пакете или его зависимостях до +15 баллов

Обновите указанную выше зависимость до релиза без критической уязвимости (npm audit fix или pip install -U и новый файл блокировки), затем опубликуйте новую версию.

Что эти проверки не охватывают

Код сервера не запускается, его логика не проверяется.

Результаты описывают репозиторий и пакет на указанную выше дату; более поздний релиз может отличаться.

Пройденная проверка не гарантирует безопасность. Выдавайте каждому серверу минимально необходимый токен или роль.

Как считаются баллы

Полная методология →